【分享】防毒軟體如何對抗 Rootkit

病毒寫作者所面對的最大難題之一，便是如何將惡意程式碼藏匿在受感染的機器中，而不被使用者發現。在病毒寫作者的理想世界中，防毒解決方案也將無法偵測到惡意程式碼。如今寫作惡意程式碼已不再是個人娛樂，而是可以獲利 (當其牽涉到犯罪行為時) 的行業，對那些為錢賣命的駭客而言，消匿自身的蹤跡也就益形重要。那麼，可以偷取銀行帳戶詳細資料，或安裝 Proxy 伺服器、瞞著機器所有人寄送垃圾郵件的程式，要如何隱藏呢？

現在的網路罪犯，使用的是 10 或 15 年前網路破壞者便使用過的手法。就個人電腦而言，Virus.Boot.Brain.a 是最早為人所知的病毒之一。此種開機磁區病毒會攔截磁碟的系統功能存取。當開機磁區讀取時 (例如，由防毒解決方案讀取)，病毒會將受感染的資料替換為乾淨的原始資料。此類隱形機制 (攔截系統功能並替換傳回的資料) 自當時起便運用於 Windows 病毒中。 (Virus.Win32.Cabanas.a)。

如今，針對 UNIX 的惡意程式並不如針對 DOS 與 Windows 環境的惡意程式那樣氾濫。「Rootkit」一字來自 UNIX 界；但目前通常用於描述 Windows 木馬程式作者所運用的隱形技術。起初，「Rootkit」指的是一組程式，可讓駭客躲過偵測。為達成此目的，可執行的系統檔案 (如 login、ps、ls、netstat 等) 或系統程式庫 (libproc.a) 會遭到更換，或安裝核心模組。這兩種動作只有一個相同目的；防止使用者收到正確資訊，知道電腦上發生了什麼事。
[URL="http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=7508&blogId=28"]全文請見此連結[/URL]