2015_лекции / Лекция №3.1_2015

Основные стратегии заражения

Загрузочное вредоносное ПО

Загрузочные вирусы (DOS)

Буткиты

Файловые вирусы

Заражение памяти

Загрузочное вредоносное ПО

[1]©Symantec Corporation, 2011

Особенности загрузочных вирусов

● Возможность запуска вредоносного кода раньше кода ОС, что дает неоспоримые преимущества и позволяет контролировать процесс загрузки ОС.

● Как следствие первого пункта, позволяет обходить систему мониторинга целостности ключевых компонентов ядра — PatchGuard (практически единственный способ обеспечить выживаемость руткита в x64-среде).

● Возможность глубоко скрывать свой код и, таким образом, делать его невидимым для AV-сканеров.

● Буткит имеет посекторную архитектуру хранения своего тела на диске, что дает возможность выносить свой вредоносный код и код полезной нагрузки далеко за пределы файловой системы и даже разделов диска, делая почти невозможным его обнаружение.

● Безопасная установка руткита в системе.

Последовательность загрузки ОС

Последовательность загрузки ОС

BIOS загружает код, находящийся в первом секторе жесткого диска (200h байт по адресу 0000h:7С00h)

Для жестких дисков первый сектор – MBR

загружает себя по адресу 0000h:0600h

определяет загрузочный раздел по таблице разделов

выполняет код, записанный в первом секторе загрузочного раздела по адресу 0000h:7С00h

Загрузочный раздел является частью ОС

Загружает и исполняет следующие загрузочные модули самой ОС:

Загрузчик Windows

NTLDR (bootmng)

OSLOADER.EXE

NTDETECT.COM

NTOSKRNL.EXE, HAL.DLL, загрузочные драйвера

Главная загрузочная запись (MBR)

Главная загрузочная запись (MBR)