защита от руткитов

Ответ от Ўлия Кросслет[активный]
Первоначально в контексте систем вида UNIX руткитом называлась группа утилит, принадлежащих самой операционной системе, таких как netstat, passwd и ps, которые изменялись хакером для того, чтобы получить неограниченный доступ к компьютеру, не пордвергаясь риску быть обнаруженным системным администратором. Руткиты можно классифицировать в соответствии со следующими характеристиками: Постоянство существования: - Постоянный руткит активируется при каждом запуске системы. Для этого ему необходимо хранить свой код внутри компьютера, а также нужен способ для автоматического самозапуска. - С другой стороны, непостоянный руткит не способен автоматически перезапускаться после перезагрузки системы. Способ выполнения руткита: - Режим пользователя: данный вид руткита перехватывает системные запросы и фильтрует информацию, возвращаемую API (Application Programming Interface). Наиболее известный руткит, принадлежащий к данном увиду, это Hacker Defender. - Режим ядра (ядро операционной системы) : такие руткиты модицируют структуру данных ядра, а также перехватывают собственный API ядра. Это наиболее надежный и действенный способ перехвата системы. В плане других методов и технологий, используемых для производства руткитов, необходимо обратить внимание на случай в Университете Мичигана и Microsoft. В марте 2006 года был разработан руткит, основанный на виртуальной технологии. Его основная функция заключалась в модификации пусковой последовательности компьютера, за счет чего руткит загружался вместо операционной системы. Далее руткит сам загружал операционную систему, как будто это была виртуальная машина, за счет чего перехватывалась вся информация, которой обменивались ОС и аппаратное обеспечение. После установки этот руткит обнаружить практически невозможно. Как мне защитить себя от руткитов?Война против руткитов – это настоящая вооруженная борьба, в рамках которой создатели руткитов разрабатывают новые способы для того, чтобы оставаться незамеченными, а антивирусные компании предпринимают ответные меры для того, чтобы защитить своих клиентов. Для обнаружения руткитов в системе можно использовать следующие технологии: Сигнатурное обнаружение: действенная технология, которая успешно применяестя антивирусными компаниями уже на протяжении многих лет. Данная технология основана на сканировании файлов и их сравнении с коллекцией сигнатур известного вредоносного ПО Эвристическое или поведенческое обнаружение: идентифицирует руткиты путем распознавания любых отклонений в нормальной деятельности компьютера. Обнаружение по сравнению: Результаты, возвращенные операционной системой, сравниваются с результатами, полученными посредством низкоуровневых запросов – наличие каких-либо различий свидетельствует о присутствии в системе руткита. Обнаружение на основе целостности: отпределяет наличие руткита путем сравнения файлов и памяти с надежным тестовым статусом. Каждая из перечисленных технологий имеет свои ограничения, поэтому рекомендуется сочетать различные технологии. Также необходимо учесть, что некоторые их этих руткитов специально разработаны для того, чтобы не быть обнаруженными лидирующими на рынке антивирусными компаниями. Первая линия защиты от руткитов состоит в том, чтобы не дать им проникнуть в Ваш компьютер. Для этого, пожалуйста, всегда держите в уме следующие советы для защиты от вредоносного ПО: Установите на компьютере хорошее антивредоносное решение и следите, чтобы оно всегда было обновлено и активно. Установите файервол, который будет защищать Ваш компьютер от несанкционированного доступа. Всегда следите за тем, чтобы установленные на Вашем компьютере приложения были обновлены, а также применяйте все доступные патчи, выпускаемые производителями. Однако, защита компьютера от руткитов – это непростая задача, и здесь нельзя ограничиваться рядом мер для общей защиты ПК. Для того, чтобы помочь пользователям обнаружить существование руткитов в компьютерах- Panda Anti-Rootkit