109: (Default)
[personal profile] 109
by Joanna Rutkowska / Advanced Malware Labs

In a nutshell:

- Allocate lots of memory to cause unused drivers code to be paged
- Replace the paged out code (inside pagefile) with some shellcode
- Ask kernel to call the driver code which was just replaced

алсо, powerpoint presentation from microsoft на аналогичную тему.

(no subject)

Date: 2009-09-03 11:39 pm (UTC)
From: [identity profile] arkanoid.livejournal.com
omfg. оно позволяет пользователю писать в pagefile?

(no subject)

Date: 2009-09-03 11:45 pm (UTC)
From: [identity profile] 109.livejournal.com
пишут, что в RC2 это пофиксили :)

(no subject)

Date: 2009-09-03 11:45 pm (UTC)
From: [identity profile] 109.livejournal.com
или в SP2. в общем, сервис паком каким-то.

(no subject)

Date: 2009-09-03 11:49 pm (UTC)
From: [identity profile] 109.livejournal.com
там у рутковской есть какие-то рассуждения на тему, почему это не так просто запретить, и как обходить эти запрещения. эти рассуждения мне, да, показались подозрительными, потому что если есть админские права, то зачем такие извращения, а если нет, то всяко нельзя в pagefile писать. но с другой стороны, я бесконечно хуже в этом разбираюсь, чем рутковская.

(no subject)

Date: 2009-10-08 08:30 am (UTC)
From: [identity profile] tooheavymental.livejournal.com
Меня просто удивила смена парадигмы - хаком считается возможность Администратором на своем компьютере загрузил неподписанный драйвер.

(no subject)

Date: 2009-09-04 01:09 am (UTC)
From: [identity profile] anton-solovyev.livejournal.com
фигня какая-то -- если fs protections не работают (а я полагаю своп защищен) то чего тут удивительного? эдак можно просто и файл с драйвером испортить.

(no subject)

Date: 2009-09-04 01:28 am (UTC)
From: [identity profile] 109.livejournal.com
со мной как бы бесполезно своим удивлением делиться, пиши прямо рутковской: joanna at invisiblethings dot org, PGP Key fingerprint: DDC2 2748 C82C 2849 B3B4 6FD8 3917 64A2 D7C4 5BCE.

или просто внимательно перечитай материал по ссылкам, которые я дал :)

(no subject)

Date: 2009-09-04 02:21 am (UTC)
From: [identity profile] anton-solovyev.livejournal.com
Нет, a pdf для меня -- слишком :)

(no subject)

Date: 2009-09-04 06:29 pm (UTC)
From: [identity profile] 109.livejournal.com
там pdf в стиле презентации, по три слова на страницу.

(no subject)

Date: 2009-09-04 05:46 am (UTC)
From: [identity profile] dreg.livejournal.com
Это слишком заметно

Profile

109: (Default)
109

March 2019

S M T W T F S
     12
3456789
101112131415 16
17181920212223
24252627282930
31      

Most Popular Tags

Style Credit

Expand Cut Tags

No cut tags