Windows

FileDetector je mnou vyvíjený program, jehož úkolem je odhalit přítomnost některých rootkitů v operačním systému. Zaměřuje se na prohledávání disků a zjišťuje přítomnost skrytých či jinak podezřelých souborů. Nová verze přináší několik vylepšení a opravuje řadu chyb.

V nedávném článku jsme si vysvětlili základní pojmy ohledně rootkitů, jejich chování a jak lze z obecného hlediska rozdělit techniky, které k dosažení svých cílů používají. Dnes se zaměříme na způsoby, kterými rootkit může skrývat soubory a složky na pevném disku.

Tento článek je určen těm z vás, kteří se v operačním systému příliš nevyznaji, chtějí mít dobré povědomí o bezpečnostních hrozbách, ale nechtějí rozumět jeho mechanismům "až na plech". Protože vím, že ne každý má čas na prozkoumávání hlubin svého systému, rozhodl jsem se napsat tento článek, jehož cílem je přiblížit každému uživateli pojem rootkitu - populární hrozby dnešních dní.

Možná jste si toho při pohledu do Správce úloh ani nevšimli, ale je to tak. Identifikační čísla procesů (PID) jsou od Windows 2000 vždy dělitelná čtyřmi. Otázka, proč tomu tak je, může mnohým připadat zbytečná, avšak není tomu tak docela. Abychom si na ni odpověděli, musíme lehce nakouknout do jádra operačního systému.

FileDetector je nová utilita, jejímž primárním úkolem je detekce rootkitů či jiné škodlivé havěti. Jak z názvu vyplývá, zaměřuje se na projevy "zvířátek" v souborovém systému - vyhledává skryté či jinak podezřelé soubory. Krom kontroly souborového systému program disponuje dalšími nástroji, jenž umožňují zkopírovat nepřístupný soubor či zničit jeho obsah (přepsáním nulovýmy bajty).

Program podporuje souborové systémy FAT16, FAT32 a NTFS, přičemž se primárně zaměřuje právě na NTFS. Pokud však používáte kompresi souborového systému, fungovat nebude (alespoň v aktuální verzi).

V tomto článku si projdeme absolutně základní principy a fungování rootkitů v kernel mode - podíváme se na to, co je od rootkitů očekáváno a jak těchto očekávání dosáhnout. Rovněž si základní rootkit napíšeme a zaimplementujeme do něj nekteré krycí techniky a bypassneme tak například IceSword, či Eset SysInspector.