Rootkit verschiebt Windows in virtuelle Maschine

Dieses Thema im Forum "Netzwelt" wurde erstellt von Melcos, 18. Oktober 2006 .

  1. 18. Oktober 2006
    Rootkit verschiebt Windows in virtuelle Maschine

    Auf dem Ende Oktober stattfindenden, von Microsoft initiierten Hackertreffen BlueHat soll ein weiteres Virtual Machine Rootkit vorgestellt werden, das in der Lage ist, Windows zur Laufzeit in eine virtuelle Maschine (VM) zu verschieben. Das Vitriol getaufte Rootkit nutzt dazu Intels Virtualization Technology (VT-x, ehemals Vanderpool). Anders als bei Software-Virtualisierungstechniken bieten auf Hardware beruhende Virtualisierungslösungen direkte Unterstützung durch den Prozessor.

    Das in eine VM verschobene Windows oder Linux hat anschließend keinerlei Möglichkeiten mehr, das Rootkit zu erkennen, da es außerhalb seines Wahrnehmungshorizontes läuft. Virenscanner und Rootkit-Schnüffler haben so ebenfalls keine Chance mehr, das System zu schützen. Auch Vistas neue Kernelschutzfunktionen für 64-Bit-Systeme PatchGuard und Treibersignierung wären dann nutzlos. Vitriol wurde vom Sicherheitsspezialisten Dino Dai Zovi entwickelt und bereits auf der vergangenen Black-Hat-Konferenz vorgestellt (Link zu PDF-Dokument) – allerdings nicht vorgeführt. Joanna Rutkowska hingegen hatte auf der Black-Hat einen Prototyp ihres Blue Pill genannten VM-Rootkit in der Praxis gezeigt. Blue Pill nutzt AMDs Virtualisierungslösung SVM/Pacifica, um Windows während des Betriebs einen Hypervisor unterzuschieben. Auch Microsoft untersucht mit seinem Proof-of-Concept-Rootkit SubVirt die Auswirkung von VM-Rootkits.

    Zur BlueHat werden nur ausgewählte Sicherheitsspezialisten eingeladen, um mit Microsoft über Schwachstellen zu diskutieren. Auf der vergangenen BlueHat waren unter anderen David Litchfield, Halvar Flake, HD Moore und Alexander Kornbrust unter den Vortragenden zu finden.

    Siehe dazu auch:
    Rootkit infiltriert Beta-Version von Windows Vista, Meldung auf heise Security
    Microsoft demonstriert Virtualisierungs-Rootkit, Meldung auf heise Security

    Quelle: heise.de
     
  2. 20. Oktober 2006
    AW: Rootkit verschiebt Windows in virtuelle Maschine

    Oh oh, das wär das aus für alle AV's. Außer das Root-Kit wird schon vor dem starten erkannt oder man kann im BIOS oder so die Virtualisierung abschalten :/

    mfg r90
     
  3. 20. Oktober 2006
    AW: Rootkit verschiebt Windows in virtuelle Maschine

    bald gibt es einen dl link dazu ...

    die idee ist spitze , nur wird das RK dann nicht mehr so klein bleiben wie die bisheringen denke ich .,.,
     
  4. 21. Oktober 2006
    AW: Rootkit verschiebt Windows in virtuelle Maschine

    Guten Morgen, da muss ich dich leider in deiner Erwartung etwas ausbremsen. Rootkiterkennung ist auch jetzt schon kein Leichtes! Aber ich denke, dieses RK wird so groß, dass es auffällt wenn ich mir das auf meinen Rechner hol, wovon ich stark ausgehe dass es sowieso nicht passiert.
     
  5. 21. Oktober 2006
    AW: Rootkit verschiebt Windows in virtuelle Maschine

    Was? Da oben findet des echt einer super. Gratulation und was is wenn so eines bei dir draufkommt und du es net mal merkst? Lamer. Naja, ich finds echt und ich hoff die haben bald ne Lösung dagegen oder zumindest nen Ansatz. Wär ja echt krank. Erinnert mich an StarForce, war am Anfang auch echt krank für alle



    BB. Ch3c.
     
  6. 21. Oktober 2006
    AW: Rootkit verschiebt Windows in virtuelle Maschine

    was ist eigentlich ein root kit?was bietet es für vorteile? wozu ist es da? kann mir das vielleicht jemand auf deutsch nicht auf wikipediadisch erklären? =)

    dank eim voraus- Chr1s
     
  7. Video Script

    Videos zum Themenbereich

    * gefundene Videos auf YouTube, anhand der Überschrift.