Исследователи из проекта Matousec.com компании Different Internet Experience сообщили, что им удалось разработать принципиально новый способ для обхода антивирусной защиты. С помощью разработанных приемов создатели вредоносного кода могут предъявить антивирусу на проверку не вызывающий подозрений код, а затем моментально заменить этот код в памяти на гораздо более опасную программу, способную выполнить даже такие действия, как полное уничтожение антивируса без прав администратора.

Новое открытие основано на том, что подавляющее большинство современных антивирусов используют для анализа файлов и исполняемого кода специальные драйверные перехватчики, скрытые в самых глубинах операционной системы. В прежние времена, когда все операции обрабатывались единым потоком, атакующим пришлось бы немало потрудиться, чтобы своевременно вставить вредоносный код на место только что проверенного фрагмента, но сейчас многоядерные процессоры привели к тому, что один поток обработки (тред) часто не может отследить работу других тредов. В результате практически все современные антивирусные пакеты для Windows можно обмануть и пропустить через них вредоносный код, который в иных условиях будет полностью блокирован. Механизм, помогающий обходить системные механизмы безопасности, которые используют антивирусные продукты, получил название KHOBE (Kernel HOok Bypassing Engine – механизм обхода перехватчиков ядра), а сам метод назван «argument-switch»(подмена аргумента).

Все что нужно для о ... Читать дальше »