【分享】防毒軟體如何對抗 Rootkit

[kaspersky]

病毒寫作者所面對的最大難題之一，便是如何將惡意程式碼藏匿在受感染的機器中，而不被使用者發現。 在病毒寫作者的理想世界中，防毒解決方案也將無法偵測到惡意程式碼。 如今寫作惡意程式碼已不再是個人娛樂，而是可以獲利 (當其牽涉到犯罪行為時) 的行業，對那些為錢賣命的駭客而言，消匿自身的蹤跡也就益形重要。 那麼，可以偷取銀行帳戶詳細資料，或安裝 Proxy 伺服器、瞞著機器所有人寄送垃圾郵件的程式，要如何隱藏呢？

現在的網路罪犯，使用的是 10 或 15 年前網路破壞者便使用過的手法。 就個人電腦而言，Virus.Boot.Brain.a 是最早為人所知的病毒之一。 此種開機磁區病毒會攔截磁碟的系統功能存取。 當開機磁區讀取時 (例如，由防毒解決方案讀取)，病毒會將受感染的資料替換為乾淨的原始資料。 此類隱形機制 (攔截系統功能並替換傳回的資料) 自當時起便運用於 Windows 病毒中。 (Virus.Win32.Cabanas.a)。

如今，針對 UNIX 的惡意程式並不如針對 DOS 與 Windows 環境的惡意程式那樣氾濫。 「Rootkit」一字來自 UNIX 界；但目前通常用於描述 Windows 木馬程式作者所運用的隱形技術。 起初，「Rootkit」指的是一組程式，可讓駭客躲過偵測。 為達成此目的，可執行的系統檔案 (如 login、ps、ls、netstat 等) 或系統程式庫 (libproc.a) 會遭到更換，或安裝核心模組。 這兩種動作只有一個相同目的；防止使用者收到正確資訊，知道電腦上發生了什麼事。
全文請見此連結

[harry_chang2003]

NOD32 v2.7才剛加入
新 Anti-Stealth 技術來對抗活動中的 Rootkits