Kaspersky Lab, opublikował raport zatytułowany “Bootkit: wyzwanie 2008 r.”. Artykuł przedstawia szczegółową analizę incydentu z 2008 roku, który najlepiej obrazuje zagrożenie, jakie stanowi MalWare 2.0 – nowa generacja szkodliwych programów
Ewolucja MalWare 2.0 przysporzyła branży antywirusowej wielu problemów. Najpoważniejszy z nich polega na tym, że tradycyjne rozwiązania antywirusowe, oparte na analizie plików wyłącznie przy użyciu sygnatur szkodliwych programów lub heurystyki – metody pozwalającej na wykrywanie nieznanych zagrożeń, nie potrafią skutecznie zwalczać ataków MalWare 2.0 (nie wspominając nawet o leczeniu zainfekowanych systemów).
Bootkit stanowił przełom technologiczny w branży tworzenia wirusów, a obecnie wyposażony jest w szereg technologii, które umożliwiają mu rozprzestrzenianie się oraz funkcjonowanie w ramach botnetu – sieci zainfekowanych komputerów. Wykorzystuje również wiele różnych metod w celu uniemożliwienia wykrycia programu w początkowych etapach infekcji, próbuje zainfekować jak najwięcej użytkowników oraz utrudnia próby zlikwidowania botnetu.
Uderzające jest wysoce zorganizowane podejście oraz technologie wykorzystywane w bootkicie: zaawansowany warsztat programistyczny, wykorzystywanie kilkudziesięciu luk w zabezpieczeniach innych aplikacji, manipulowanie trybem pracy programu w systemie operacyjnym, wersje dla systemów z rodziny Unix, moduły szyfrujące i inne skomplikowane zabiegi techniczne.
Historia bootkita pokazuje, jak dalece problemy bezpieczeństwa informacji dotykają zwykłych użytkowników. Wszystkie przeanalizowane wyżej technologie są obecnie aktywnie wykorzystywane w większości szkodliwych programów. Przeglądarka jako źródło infekcji, technologie rootkit, botnety, kradzież danych użytkownika, szyfrowanie, ukrywanie szkodliwych modułów, technologie zapożyczone z rozwiązań antywirusowych – wszystko to widzieliśmy już osobno, a teraz wszystkie te metody zostały zaimplementowane w bootkicie.
Ochrona przed tak złożonymi zagrożeniami wymaga zastosowania szeregu różnych technologii ochrony, takich jak: ochrona online, filtrowanie ruchu, analiza zachowania, piaskownica, analiza ruchu sieciowego i zaawansowana zapora sieciowa. Wniosek jest jeden – współczesne rozwiązanie antywirusowe powinno radzić sobie nie tylko ze zwalczaniem rootkitów, ale również z neutralizowaniem bootkitów.
