【轉貼】iThome online : : 揪出資安威脅藏鏡人：傀儡程式

[URL="http://www.ithome.com.tw/itadm/article.php?c=37280"]iThome online : : 揪出資安威脅藏鏡人：傀儡程式[/URL]
[indent]在臺灣，傀儡網路攻擊案件媒體曝光率雖然不高，但臺灣卻是全球感染傀儡程式、遭受傀儡網路攻擊最盛的國家之一。根據賽門鐵克全球網路安全威脅報告指出，臺灣在2005年上半年，名列全球傀儡程式感染國第10名，到2005年下半年則上升為第7名；而臺北市更以全球14%的傀儡程式感染率，排名亞太區Bot感染城市第3名，全球排名第6名。[/indent]
[URL="http://www.sysinternals.com/utilities/rootkitrevealer.html"]Sysinternals - RootkitRevealer[/URL]
[URL="http://www.tripwire.com/products/enterprise/ost/"]Tripwire Enterprise/Open Source Tripwire Comparison[/URL](Linux)
[URL="http://www.foundstone.com/resources/freetools.htm"]FREE TOOLS[/URL](有許多免費的掃描程式)

補充: (2006-12-28)
[URL="http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=8008&blogId=673"]大砲開講 | 趨勢科技發佈 RootkitBuster BETA ![/URL]
[URL="http://malware-test.com/blog/"]大砲開講[/URL]
[URL="http://www.ithome.com.tw/plog/index.php?op=ViewArticle&articleId=7508&blogId=28"]卡巴斯基 Kaspersky Blog | 防毒軟體如何對抗 Rootkit[/URL]

補充: (2006-12-30)
[URL="http://www.pczone.com.tw/showthread.php?t=126870"]【軟體】Sophos 提供免費 Rootkit 移除工具[/URL]

補充: (2007-01-12)
[URL="http://malware-test.com/smf/index.php?board=24.0"]malware-test.com > 中文討論區 (Chinese Edition) > 惡意程式分析工具/軟體[/URL]
[URL="http://malware-test.com/blog/archives/2006/10/12/5"]大砲開講 » Blog Archive » 反間諜軟體的未來[/URL]
[URL="http://malware-test.com/blog/archives/2007/01/07/156"]大砲開講 » Blog Archive » 如何辦識系統上有沒有惡意程式或間諜軟體(上)[/URL]
[URL="http://malware-test.com/blog/archives/2007/01/07/173"]大砲開講 » Blog Archive » 如何辦識系統上有沒有惡意程式或間諜軟體(下)[/URL]

愈來愈多軟體商推出免費的反傀儡程式工具, 小弟前面也介紹了其中三套, 然而不論是哪一套, 還不如Rootkit 作者的說法來得有公信力

[URL="http://forum.sysinternals.com/forum_posts.asp?TID=9630&PN=1"]Sysinternals Forums: Unreal: Rootkit Detectors / Bypassing[/URL]
[INDENT][B]ARK TESTS:
========================================
1. Rootkit Unhooker v3.01 [COLOR=RED]BYPASSED[/COLOR]
2. Rootkit Revealer v1.71 [COLOR=RED]BYPASSED[/COLOR]
3. F-Secure Blacklight [COLOR=RED]BYPASSED[/COLOR]
4. DarkSpy v1.05 [COLOR=RED]BYPASSED[/COLOR]
5. DarkSpy v1.05fixedbeta2 [COLOR=RED]BYPASSED[/COLOR]
6. IceSword v1.20 [COLOR=RED]BYPASSED[/COLOR]
7. GMER v1.012 [COLOR=RED]BYPASSED[/COLOR]
8. Helios v1.1a [COLOR=RED]BYPASSED[/COLOR]
9. SVV v2.3 [COLOR=RED]BYPASSED[/COLOR]
10. McAfee Rootkit Detective [COLOR=RED]BYPASSED[/COLOR]
11. Sophos AntiRootkit [COLOR=RED]BYPASSED[/COLOR]
12. TrendMicro RootkitBuster [COLOR=RED]BYPASSED[/COLOR]
13. AVG AntiRootkit [COLOR=RED]BYPASSED[/COLOR]
14. AVZ v4.23 ARK Module [COLOR=RED]BYPASSED[/COLOR]
15. BitDefender Rootkit Uncover [COLOR=RED]BYPASSED[/COLOR]
16. Panda AntiRootkit [COLOR=RED]BYPASSED[/COLOR]
17. Panda Tycan [COLOR=RED]BYPASSED[/COLOR]
18. modGreeper v0.3 [COLOR=RED]BYPASSED[/COLOR]
19. flister [COLOR=RED]BYPASSED[/COLOR]
20. UnHackMe [COLOR=RED]BYPASSED[/COLOR]
21. SEEM v4.x [COLOR=RED]BYPASSED[/COLOR]
22. SafetyCheck v1.5.x [COLOR=RED]BYPASSED[/COLOR]
23. Avira AntiRootkit [COLOR=RED]BYPASSED[/COLOR]
24. HiddenFinder v1.301 [COLOR=RED]BYPASSED[/COLOR]
25. RkDetector v0.6 [COLOR=RED]BYPASSED[/COLOR]
========================================[/B][/INDENT]
可別讓以上結果嚇壞了您, 先補充一下前提, 以免大家誤解其測試方法:
[INDENT]This rootkit is [B]not intended[/B] to be runned with Host Intrusion Prevention Systems.
It is intended [U]ONLY[/U] for testings with modern AntiRootkit software.[/INDENT]
這一段說明得很清楚, 測試的目的不在於[B]防止[/B]Unreal Test Rootkit 入侵, 而在於入侵之後, 如何以各家的Anti-Rootkit 技術[B]偵測[/B]Unreal 的存在! 困難度可想而知, 除了Unreal 使用特殊隱藏技術之外, 如何根據其[B]行為[/B]特徵把它找出來, 而不是靠[B]肉眼[/B]瞎猜, 這才是重點, 此外為了避免被EP_X[B]0[/B]FF 點名, 小弟也必須請大家仔細閱讀[COLOR=RED][B]BYPASSED[/B][/COLOR] List 之前的介紹, 因為少數參與討論的人士未仔細閱讀前言, 因而引發不必要的論戰, 有人說他們能偵測Unreal, 然而那可能是 "[B]看圖說故事[/B]" 的結果, 當然這還有爭論, 各有各的堅持, 若沒有把每個人的論點[B]全盤[/B]看完, 還真難搭上腔, 小弟想指出的是Unreal 的目的在於測試各家Anti-Rootkit 的能力, 所以前提是假設你已經中了不知名的Rootkit, 要如何去找出來? 而不是拼命解釋這款代誌嘸可能發生, 我有安裝[B]XXX[/B], 所以一定可以偵測到, 或者只要使用[B]受限制的用戶[/B]就不必擔心, 如此種種[B]文不對題[/B]的話, 只會讓人看了搖頭, 再說天下沒有[B]完美[/B]的系統, 就算使用受限制的用戶, Rootkit 還是有可能找出[B]漏洞[/B]提昇權限, 如今[B]Unreal.A[/B] 展示了一種新的能力(非指[B]入侵[/B], 而是[B]隱藏[/B]), 也許您會說 "知道了, 我們可以對付它", 但是誰有把握對付尚未發表的[B]Unreal.B[/B] 加上補也補不完的[B]漏洞[/B]呢? 其實這本來就是一場永無止境的競賽, 勝利只是暫時的, 實在沒必要多做無謂的爭執, 不過小弟另外想指出的, 是參與討論的雙方[B]實力不對等[/B], 所以才無法激盪出智慧的火花, 除了並未露面的[URL="http://www.blogcn.com/user17/pjf/"]PJF[/URL] 之外, 上得了檯面的也只有[URL="http://blog.csdn.net/mj0011"]mj0011[/URL], 少了周瑜, 何以彰顯孔明的智慧?

[B]PS[/B]. 這些俄共實在很厲害, 不但看老共的文章, 挖出[COLOR="Magenta"]人家[/COLOR]的私房照, 就連malware-test.com 也被盯上, 當然也包含其他批評他們的文章, 似乎沒有什麼事情可以逃過他們的法眼, 實在冒犯不得啊!

除了冰刃(IceSword)之外, 小弟特別引用EP_X[B]0[/B]FF 的一段話:
[QUOTE=EP_X0FF]Unreal.A (v1.0) source code has been sent to [B]F-Secure[/B] Researchers, because they antirootkit has the more potential than any other from AV company.[/QUOTE]
坦白說, 看老俄大喇喇地說 "BULLsh*t", "su**", "f**ked" 和 "WTF" (enhanced "f**k"), 看得小弟也不免血脈噴張, 真是快人快語! :D

我對相關測試方法比較有興趣，能簡單介紹一下嘛?

方法? 就是要勇於嘗試啊! 看看您所使用的反間諜(毒)軟體是否能夠讓您高枕無憂? 不過千萬別告訴小弟您剛一[B]安裝[/B] "Unreal.A", 馬上就被反間諜軟體逮到了, [B]LOL[/B]! 請把[URL="http://www.pczone.com.tw/thread/28/130060/#post950921"][B][COLOR="Red"]#2[/COLOR][/B][/URL]再看仔細一點, 否則別人無法研判該給您一本國語字典, 還是一張巨匠電腦的試聽券
[INDENT][URL="http://www.rku.xell.ru/?l=e&a=dl"]Unreal & Rootkit Unhooker - Download[/URL][/INDENT]
如果您還不放心的話, 那就借您一件[B]金鐘罩鐵布杉[/B]
[INDENT][URL="http://www.pczone.com.tw/thread/67/128466/#post931863"]【轉貼】PowerShadow-方便安全的軟體測試平台 - PCZONE 討論區[/URL][/INDENT]
不過小弟平時就有穿[B]防彈衣[/B]做重點保護
[INDENT][URL="http://www.pczone.com.tw/thread/28/130957/"]【轉貼】Mark's Blog : Running as Limited User - the Easy Way - PCZONE 討論區[/URL][/INDENT]
不入虎穴, 焉得虎子?
[INDENT][URL="http://www.rootkit.com/"][B]ROOTKIT[/B][/URL]
[URL="http://www.antirootkit.com/"]Anti Rootkit Software, News, Articles and Forums[/URL][/INDENT]
[URL="http://en.wikipedia.org/wiki/Rootkit"][B]Rootkit - Wikipedia, the free encyclopedia[/B][/URL]
[INDENT]There is a way to delete a rootkit using another filesystem driver when the system is online. [URL="http://www.rootkitdetector.com/"][B]Rkdetector v2.0[/B][/URL] implements a way to wipe hidden files when the system is running using its own NTFS and FAT32 filesystem driver. Once erased and after a system reboot, rootkit files will not be loaded because data contained is corrupted.[/INDENT]
徹底掃除Rootkit 的方法之一, 就是啟動另一個乾淨的系統, 然後進行地毯式搜尋, 當然這也是不得已的, 除了上述[B]Rkdetector[/B] 之外, 製作一個[URL="http://www.pczone.com.tw/thread/3/55925/"][B]WinPE/BartPE[/B][/URL] 緊急救援系統也不失為一個好方法, 平時就得多燒香, 才不會臨時抱佛腳