〔转贴www.cnbeta.com〕360safe 发现俄罗斯新型rootkit隐藏技术

  最新消息, 两名俄罗斯黑客EP_XOFF和MP_ART于美国时间19日上午7时45公布了他们的新型Rootkit技术, 命名为"Unreal", 目前所有的Rootkit检测工具均对其无效, 中国RootKit研究者MJ0011在16时53分公布了对这种恶意软件的检测和清除技术.


美国时间19日上午7时45分 在Windows Sysinternals论坛的Malware (恶意软件) 版块上, 两名俄罗斯黑客发布了如下帖子:"New technology of rootkits: Unreal", 其中说明了他们最新发现的Unreal Rootkit技术, 并给出了一个样本. 声称该技术可以做到无进程, 隐藏文件和驱动, 无注册表隐藏, 包括俄罗斯, 中国, 美国, 波兰等多个国家的安全组织、杀毒软件厂商的25种权威反RootKit工具全都在这个新的RootKit技术前失效.



已被验证的失效反RootKit工具有:



1. Rootkit Unhooker v3.01
2. Rootkit Revealer v1.71
3. F-Secure Blacklight
4. DarkSpy v1.05
5. DarkSpy v1.05fixedbeta2
6. IceSword v1.20
7. GMER v1.012
8. Helios v1.1a
9. SVV v2.3
10. McAfee Rootkit Detective
11. Sophos AntiRootkit
12. TrendMicro RootkitBuster
13. AVG AntiRootkit
14. AVZ v4.23 ARK Module
15. BitDefender Rootkit Uncover
16. Panda AntiRootkit
17. Panda Tycan
18. modGreeper v0.3
19. flister
20. UnHackMe
21. SEEM v4.x
22. SafetyCheck v1.5.x
23. Avira AntiRootkit
24. HiddenFinder v1.301
25. RkDetector v0.6



其中包括趋势、麦克菲, 熊猫等著名杀毒厂商的反Rootkit工具, 以及国内知名的反rootkit工具Icesword(冰刃),DarkSpy,Rootkit Unhooker,Gmer等
俄罗斯黑客称他们都是 "no best antirootkits"



样本中的Unreal.exe虽然只是一个演示demo, 没有任何危害系统的部分 (只是不断地输出调试信息以证明自己的存在)
但是由于两名俄罗斯黑客同意向有需要的人提供样本的源代码, 因此该技术很容易被恶意软件的制作者利用.



两名俄罗斯黑客称, 虽然该技术理论上可以被检测和清除, 但实际上存在较大的困难. 该技术一旦被恶意利用, 可能很长一段时间内反病毒及反Rootkit厂商或作者都无法做出回击.



样本下载连接:
http://www.rku.xell.ru/?l=e&a=dl
帖子连接:
http://forum.sysinternals.com/forum_posts.asp?TID=9630&PN=1&TPN=1



21日的下午,来自360安全卫士的中国Rootkit研究者MJ0011得到该rootkit的样本, 并很快对该技术进行了彻底分析, 并与美国时间21日16时53分回复相关帖子, 声称自己的私有版本的Anti-Rootkit工具DarkDetector已经可以对使用了该技术的demo或是恶意软件进行检测和清除
并贴出了检测的截屏图, 公布了相关的技术信息,包括了该Rootkit使用的相关技术细节, 以及检测/清除方案


运行rootkit演示版本后, 文件被隐藏


使用DarkDetector, 检测出隐藏的文件 (目前所有反Rootkit工具无法做到,即使直接编辑磁盘的WINHEX也无法检查到该文件)


1.该Rootkit使用了ADS 即NTFS文件流技术对文件进行隐藏, 使很多反Rootkit工具失效



2.该Rootkit同时使用FileSystem Filter技术同ADS技术结合, 互相保护, 导致即使具有ADS检测功能的反Rootkit工具比如Gmer,Rootkit Revealer,Lads,Winhex也无效



3.该Rootkit使用了新型的DKOM, 即Direct Kernel Object Modify (内核模块直接修改) 技术, 不通过任何内核钩子, 对自己的Driver Object进行隐藏, 这种隐藏技术极难被检测出来, 此次放出的新型Rootkit使一些本来能检测DKOM隐藏的反RootKit工具比如DarkSpy,Rootkit Unhooker也都失效了, 可见使用了更高超的DKOM技术



由于此种Rootkit仍需依赖文件, 因此MJ0011提出直接将相关的FileSystem Filter清除或是绕过Filter, 直接读取ADS, 就可以检测出被隐藏的文件, 并清除之, 这样, 重启动后, 该Rootkit将无法继续生效. 据说在其最新的DarkDetector中, 就使用了相关的方法, 以使文件可以被检测出来并进行清除.



