Объявлено о детектировании Blue Pill
dl // 23.06.08 23:57
Группа разработчиков North Security Labs объявила о детектировании и блокировании руткитов на базе гипервизоров (Blue Pill, Vitriol).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2008/06/12.html]
Метод заключается в перехвате запуска гипервизора другим гипервизором (North Security Labs называют его VIPS, Virtual Intrusion Protection System). Для этого VIPS должен быть запущен раньше перехватываемого гипервизора.
При перехвате происходит разрешение либо запрет запуска. Разрешение происходит за счет эмуляции виртуализационных возможностей процессора (технологии Intel VT-x, AMD-V). При запрете эмулируется отключенная в BIOS виртуализация. В обоих случаях VIPS получает доступ к коду руткита для его анализа.
На данный момент реализована поддержка лишь варианта с запретом запуска. Обещана поддержка варианта с разрешением запуска в будущем.
