遭遇新公敌 “隐形”rootkit现身（转）

最新推荐文章于 2025-12-20 10:32:27 发布

转载最新推荐文章于 2025-12-20 10:32:27 发布 · 98 阅读

文章标签：

安全研究揭示了一款名为Backdoor.Rustock.A的新型rootkit，该恶意软件采用创新技术，能在包括Windows Vista Beta在内的系统中隐形运行，规避多数安全软件检测。这款rootkit运用NTFS交替数据流等技术，每次启动时更改代码，甚至扫描rootkit检测工具，被视为新一代rootkit的先驱。

安全研究人员发现了一种几乎可以完全“隐形”的新型rootkit后门软件，大大提高了防护软件检测、清除的难度。
　　这种被赛门铁克称为Backdoor.Rustock.A、被F-Secure称为Mailbot.AZ的rootkit使用了一系列新技术，并结合已有技术，在被感染的系统(即使是Windows Vista Beta)中安装后可有效逃避大多数安全软件的检测，被视为“新一代rootkit的先锋”。

　　据介绍，该rootkit的主要“隐形”技术有：与NTFS交替数据流(ADS)技术结合、运行在驱动程序和内核线程中而没有自己的线程、不与任何原生API挂接、通过特殊的中断要求封包(IRP)来控制系统内核功能、将自己完全从内核结构中移除、SYS内核驱动每次都会改换代码、扫描已运行的rootkit检测工具。

　　F-Secure表示，其rootkit扫描工具BlackLight 2.2.1041可以检测到这种新型rootkit，但还很难达到有效地随时检测、清除的目的。

　　赛门铁克认为这种rootkit来自俄罗斯，而且其代码显示可能很快会出现新的变种。赛门铁克计划将其称为Backdoor.Rustock.B。

　　安全研究人员Joanna Rutkowska日前曾表示，她已经利用AMD的SVM/Pacifica虚拟化技术开发出一种新的恶意软件，“百分之百无法被检测到”。

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/10294527/viewspace-124146/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/10294527/viewspace-124146/