Re(10): Rootkit verschiebt Windows in virtuelle Maschine

Rootkit verschiebt Windows in virtuelle Maschine (40 Beiträge, 409 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

http://www.heise.de/newsticker/meldung/79676

Auf dem Ende Oktober stattfindenden, von Microsoft initiierten Hackertreffen BlueHat soll ein weiteres Virtual Machine Rootkit vorgestellt werden, das in der Lage ist, Windows zur Laufzeit in eine virtuelle Maschine (VM) zu verschieben. Das Vitriol getaufte Rootkit nutzt dazu Intels Virtualization Technology (VT-x, ehemals Vanderpool). Anders als bei Software-Virtualisierungstechniken bieten auf Hardware beruhende Virtualisierungslösungen direkte Unterstützung durch den Prozessor.

Das in eine VM verschobene Windows oder Linux hat anschließend keinerlei Möglichkeiten mehr, das Rootkit zu erkennen, da es außerhalb seines Wahrnehmungshorizontes läuft. Virenscanner und Rootkit-Schnüffler haben so ebenfalls keine Chance mehr, das System zu schützen. Auch Vistas neue Kernelschutzfunktionen für 64-Bit-Systeme PatchGuard und Treibersignierung wären dann nutzlos. Vitriol wurde vom Sicherheitsspezialisten Dino Dai Zovi entwickelt und bereits auf der vergangenen Black-Hat-Konferenz vorgestellt (Link zu PDF-Dokument) – allerdings nicht vorgeführt. Joanna Rutkowska hingegen hatte auf der Black-Hat einen Prototyp ihres Blue Pill genannten VM-Rootkit in der Praxis gezeigt. Blue Pill nutzt AMDs Virtualisierungslösung SVM/Pacifica, um Windows während des Betriebs einen Hypervisor unterzuschieben. Auch Microsoft untersucht mit seinem Proof-of-Concept-Rootkit SubVirt die Auswirkung von VM-Rootkits.

Zur BlueHat werden nur ausgewählte Sicherheitsspezialisten eingeladen, um mit Microsoft über Schwachstellen zu diskutieren. Auf der vergangenen BlueHat waren unter anderen David Litchfield, Halvar Flake, HD Moore und Alexander Kornbrust unter den Vortragenden zu finden.

Siehe dazu auch:

Rootkit infiltriert Beta-Version von Windows Vista, Meldung auf heise Security
Microsoft demonstriert Virtualisierungs-Rootkit, Meldung auf heise Security
(dab/c't)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:04:28)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 17:24:35)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:26:43)

Re(4): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 17:29:36)

Re(5): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:34:55)

Re(6): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 21:08:07)

Re(7): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 21:21:56)

Re(8): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 21:26:48)

Re(9): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 21:29:38)

Re(10): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 22:33:05)

Re(11): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 22:39:16)

Re(7): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 07:46:55)

Re(8): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 19.10.2006, 10:28:03)

Re(9): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 10:40:26)

Klar ist irgendwann greift der Kernel direkt auf die Hardware zu.

Und hier beginnt dein Denkfehler

Ich kenne es nur aus der Hostebene - und vermute, daß VT da ähnlich rennt.

Stelle es Dir vor wie den Unterschied zwischen Real-Mode und Protected Mode... Und DOS damals.
REAL-Mode Programme glauben, daß sie direkt auf der HW laufen - und lösen Exceptions im Protected Mode aus, der das ganze mapped.

Aktuelle Intel-OSsen (Linux, Windows, MacOS) sind nun [noch] nicht VT-aware - und merken genausowenig wie realmode-Proggys damals, daß sie eben nicht direkt auf die HW zugreifen.

Der Witz dabei ist nun auch, daß [vermutlich, VT habe ich mir im Detail noch nicht angesehen, da ich leider so eine Maschine net hab - schluchz] ja nur ein zusätzlicher Indirektionsgrad dazukommt...

Indirektionsgrade waren früher teuer (man sah richtig, wie mein 386er langsamer wurde, wenn qemm gestartet wurde) - aber heute nix kosten... denn ob die CPU nun 100 Taktzyklen vershißed beim Memory-Zugriff oder 105 - bleibt gleich.

Und... Solange nur ein Guest am laufen ist, braucht der Hypervisor mal gar nix abfangen sondern kann alles durchlassen - bis eben auf die paar KB Ram, die er selbst braucht.

Oder anders:
Wenn du Windows in einer VM laufen hast - brauchst virtuelle NW-Treiber, ...
Windows unter XEN mit VT braucht genau die HW-Treiber der HW, die du hast...

Einige HW-VT-Lösungen (AIXen) gehen ja dorthin, daß du eben keine virtuellen LW und so hast, sondern sagst "Der erste SCSI-Controller gehört Guest1, der 2. Guest2, ..."

Und sowas kostet - vermutlich - echt null cpu..

Re(11): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 11:26:32)

Re(12): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 19.10.2006, 12:05:30)

Re(13): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 13:13:07)

Re(14): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 10:29:17)

Re(15): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 10:43:55)

Re(16): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 12:23:32)

Re(17): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 12:59:01)

Re(18): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 13:15:52)

Re(19): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:26:42)

Re(20): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 13:31:21)

Re(21): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:35:15)

Re(22): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 13:38:11)

Re(23): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:39:38)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Diabolo2000 am 18.10.2006, 19:15:14)

Vom Autor zurückgezogen oder Autor hat seine Registrierung nicht bestätigt (mko am 19.10.2006, 07:54:02)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (mko am 19.10.2006, 07:54:34)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 10:47:09)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Binchen am 18.10.2006, 19:56:24)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (hansi99 am 18.10.2006, 20:09:37)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (GrummelGrumpf am 24.10.2006, 11:42:17)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Srv-02 am 24.10.2006, 11:55:07)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 12:25:23)

Re(4): Rootkit verschiebt Windows in virtuelle Maschine (GrummelGrumpf am 24.10.2006, 13:33:36)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung