Bezpieczeństwo w systemach x64 - łopatologicznie

[Diomedes]

Trudno znaleźć jednoznaczne informacje na temat bezpieczeństwa Visty (i innych Windowsów)- są artykuły w tym stylu:

http://www.chip.pl/news/bezpieczenstwo/luki-bezpieczenstwa/2009/11/microsoft-64-bitowe-systemy-sa-bezpieczniejsze

jak i prezentujące całkiem odmienne stanowisko.

A jak to jest naprawdę (pomijając kwestię, czy ta większa "bitowość" jest nam potrzebna) ? Co z rozpowszechnieniem i zjadliwością "dedykowanych" złośliwych programów wszelkiego autoramentu ? Jak radzi sobie oprogramowanie ochronne ?

[Anonim6]

Ale, ze oco chodzi bo nie bardzo rozumiem? Sa uzytkownicy za Firewall-em i Bog wie jakim Avastem / Comodastem i innym ciastem z ciaglymi problemami.

Jak masz umysl 8-mio bitowy to nic Ci nie pomoze (to nie konkretnie do Ciebie - bez urazy).

Nie ma zabezpieszenia w 100% pewnego.

 

Wciskanie platnego zabezpieczenia odpornego na wszystko jest jak wciskanie takich gadzetow ; nie tepiace sie noze, nie slizgajace sie na wodzie opony, wieczne piora, multiwitaminy, facebook - tu musze muhahahaha, wydajniejsze o poltoraraza procesory od poprzedniej generacji - tylko nie podane w czym (to z reklamy) - muhahahah ....wymieniac dalej?

 

Twoje pytanie doprowadzi do komentarzy jak po meczu reprezentacji.

[picasso]

MarekB

 

Chodzi o natywne zabezpieczenia platformy x64, a nie wtórnie dodane.

 

 

 

Diomedes

 

Podajesz artykuł z roku 2009, świat o trzy lata do przodu. Pozornie większe zabezpieczenie systemu x64 to wynikowa: utrudnień ze strony MS (PatchGuard + wymóg podpisów cyfrowych dla sterowników) oraz mniejszego zainteresowania wersją x64 (pisano malware 32-bitowe). A pozornie, bo sytuacja ulega zmianie, są już sztuczki jak zrobić w bambuko zabezpieczenia MS i pojawiają się nowe malware specjalizowane w osadzeniu na systemie x64. Użytkownicy systemów x64 nie mogą spać spokojnie. Przykładowe materiały do wglądu:

 

Defeating x64 - Modern Trends of Kernel-Mode Rootkits (plik PDF z dokładną techniczną analizą)

Hasta La Vista, Bootkit: Exploiting the VBR

An unlikely couple: 64-bit rootkit and rogue AV for MacOS

Rootkit Banker - now also to 64-bit

The co-evolution of TDL4 to bypass the Windows OS Loader patch (KB2506014)

 

1. Aktualnie są możliwe takie oto natywnie 64-bitowe infekcje:

- Rootkity MBR i VBR (TDL4 / Cidox aka Rovnix / MaxSS). Z tej grupy ostatnio w obiegu nowy model infekcji typu "bootkit", infekcja wykorzystuje miejsce na końcu dysku rezerwowane na konwersję dysku dynamicznego i z tej przestrzeni tworzy mikro partycję własną, którą ustawia jako aktywną. Partycja z plikami rozruchowymi Windows przestaje być rozruchową, system bootuje przez partycję rootkit. Usunięcie rootkita bez przestawienia flagi partycji = całkowicie niebootowalny system.

- Rootkit Necurs: infekcja wykonuje edycję pliku startowego BCD, by włączyć Tryb testowy (to furtka zostawiona przez MS do testowania sterowników), w konsekwencji jest możliwe załadowanie 64-bitowego sterownika rootkita, który to sterownik hookuje funkcje systemowe, blokuje sterowniki programów zabezpieczających (antywirusy padają).

- Rootkit Banker: podobna metoda jak wyżej, czyli obejście na poziomie pliku startowego BCD, by załadować sterownik 64-bit infekcji.

- Trojan ZeroAccess. Nie działa jak rootkit. Aktualnie znane mi trzy natywnie 64-bitowe warianty: consrv.dll ładowane przez SubSystems, CLSID ładowane przez sfałszowane klasy oraz services.exe (infekcja głównego 64-bitowego pliku systemowego). Pomijając już sam fakt zainfekowania, "w bonusie" infekcja wycina z rejestru cały komplet usług Windows (Zaporę / Centrum zabezpieczeń i Windows Defender).

 

2. Poza tym, infekcje 32-bitowe też mogą wyrządzić szkody. Przykład z forum: infekcja 32-bit ładowana via Harmonogram zadań (para plików JOB + DLL w SysWOW64), która wyłącza Centrum zabezpieczeń / Przywracanie systemu / Windows Defender i MS Essentials. Jest 32-bitowa, ale potrafi wykonać modyfikację 64-bitowych obszarów (Windows Defender + MS Essentials 64-bitowe, infekcja jak w masło, przestają działać).

 

W przypadku tych konkretnych infekcji statystyki forum wykazują, że doinstalowane przez użytkownika programy ochronne były bezradne. Nie dość, że pozwoliły wszczepić się temu w system, to potem indolencja by to wyleczyć, a w szczególnym przypadku nokaut zabezpieczenia. Statystyki forum też mówią, że coraz częściej pojawiają się użytkownicy z systemami x64 zainfekowanymi jakimś barachłem. Moim zdaniem to tylko kwestia czasu, by proporcja między infekcjami 32-bit i 64-bit została zmniejszona.

 

 

 

.

[Diomedes]

picasso, dziękuję. Jak zawsze konkretnie. Czytam i zastanawiam się, po co mi była ta przesiadka- trzeba było wszelkimi sposobami trzymać przy życiu stary sprzęt...

[piecpiec]

Czy programy zabezpieczajace typu HIPS dalyby rade powstrzymac wyzej wymienione infekcje (posiadam caly pakiet comodo internet security).

[Conor29134]

piecpiec wątpie w to skoro super nowoczesne pakiety nie radzą sobie z welsofffem który do skomplikowanych nie należy.

 

Dodam coś od siebie na temat rootkitów x64

 

Rootkit xpaj

 

 

http://www.viruslist.pl/analysis.html?newsid=712

 

Dla mnie ten opis to czarna magia ale picasso pewnie rozumie o co chodzi.

[piecpiec]

Z powyzszego linka prawie nic nie rozumiem ;p , jednak zainteresowalo mnie pojecie patchguard i znalazlem taka nieciekawa informacje http://rev3rsed.blogspot.com/2011/08/windows-vista-7-64-obchodzimy-wiekszosc.html

Szkoda, ze wczesniej nie wiedzialem o tym bo bym na pewno nie instalowal win 7 64 :/

[piotreek]

@Piecpiec popadasz w paranoje. Myślisz że wersja 32 Bit jest bezpieczniejsza. Dam ci poradę od razu zamknij komputer w sejfie a sejf zalej betonem i zakop 100 metrów pod ziemią, Tylko taki system bedzię w 99% bezpieczny. Ten 1% to uderzenie komety i bezpośrednie trafienie nuklearne.

To jest stara jak świat wojna zbroi z orężem. Oręż zawsze będzie o krok do przodu.

Edytowane 16 Lipca 2012 przez piotreek

[picasso]

Do kolekcji:

 

Rovnix bootkit framework updated