 "该技术较为稳定, 加上公开代码, 很可能被恶意软件利用,没有成熟的解决方案而只靠一两项简单的技术就想碎这种Rootkit的甲是很困难的. DarkDetector的相关技术在360安全卫士的内核部分360SuperKill中也有用到, 因此对这种使用了高级Rootkit技术的恶意软件, 360安全卫士一样可以轻松对付"  , MJ0011如是说.

MJ0011到底是谁啊？酒肉和尚还是WQXNETQIQI
多次在cnbeta上发现MJ0011署名贴，猜测来自奇虎，看来没有猜错。如果他们的帖子发在这里就好了，这里的游客比cnbeta更专业。更有像PJF wowococke killvxk 一大堆牛人。他们来评点的时候，也可以多学些东西。

cnbeta是奇虎赞助的.

那里有源码!研究一下.

Can you post your screenshot here not on your extremely slow server?

Quote:
c:\unreal.sys  


It is not our file.

被老外郁闷了一把,呵呵
NTFS文件流技术对文件进行隐藏,结合文件过滤方法的确不错,那2个俄罗斯的家伙也确实精力旺盛,上次和他们PK了一把,后来也忙其他事情,而不关注他们了.

引用第1楼guaiguaiguan于2007-01-22 08:54发表的“”:
MJ0011到底是谁啊？酒肉和尚还是WQXNETQIQI
多次在cnbeta上发现MJ0011署名贴，猜测来自奇虎，看来没有猜错。如果他们的帖子发在这里就好了，这里的游客比cnbeta更专业。更有像PJF wowococke killvxk 一大堆牛人。他们来评点的时候，也可以多学些东西。

宣传贴自然是发在平民化地方

引用第2楼znsoft于2007-01-22 09:07发表的“”:
cnbeta是奇虎赞助的.

貌似不是哦

引用第3楼smyuuu于2007-01-22 09:44发表的“”:
那里有源码!研究一下.

可以发EMAIL找作者要，看原贴有

引用第4楼wowocock于2007-01-22 09:59发表的“”:
Can you post your screenshot here not on your extremely slow server?

Quote:
c:unreal.sys  

.......

一开始打错了名字而已。。。。看后面贴就知道了

。。。BAIDU是extremely slow server。。郁闷。。。
找了几个国外服务器都是超慢，地震害死人呀

感觉这里的人的确也精力超级旺盛，虽然不是在开发国产操作系统，但都是辛苦在内核里面耕耘，甚至有点钻牛角尖。

引用第9楼guaiguaiguan于2007-01-22 11:09发表的“”:
感觉这里的人的确也精力超级旺盛，虽然不是在开发国产操作系统，但都是辛苦在内核里面耕耘，甚至有点钻牛角尖。

你不也是 而且还是Cnbeta忠实转贴者``~

你在这里也贴上一份，我不用再劳神贴来贴去了。  

c:\:unreal.sys
这个可以是文件路径？？？
那个RK在我机器上运行时，释放资源创建文件时没有成功过。。。
怎么搞的？？

引用第3楼smyuuu于2007-01-22 09:44发表的“”:
那里有源码!研究一下.

没看到~
主要是对后面那个dkom的玩意有兴趣~前面那些都是古老的技术(ADS+FSD Filter)

引用第13楼killvxk于2007-01-22 16:51发表的“”:


没看到~
主要是对后面那个dkom的玩意有兴趣~前面那些都是古老的技术(ADS+FSD Filter)

恩,确实没意思.就是玩噱头.技术都是过时的.

引用第14楼cardmagic于2007-01-22 18:51发表的“”:



恩,确实没意思.就是玩噱头.技术都是过时的.

哈哈，原来老外也特喜欢炒作

引用第7楼WQXNETQIQI于2007-01-22 10:20发表的“”:

可以发EMAIL找作者要，看原贴有

那哥们居然要我用源代码交换，靠

楼上的，这不是很公平么

貌似公平阿~但是用什么代码换呢?
把cardmagic打包给他？

呵呵，继续看