Re(18): Rootkit verschiebt Windows in virtuelle Maschine

Rootkit verschiebt Windows in virtuelle Maschine (40 Beiträge, 413 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

http://www.heise.de/newsticker/meldung/79676

Auf dem Ende Oktober stattfindenden, von Microsoft initiierten Hackertreffen BlueHat soll ein weiteres Virtual Machine Rootkit vorgestellt werden, das in der Lage ist, Windows zur Laufzeit in eine virtuelle Maschine (VM) zu verschieben. Das Vitriol getaufte Rootkit nutzt dazu Intels Virtualization Technology (VT-x, ehemals Vanderpool). Anders als bei Software-Virtualisierungstechniken bieten auf Hardware beruhende Virtualisierungslösungen direkte Unterstützung durch den Prozessor.

Das in eine VM verschobene Windows oder Linux hat anschließend keinerlei Möglichkeiten mehr, das Rootkit zu erkennen, da es außerhalb seines Wahrnehmungshorizontes läuft. Virenscanner und Rootkit-Schnüffler haben so ebenfalls keine Chance mehr, das System zu schützen. Auch Vistas neue Kernelschutzfunktionen für 64-Bit-Systeme PatchGuard und Treibersignierung wären dann nutzlos. Vitriol wurde vom Sicherheitsspezialisten Dino Dai Zovi entwickelt und bereits auf der vergangenen Black-Hat-Konferenz vorgestellt (Link zu PDF-Dokument) – allerdings nicht vorgeführt. Joanna Rutkowska hingegen hatte auf der Black-Hat einen Prototyp ihres Blue Pill genannten VM-Rootkit in der Praxis gezeigt. Blue Pill nutzt AMDs Virtualisierungslösung SVM/Pacifica, um Windows während des Betriebs einen Hypervisor unterzuschieben. Auch Microsoft untersucht mit seinem Proof-of-Concept-Rootkit SubVirt die Auswirkung von VM-Rootkits.

Zur BlueHat werden nur ausgewählte Sicherheitsspezialisten eingeladen, um mit Microsoft über Schwachstellen zu diskutieren. Auf der vergangenen BlueHat waren unter anderen David Litchfield, Halvar Flake, HD Moore und Alexander Kornbrust unter den Vortragenden zu finden.

Siehe dazu auch:

Rootkit infiltriert Beta-Version von Windows Vista, Meldung auf heise Security
Microsoft demonstriert Virtualisierungs-Rootkit, Meldung auf heise Security
(dab/c't)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:04:28)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 17:24:35)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:26:43)

Re(4): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 17:29:36)

Re(5): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 17:34:55)

Re(6): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 21:08:07)

Re(7): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 21:21:56)

Re(8): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 21:26:48)

Re(9): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 21:29:38)

Re(10): Rootkit verschiebt Windows in virtuelle Maschine (Fly am 18.10.2006, 22:33:05)

Re(11): Rootkit verschiebt Windows in virtuelle Maschine (Somnatic am 18.10.2006, 22:39:16)

Re(7): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 07:46:55)

Re(8): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 19.10.2006, 10:28:03)

Re(9): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 10:40:26)

Re(10): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 19.10.2006, 11:10:40)

Re(11): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 11:26:32)

Re(12): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 19.10.2006, 12:05:30)

Re(13): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 13:13:07)

Re(14): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 10:29:17)

Re(15): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 10:43:55)

Re(16): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 12:23:32)

Re(17): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 12:59:01)

Jop... hab aber hauptsächlich HW-nahe Sachen gemacht, hauptsächlich GFX-Sachen, da iss der Protected Mode so uninteressant wie nur irgendwas, auch wenn ichs gelernt hab den anzusprechen..

War schon klar, daß es da um Hardwarenahes ging - denn sonst macht Asse ja kaum Sinn (bzw. sonst würde man sicher alles in damals Pascal, C oder eventuell schon C++ schreiben und nur die kritischen Sachen in Asse)... Denn die immerhin 5-10fache Speed des Original-PCs gegenüber einem C=64 zeigte schon, daß man dann auch mit dem Performanceverlust von 5-10 bei den damalig kaum optimierenden Compilern leben konnte...

Wobei gerade bei Graphic- und Datengschichterln war ich begeistert vom Protected Mode...
Denn die 64K_Segmentschiebereien waren echt (zumindest in meiner Sicht) massivst gschißn.
Ich habe mich damals aber nur auf Standard-VGA, Standard-Herkules (die genialste Monitor-Karten-Kombi überhaupt) und die Vesa-Modi verlassen... Soweit ich mich erinnere letztendlich nur auf Standard-VGA (Mode 10 oder 13 läutet bei mir im Hinterkopf - so wie bei Dir Int00

)

Ach ja, 2 Off-Topic-Fragen:
1.) mein alter Herkules-Monitor hat ein durchlaufendes Bild - kennst jemand in Wien, der das im Pfusch richten kann ? Drehen an den Schrauben hinten brachte nix - und die GraKa ist fix in meinen Server eingebaut (der immer up ist), also müßte der selbst noch so ein Teil haben zum Testen...

2.) [nur Interessehalber]:
Ich hatte unter Linux auf tty13-16 meine Herkules-Graka - und auf 1-12 meine Matrox Millenium.
Wenn ich nun auf tty13 arbeitete (also MDA/Herkules) und auf Ctrl-F7 tippte (für X) - so stellte X scheinbar meinen Herkules-Monitor auf schwarzes Bild). Wenn ich "nur so" wechselte (also zB von tty1 auf tty13), gab es das Problem net... Ich habe echt gegraben und damals keine Konfig von X gefunden, die das verhindert... Wie wäre das gegangen (nicht mehr so relevant, weil derzeit kein X am Server).
Müßig zu erwähnen, daß das natürlich wieder ein reines Linux-Problem ist, denn unter WinXP habe ich NULL/NADA/KEINE Herkules-GraKa-Probleme

Re(19): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:26:42)

Re(20): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 13:31:21)

Re(21): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:35:15)

Re(22): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 13:38:11)

Re(23): Rootkit verschiebt Windows in virtuelle Maschine (West am 24.10.2006, 13:39:38)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Diabolo2000 am 18.10.2006, 19:15:14)

Vom Autor zurückgezogen oder Autor hat seine Registrierung nicht bestätigt (mko am 19.10.2006, 07:54:02)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (mko am 19.10.2006, 07:54:34)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (West am 19.10.2006, 10:47:09)

Re: Rootkit verschiebt Windows in virtuelle Maschine (Binchen am 18.10.2006, 19:56:24)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (hansi99 am 18.10.2006, 20:09:37)

Re(2): Rootkit verschiebt Windows in virtuelle Maschine (GrummelGrumpf am 24.10.2006, 11:42:17)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Srv-02 am 24.10.2006, 11:55:07)

Re(3): Rootkit verschiebt Windows in virtuelle Maschine (Linux_Sucks am 24.10.2006, 12:25:23)

Re(4): Rootkit verschiebt Windows in virtuelle Maschine (GrummelGrumpf am 24.10.2006, 13:33:36)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung