|
 |
|
Safe'n'Sec Rootkit Detector |
|
Антируткит от создателей StarForce |
|
Основное назначение: выявление kernel-mode RootKit (выявление скрытых модулей режима ядра (драйверов), обнаружение перехватчиков системных функций и поиск скрытых процессов)
Принцип работы: модуль при запуске регистрирует и запускает службу с динамически генерируемым и, которую удаляет сразу же по завершению работы, не оставляя после себя своих драйверов и записей в реестре. Методики обнаружения скрытых модулей режима ядра позволяют обнаружить скрытые с помощью RootKit драйвера включая DKOM - технологии (Direct Kernel Object Manipulation). Кроме анализа системных структур и системной памяти детектор использует для своей работы технологию "ловушки".
Поиск перехватчиков системных функций включает анализ модификаций системных таблиц (таблиц системных сервисов, экспорта ядра, системных прерываний), анализ модификаций машинного кода ядра, при этом AntiRootkit модуль сверяет целосность исполняемых файлов по собственной базе контрольных сумм (для наиболее распространенных билдов ОС); определяется подавляющая часть перенаправленных вызовов типа JMP, CALL, PUSH-RET, Debug Trap; модификация кода нераспознанным переходником, детектор сообщит о перехвате *unknown type*; определение модуля, осуществляющего обработку перехваченных функций. Детектор проинформирует о любой модификации машинного кода ядра и определит название ближайшей экспортируемой или SSDT - функции ядра, и дельта-смещение от ее точки входа.
Текущая бета-версия AntiRootKit - модуля при проведении внутреннего тестирования на Windows XP SP 2 продемонстрировала способность к обнаружению таких скрытых с помощью RootKit модулей режима ядра как:
Unreal.A v 1.0 by MP_ART & EP_X0FF (Demo RootKit)
rkdemo 1.2 by MP_ART (Demo RootKit)
phide_ex by PE386 (Demo RootKit)
Backdoor.Rustok.B (Malware RootKit)
FU rootkit by Fuzen (Demo RootKit)
Rootkit-детектор не использует для своей работы реактивные технологиии, и не привязан к сигнатурам или особенностям работы конкретного RootKit. Кроме того, детектор способен выявлять скрытые процессы. Реализованные методики позволяют обнаружить большинство rootkit, имеющих скрытый процесс, среди которых известные procmagic, fu и много других. |
|
Скачать Safe'n'Sec Rootkit Detector |
nehalem |
|
|