Легальные буткиты

[Decryptor]

Автор: Вячеслав Русаков

 

Предисловие

 

Ни для кого не секрет, что в некоторых легальных продуктах используются руткит-технологии.

 

В антивирусных продуктах различные проактивные механизмы защиты применяют перехваты системных функций в том или ином виде. Вредоносный код также использует подобные алгоритмы, однако, антивирусное ПО, в отличие от вредоносного кода, не пытается скрыть модификации, произведенные в системе.

 

Многим известны программы для шифрования данных, например, TrueCrypt. Подобные программы умеют шифровать, в том числе, целые разделы или диски. Для того чтобы появилась возможность шифрования системного раздела, разработчикам данного вида защитного ПО необходимо реализовать свой собственный загрузчик, а также модифицировать MBR. Подобные технологии используются в современных буткитах, однако, данному классу защитного ПО, в отличие от буткита, нет нужды скрывать свой собственный загрузчик

 

Аналогично программам шифрования технологию модификации MBR используют некоторые сторонние загрузчики операционных систем (LILO, GRUB).

 

Руткит-технологии, основанные на перехватах системных функций, используются и в различных коммерческих (в частности, игровых) защитах, причем многие защиты довольно агрессивны.

 

Надо понимать, что использование руткит-технологий в легальных продуктах требует большой осторожности, ибо эти технологии могут быть использованы не только во благо, но и со злонамеренной целью. Я имею в виду, что грань между безопасной и опасной реализацией технологии довольно тонкая, и переступить ее можно легко. Если продукт реализован неаккуратно, злоумышленники могут этим воспользоваться.

 

Многие, думаю, помнят громкий скандал в 2005 году, связанный с компанией Sony и ее системой защиты от копирования аудио-CD. В этой защите применялись руткит-технологии, причем вредоносные программы могли использовать данную систему защиты для сокрытия собственных вредоносных компонентов. То есть компонент, который обеспечивал данный функционал, был написан небрежно и открывал такую возможность его эксплуатации, которая не была предусмотрена разработчиками.

 

Насколько вообще оправдано использование руткит-технологий в легальном программном обеспечении? Насколько при использовании таких технологий в легальных продуктах велик риск компрометации операционной системы и пользовательских данных? Насколько тонка грань между легальными и киберкриминальными методами?

Читать далее....