Найден способ обмана любых антивирусов

Леска · №1

По словам исследователей Якуба Бржечки (Jakub Břečka) и Давида Матоушека (David Matoušek) из команды веб-ресурса Matousek.com, им удалось создать способ обхода защиты, встроенной в большинство популярных настольных антивирусных продуктов. Уязвимы продукты «Лаборатории Касперского», Dr.Web, Avast!, Sophos, ESET, McAffee, Symantec, Panda и т. д.
Методика такова: на вход антивируса посылается безвредный код, проходящий все защитные барьеры, но, прежде чем он начнет исполняться, производится его подмена на вредоносную составляющую. Понятно, замена должна произойти строго в нужный момент, однако на практике всё упрощается благодаря тому, что современные системы располагают многоядерным окружением, когда один поток не в состоянии отследить действия параллельных потоков. В итоге может быть обманут буквально любой Windows-антивирус.
Руткит функционирует в том случае, если антивирусное ПО использует таблицу дескрипторов системных служб (System Service Descriptor Table, SSDT) для внесения изменений в участки ядра операционной системы. Поскольку все современные защитные средства оперируют на уровне ядра, атака работает на 100%, причем даже в том случае, если Windows запущена под учётной записью с ограниченными полномочиями.
Вместе с тем руткит требует загрузки большого объёма кода на атакуемую машину, поэтому он неприменим, когда требуется сохранить скорость и незаметность атаки. Кроме того, злоумышленник должен располагать возможностью выполнения двоичного файла на целевом компьютере.
Методика может быть скомбинирована с традиционной атакой на уязвимую версию Acrobat Reader или Sun Java Virtual Machine, не пробуждая подозрений у антивируса в истинности намерений. Ну а затем хакер волен и вовсе уничтожить все защитные барьеры, полностью удалив из системы мешающий антивирус.

http://news.softodrom.ru/ap/b7313.shtml

Бойтесь!

Rosenfeld · №2

Чего бояться? Windows?

Крошка Ру · №3

Леска "А давай бояться вместе?!" :angel:

Отредактировано Крошка Ру (12-05-2010 17:51:37)

DrCox0 · №4

matousec.com

Крошка Ру · №5

Rosenfeld кстати в мультике вполне себе сравнение двух осей - если принять что [windows] это "чердак"

Отредактировано Крошка Ру (12-05-2010 12:02:16)

Daglus · №6

скрытый текст

Rosenfeld
терпеть не могу такие высказывания :lol:

я бы сам окончательно сполз бы, второй системой стоит open suse (ох я и намучился там с установкой на старую атишку дров) но к сожалению Линуксы в плане дружелюбности и полигона для музыкантов ооооооооооооооочень скудны

А так как Хакинтош я приравниваю к сборкам Винд васи пупкина то уж лучше поганяю XP) авось измениться все к лучшему в мире Линуксов. А так, латание брешей в окнах остается)

Отредактировано Daglus (12-05-2010 12:03:30)

Rosenfeld · №7

Daglus

скрытый текст

Не обижайтесь, дружище, не обижайтесь. Я шучу!

А так как Хакинтош я приравниваю к сборкам Винд васи пупкина

Да черт его знает. У меня брат для именно для обработки музыки купил себе Мак аж за сумму примерно между 3 и 4 000 фунтов стерлингов, к ней - специальный профессиональный музыкальный софт + взял себе обучающие курсы на год - именно по этой программе.

Отредактировано Rosenfeld (12-05-2010 12:13:42)

Daglus · №8

Rosenfeld

скрытый текст

я же сказал Хакинтош (отученая ось от железок яблочных) :blush:

и я не Ярый фанат эпла, и не горю желанием переплачивать за бренд, когда большую роль играет как раз таки не какой фирмы комп, а цепь обработки звука (ампы, преампы, звуковая и тд. )

Lain_13 · №9

Daglus

скрытый текст

Вообще-то грамотно собранный хакинтош от "железок яблочных" вообще ни чем не отличается кроме прошивки BIOS и внешнего вида, прошивку можно и перепрошить... или просто обмануть инсталлятор. Яббл давно уже не делает своих железок, а только портит прошивки в чужих.

Отредактировано Lain_13 (12-05-2010 13:50:08)

krigstask · №10

скрытый текст

Как вы надоели со своим «скрытым тестом» не к месту

Lain_13 · №11

Ок, можно и так, почему бы и нет?

Отредактировано Lain_13 (12-05-2010 14:11:43)

lump · №12

Как страшно, как страшно. Сенсации... их тоже в топку.

ViRUS · №13

Методика такова:
1. На вход антивируса посылается безвредный код.
2. Проходящий все защитные барьеры.
3. ???
4. PROFIT!

okkamas_knife · №14

ViRUS
там для бугаги достаточно этого кусочка 1. На вход антивируса посылается

DEATH 999 · №15

Группа Matousec обнаружила вредоносное ПО, способное нанести вред практически любому компьютеру под управлением Windows XP даже при наличии на нем антивирусной программы. Вредоносное ПО носит название KHOBE (Kernel Hook Bypassing Engine) и использует уязвимости в службе таблиц дескрипторов ядра операционной системы. Благодаря методу подмены оригинального кода зараженным вирус не обнаруживается большинством современных антивирусных программ.
На данный момент известно, что KHOBE не представляет опасности для систем под управлением Windows 7 и Windows Vista, тем не менее большинство компьютеров в мире работают под управлением Windows XP и подвержены заражению. Кроме того, менее безопасными являются системы с современными многоядерными процессорами, так как их архитектура позволяет вредоносному коду проще обходить защиту.
Компании, занимающиеся компьютерной безопасностью, обещают в ближайшее время найти способ борьбы с KHOBE.

