@Robocop

Как говорят на официальном сайте Dr.Web, новая вресия антивирусного сканера не только находит, но и лечит руткит-невидимку Win32.Ntldrbot. Предположительно, этот вирус появился ещё в октябре 2007 года(!). Прошло полтора года, и Win32.Ntldrbot был найден аналитиками компании «Доктор Веб» в начале 2008 года. К настоящему времени Dr.Web способен способен его лечить. Ни один современный антивирус, кроме Dr.Web не детектирует Win32.Ntldrbot. Я решил убедиться в этом, в результате чего, это оказалось правдой, ни на одном из сайтов ведущих антивирусных компаний я не нашёл о нём никаких упоминаний.

Главное предназначение Win32.Ntldrbot – заражать ПК, превращая их в боты, с которых впоследствии можно рассылать спам, и создавать из таких зараженных компьютеров ботнеты – гигантские сети по рассылке спама. Но не только заражать, а еще и оставаться абсолютно невидимым. Что с успехом и делал этот руткит предположительно с октября 2007 года! По оценке компании Secure Works бот-сеть, созданная Rustock, стоит на третьем месте среди крупнейших бот-сетей и способна рассылать ежедневно до 30 миллиардов спам-сообщений. Основная область «специализации» этой сети - ценные бумаги и фармацевтика.

Обкатка новых технологий перехвата функций сетевых драйверов и техник сокрытия себя в системе была начата автором этого руткита в конце 2005 – начале 2006 года, когда появились его первые бета-версии. В том же 2006 появилась версия Rustock.B, которая позволяла обходить файерволы и прятать спам-трафик. Справляться с первыми версиями руткита для антивирусных компаний не составляло особого труда.
А вот со следующей версией Rustock случилась загвоздка: его образец не смогли обнаружить ни антивирусные компании, ни вирусописатели. По принципу «нет жертвы - нет преступления» большинство антивирусных вендоров заняло такую позицию: «Раз даже мы его не видим (не нашли), значит он не существует. Это миф!»
Но оказалось, что Win32.Ntldrbot не миф.


Характеристики Win32.Ntldrbot:

• Имеет мощный полиморфный протектор, затрудняющий анализ и распаковку руткита.
• Реализован в виде драйвера уровня ядра, работает на самом низком уровне.
• Имеет функцию самозащиты, противодействует модификации времени исполнения.
• Активно противодействует отладке - контролирует установку аппаратных точек останова (DR-регистры), нарушает работу отладчиков уровня ядра: Syser, SoftIce. Отладчик WinDbg при активном рутките не работает вообще.
• Перехватывает системные функции неклассическим методом.
• Работает как файловый вирус, заражая системные драйверы.
• Конкретный экземпляр руткита привязывается к оборудованию зараженного компьютера. Таким образом, на другом компьютере руткит с большой вероятностью работать не будет.
• Имеет функцию перезаражения, срабатывающую по времени. Старый зараженный файл лечит. Таким образом, руткит «путешествует» по системным драйверам, оставляя зараженным какой-нибудь один.
• Фильтрует обращения к зараженному файлу, перехватывая FSD-процедуры драйвера файловой системы и подставляет оригинальный файл вместо зараженного.
• Имеет защиту от антируткитов.
• Имеет в составе библиотеку, внедряемую в один из системных процессов. Данная библиотека занимается рассылкой спама.
• Для связи драйвера с DLL используется специальный механизм передачи команд.

0

@Vanstorm

+3 веб рулит.ЧТД.наверно сей вирусняк мега-мозг придумал.

0