TDL3, den første Windows x64-kompatible kjernemodus rootkit-infeksjonen i naturen, er her!
TDL3 rootkit er en av de mest avanserte rotkittene som vi noensinne har sett i naturen. Rotkiten var stabil og kunne infisere 32-biters Windows-operativsystem; selv om administratorrettigheter var nødvendig for å installere infeksjonen i systemet.
TDL3 har nå blitt oppdatert, og denne gangen er dette en stor oppdatering; rootkit kan nå infisere 64-biters versjoner av Microsoft Windows-operativsystemet!
x64-versjoner av Windows betraktes som mye sikrere enn deres respektive 32-biters versjoner på grunn av noen avanserte sikkerhetsfunksjoner som er ment å gjøre det vanskeligere å komme inn i kjernemodus og hekte Windows-kjernen.
Windows Vista 64 bit og Windows 7 64 tillater ikke at alle sjåførene kommer inn i kjernehukommelsesområdet på grunn av en meget streng digital signaturkontroll. Hvis driveren ikke er digitalt signert, tillater ikke Windows at den lastes inn. Denne første teknikken tillot at Windows blokkerer hver kjernemodus rootkit fra å bli lastet, fordi malwares ikke vanligvis er signert - i det minste bør de ikke være.Den andre teknikken som brukes av Microsoft Windows for å hindre at kjernemodedriverne endrer Windows-kjernegangsoppførsel, er den beryktede Kernel Patch Protection, også kjent som PatchGuard. Denne sikkerhetsrutinen blokkerer hver kjernemodusdriver fra å endre følsomme områder av Windows-kjernen - f.eks. SSDT, IDT, kjernekode.
Disse to teknikkene kombinerte sammen tillot x64-versjoner av Microsoft Windows for å være mye bedre beskyttet mot kjernemodus rootkits.
De første forsøkene på å bryte denne Windows-sikkerheten hadde blitt drevet av Whistler bootkit, en ramme-bootkit solgt i undergrunnen og i stand til å infisere både x86- og x64-versjoner av Microsoft Windows.
Men denne versjonen av TDL3 kan betraktes som den første x64-kompatible kjernemodus rootkit-infeksjonen i naturen.
Den dropper blir droppet av vanlige sprekk og porno nettsteder, men vi forventer snart å se det falt av brukssett også, som skjedde med dagens TDL3-infeksjoner.
Les mer på Prevx.