http://www.3dnews.ru/news/Poyavilsya-neuyazvimiy-kompyuterniy-virus/

Daglus · №16

угу, и будут продавать мифическую защиту, больше похоже на заказные статьи чтобы пользователи кидались покупать цяцьки и переходили на ~~убогое~~ обновление линейки от MC с их рюшечками :lol:

Отредактировано Daglus (14-05-2010 10:37:15)

Rosenfeld · №17

Там, в конце статьи, есть ссылочка на другую: "Облачные антивирусы - в теории и на практике. Часть 1".
Мне очень понравилось, как она заканчивается:

От теории - к практике
Облачные технологии в том или ином виде применяются в продуктах "Лаборатории Касперского", ESET, Symantec, Agnitum, F-Secure, Alwil Software и других вендоров, но полностью перевели свои решения на новую платформу далеко не многие антивирусные компании. Из числа таковых в настоящий момент мы можем назвать Panda Security с ее антивирусом Panda Cloud Antivirus, американского разработчика Immunet с облачным продуктом Immunet Protect и фирму Prevx с ее одноименными клауд-решениями для защиты компьютеров. О том, чем хороши перечисленные программы и откуда их можно скачать, мы расскажем во второй части материала.

... ненавязчивая рекламка такая ненавязчивая

okkamas_knife · №18

Хехе даёшь вирус специально для каспера!
Во!Производители железа тормозят!
пора уже "обнаруживать" вирусы поражающие системы с железками от определённых производителей например
вирус использует мифические уязвимости в процессорах интел,амд, в видеокартах итд или активизируется при подключении эппловских гаджетов!
и в конце :Покупайте наших слонов!

Зайчик Ben · №19

ненавязчивая рекламка такая ненавязчивая

Не понял иронии. И не увидел там никакой рекламы)
Особенно если учесть что cloud антивирусов по пальцем пересчитать, да и в обзоре победил бесплатный антивирус)

lump · №20

Статья явно "пахнет" заказухой. И ещё следует помнить, что тех кто всецело надеются на антивирусы, эти самые антивирусы как правило не спасают от мегатонн всякой бяки в system32...

Более менее вменяемый антивирус - хорошее подспорье, но не более. Лично я не боюсь того, что мои антивирусы могут обложатся в любой момент, ибо не на них единых оборона держится.

Rosenfeld · №21

Именно! Потому что голова должна быть на плечах, а оборона должна быть комплексной.

См.: "Поиск" - "комплексная защита компьютера"

Отредактировано Rosenfeld (15-05-2010 02:16:46)

X Strange · №22

Да уж... как-то странно. Обсуждают всё какие-то вирусы. Не разу их не видел, даже когда работал в винде. Хотя пользовался в то время браузером MS IE [ie]

Добавлено 15-05-2010 08:10:59
А вообще, главная уязвимость в системе --- сам пользователь.

lump · №23

Да есть они есть. К примеру вчера с чужого добра (ноут + стационарка) вымел ~700 единиц вражеской пехоты и 3 единицы бронетехники, т.е. вирусные тела нескольких троянчегов и 3 тяжковыводимых руткита типа TDSS и компания. На обоих стояли антивирусы, причём разные. Ума не приложу где они их берут да ещё в таком количестве.

Rosenfeld · №24

Ага! Годика полтора назад я своему собутыльнику и коллеге-полковнику с нуля делал ноутбук. Зная его "продвинутость", защитил его по полной. Сейчас он попросил прийти домой - подключил интернет и решил, чтобы я на машину посмотрел. Так я где-то ВОСЕМЬ(!) часов боролся с системой, причем периодически возникало стойкое желание все снести и установить по новой, благо, всего его драйвера были предусмотрительно скачаны мною ранее.

Так вот, на машине прожженого и седого старого оперативника был целый зоопарк! Как обычно, основной источник: сеть на работе, флешки, жена, DVD-диски "Триста игрушек - всё-в-одном". Самое главное, что на машине, как это водится, стояло все то, что я ранее сам(!) использовал в винде, все мои схемы. Но что все эти схемы могут поделать против пользователя, который, устанавливая игрушки с диска вместе с разнообразной заразой, по сто раз, не думая, жмет на "Разрешить любые действия" или "Доверять" (в качестве альтернативы: "Разрешить внести запись в реестр", "Прописаться в автозагрузку!) в тот момент, когда ему HIPS-функции фаэрволла просто кричат: "Эй, мужик! Ты что делаешь?! Поберегись! Не разрешай!"

P.S.. Как сказала мне одна подчиненная на работе после моей переустановки ее машины: "А я сразу отключила все эти непонятные штучки - они постоянно чего-то у меня спрашивали и мешали в "Одноклассниках" работать!

Отредактировано Rosenfeld (08-02-2011 00:04:10)

Sid · №25

Rosenfeld пишет

Зная его "продвинутость", защитил его по полной.

А не надо было. Бессмысленно ставить защиту, которая постоянно что-то спрашивает. Всё это заканчивается тем, что юзер отрубает её нафиг и в общем-то правильно делает, потому что ему нужно работать, играть, смотреть фильмы и слушать музыку, а не принимать тактические решения, на которые у него не хватает компетенции. Вот, скажем, Avast по умолчанию вообще ничего не спрашивает, а тихо отправляет вирусы в карантин, после чего говорит — хозяин, я тут файл какой-то подозрительный нашёл, глянь там, как время будет. Поэтому его никто не отключает, и в то же время своё дело он делает. Проверено на десятках пользователей.

Полезная информация

Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Re: Найден способ обмана любых антивирусов

Board footer