Az AMD virtualizációs technológiáján alapul egy új rootkit

[eWeek/HWSW] Egy szingapúri biztonsági szakértő laboratóriumi körülmények között olyan rootkitet hozott létre, amely még a legbiztonságosabb operációs rendszeren is felderíthetetlen marad. Az AMD Pacifica kódnevű virtualizációs technológiáját kihasználva Joanna Rutkowska állítása szerint akármilyen operációs rendszer "alá", a virtualizációs hypervisor rétegbe tetszőleges kódot képes eljuttatni.

A rootkitek olyan rosszindulatú kódok, amelyek nem egyszerűen a biztonsági hiányosságokat kihasználva települnek fel a gyanútlan felhasználó gépére, hanem az operációs rendszer magját támadják közvetlen, manipulálva a biztonsági szinteket, valamint rendszergazdai jogokat szerezve elrejtőznek a felhasználók és a vírusölő szoftverek elől. A rootkitek segítségével ezután tetszőleges kártevő kódot lehet a gépre csempészni, mivel azok a víruskeresők számára láthatatlanok maradnak.

Rutkowska a július 21-én Szingapúron megrendezésre kerülő SyScan konferencián és az augusztus elején Las Vegasban tartandó Black Hat konferencián is bemutatja felfedezését. A Black Hat rendezvényen a Microsoft is jelen lesz, a redmondi cég a Vistába épített biztonsági funkciókat demonstrálja majd. Rutkowska hangsúlyozta, hogy az általa felfedezett módszer nem a Windows hibáján alapul.

A virtuális gépeken futó rootkitek ötlete nem újdonság, a Microsoft és a Michigan Egyetem kutatói már korábban is létrehoztak egy ilyen rootkitet (SubVirt), amelyet szinte lehetetlen felfedezni. A SubVirt működéséhez azonban mindenképp szükség volt a gép újraindítására, a Rutkowska által Blue Pill néven emlegetett módszer már ezt sem igényli. A Blue Pill a Mátrix című filmből kapta a nevét: az operációs rendszer "lenyeli" a kék tablettát, amely bejutva átveszi az irányítást anélkül, hogy a rendszer (felhasználó) ezt észrevehenné.

A szakértő elmondta, kísérleteit a Windows Vista x64-változatán végezte, de nem tud olyan körülményről, ami miatt a módszer ne működhetne más operációs rendszereken, akár Linuxon, BSD-n, vagy bármely más olyan platformon, amely fut az AMD 64 bites, virtualizációs képességekkel felvértezett processzorain. Rutkowska szerint az ő szoftvere 100 százalékos biztonsággal elrejtőzik, az egyetlen esély a felfedezésére az lehet, ha az AMD Pacifica technológiája hibásan működik.