TDL3, die erste Windows x64-kompatible Rootkit-Infektion im Kernelmodus, ist da!

TDL3-Rootkit ist eines der fortschrittlichsten Rootkits, die jemals in der Wildnis gesehen wurden. Das Rootkit war stabil und konnte ein 32-Bit-Windows-Betriebssystem infizieren. obwohl Administratorrechte erforderlich waren, um die Infektion im System zu installieren.

TDL3 wurde nun aktualisiert und diesmal ist dies ein großes Update. Das Rootkit kann jetzt 64-Bit-Versionen des Microsoft Windows-Betriebssystems infizieren!

x64-Versionen von Windows gelten als wesentlich sicherer als ihre jeweiligen 32-Bit-Versionen, da einige erweiterte Sicherheitsfunktionen es schwieriger machen, in den Kernelmodus zu gelangen und den Windows-Kernel zu aktivieren.

Windows Vista 64 Bit und Windows 7 64 lassen aufgrund der strengen Überprüfung der digitalen Signatur nicht zu, dass jeder Treiber in den Kernel-Speicherbereich gelangt. Wenn der Treiber nicht digital signiert wurde, lässt er das Laden von Windows nicht zu. Diese erste Methode erlaubte Windows, das Laden jedes Kernel-Modus-Rootkits zu verhindern, da Malware normalerweise nicht signiert ist - zumindest sollten sie dies nicht sein.

Die zweite von Microsoft Windows verwendete Methode, um zu verhindern, dass Treiber im Kernelmodus das Verhalten des Windows-Kernels verändern, ist der berüchtigte Kernel-Patch-Schutz, auch PatchGuard genannt. Diese Sicherheitsroutine verhindert, dass jeder Kernelmodustreiber empfindliche Bereiche des Windows-Kernels ändert, z. SSDT, IDT, Kernelcode.

Durch diese beiden kombinierten Techniken konnten x64-Versionen von Microsoft Windows wesentlich besser gegen Kernelmodus-Rootkits geschützt werden.

Die ersten Versuche, diese Windows-Sicherheit zu durchbrechen, waren vorbei Whistler-Bootkit, ein Framework-Bootkit, das im Untergrund verkauft wird und sowohl die x86- als auch die x64-Version von Microsoft Windows infizieren kann.

Diese TDL3-Version kann jedoch als die erste x64-kompatible Kernelmodus-Rootkit-Infektion in der Wildnis betrachtet werden.

Der Dropper wird von normalen Crack- und Porno-Websites abgeworfen, aber wir erwarten bald, dass er auch von Exploit-Kits gesenkt wird, wie dies bei aktuellen TDL3-Infektionen der Fall ist.

Lesen Sie mehr bei Prevx.