1.2 Поиск перехватчиков api, работающих в KernelMode

Ошибка в работе антируткита [Stream read error], шаг [14]

Если система работает в обычном режиме и пользователь - администратор, ошибки антируткита являются тревожным симптомом. Возможное решение – использование процедуры дополнительной диагностики (см. раздел Модули пространства ядра). Кроме того, антируткит-модуль AVZ может выдавать сообщения о невозможности доступа к файлам ядра, применении их прямого чтения и т.п. В случае обнаружения в протоколе таких сообщений следует уделять им большое внимание, так как они почти наверняка говорят о наличии руткита, активно противодействующего антируткит-проверкам.

Третий подпункт – проверка IDT и SYSENTER:

1.3 Проверка idt и sysenter

Анализ для процессора 1

Проверка IDT и SYSENTER завершена

Что такое IDT?

Interrupt Descriptor Table, таблица дескрипторов прерываний. Это структура данных, используемая процессором для определения корректного ответа на прерывания и исключения (interrupts and exceptions). Модификации IDT позволяют менять адреса обработчиков прерываний, передавая управление определенными событиями на сторонние компоненты операционной системы. С практической точки зрения чаще всего перехватывается прерывание INT 2E, являющееся аналогом SYSENTER в Windows NT (в XP и более поздних системах применяется SYSENTER).

В AVZ проверка таблицы прерываний и адреса обработчика SYSENTER выполняется для каждого процессора отдельно. В случае обнаружения модификаций AVZ сообщает об этом:

>>> Опасно - подозрение на подмену адреса ЦП[1].IDT[06] = [BFC0983B] C:\WINNT\system32\haspnt.sys, драйвер опознан как безопасный

Четвертый подпункт посвящен поиску скрытых процессов, служб и драйверов с помощью данных драйвера расширенного мониторинга AVZPM.

Если AVZPM не установлен, в лог выводится сообщение:

1.4 Поиск маскировки процессов и драйверов

Проверка не производится, так как не установлен драйвер мониторинга AVZPM

Если драйвер присутствует, но никаких расхождений его данных с видимым состоянием системы нет, секция выглядит так:

1.4 Поиск маскировки процессов и драйверов

Поиск маскировки процессов и драйверов завершен

В случае обнаружения маскирующихся объектов AVZ сообщает:

1.4 Поиск маскировки процессов и драйверов

Видимый процесс с PID=372, имя = "\Device\HarddiskVolume5\Program Files\A4Tech\Mouse\Amoumain.exe"

>> обнаружена подмена имени, новое имя = "c:\progra~1\a4tech\mouse\amoumain.exe"

>> Маскировка драйвера: Base=BABF8000, размер=32768, имя = "\??\C:\WINDOWS\system32\poof"

Поиск маскировки процессов и драйверов завершен

Можно видеть, что с точки зрения AVZPM возможны также подозрения на маскировку со стороны легитимных процессов (amoumain.exe).

В заключении по работе антируткита стоит заметить, что в случае повторных запусков AVZ с включенной нейтрализацией руткитов отображаемая в протоколе картина радикально меняется. В ходе первого запуска фиксируются перехваты, их нейтрализация, нередко отображается сведения об обнаруженной маскировке процессов и драйверов. Однако повторный запуск (без перезагрузки) уже не покажет перехватов и маскировки, так как перехватчики уже нейтрализованы на предыдущем проходе. Аналогичный эффект произойдет, если пользователь снял перехваты с помощью какого-то другого антируткита. Эту особенность следует учитывать и в спорных случаях рекомендовать пользователю перезагрузиться и повторно выполнить исследование согласно правилам раздела «Помогите», не запуская AVZ или какие-то иные утилиты до исследования вручную.