Abo
  • Services:
Anzeige

Rootkit auf Basis virtueller Maschinen entwickelt

Proof-of-Concept für Windows und Linux vorgestellt

Forscher der University of Michigan haben eine Möglichkeit entwickelt, virtuelle Maschinen als Rootkits zu missbrauchen. Im Rahmen ihrer Forschung an Sicherheitsdiensten auf Basis von virtuellen Maschinen entstand SubVirt. Dieses Rootkit verfrachtet ein laufendes Betriebssystem kurzerhand in eine virtuelle Maschine und lässt sich so nicht mehr auffinden.

Die Arbeit der Arbeitsgruppe an der University of Michigan wird unter anderem von Intel und Microsoft unterstützt. Das nun von Wissenschaftlern und Microsoft-Mitarbeitern entwickelte Rootkit soll auf dem IEEE Symposium on Security and Privacy im Mai 2006 präsentiert werden. Die Beschreibung wurde jedoch bereits als PDF-Dokument veröffentlicht.

Anzeige

Als Namen für die neue Rootkit-Art wurde "Virtual-Machine Based Rootkit" (VMBR) ausgewählt. SubVirt installiert dabei einen Hypervisor unterhalb eines existierenden Betriebssystems und schaltet sich so zwischen Hardware und das Zielsystem. Das Zielsystem wird in eine virtuelle Maschine verschoben, in der der Nutzer unbemerkt weiterarbeitet. Zudem bringt das Rootkit ein eigenes Hostsystem mit, in dem beliebige Dienste ausgeführt werden können. Da dieses isoliert ist, kann der Nutzer nicht mehr darauf zugreifen und das Rootkit auch mit forensischen Werkzeugen nicht finden.

Entwickelt wurden je ein Proof-of-Concept-Rootkit, das Windows XP und Linux untergräbt. Als Grundlage wurden Virtual PC unter Windows und VMware unter Linux verwendet. Zusammen mit Virtual PC kommt eine minimale Windows-XP-Version zum Einsatz, mit VMware wurde Gentoo Linux benutzt.

Für die Installation des Rootkits sind Administratorrechte erforderlich. Nach erfolgter Installation manipuliert das Rootkit die Boot-Sequenz, so dass fortan das neue Hostsystem mit der virtuellen Maschine gestartet wird, in der der Nutzer dann arbeitet. Durch neue Kernelmodule werden bestimmte Systemaufrufe des Zielsystems abgefangen und im Hostsystem verarbeitet.

Da die VMBRs schwer zu installieren sind und einen Neustart erfordern, haben sie deutliche Nachteile gegenüber klassischen Rootkits. Allerdings bieten sie dem Angreifer auch eine größere Kontrolle über das kompromittierte System. Die Forscher schätzen VMBRs daher als realistische Gefahr ein, gerade da Hypervisor als Open Source erhältlich sind und man so nicht auf kommerzielle Lösungen wie Virtual PC oder VMware zurückgreifen muss. Tatsächlich habe einer der Autoren bei seiner Arbeit versehentlich ein mit einem VMBR infiziertes System genutzt, ohne es zu bemerken.


eye home zur Startseite
Amuesierter... 17. Mär 2006

die ganze panik hier ist eigendlich nur ein sturm im wasserglas & viel wind um nichts 1...

junger-pro 15. Mär 2006

Also rootkit und DRM mit geöffneten Ports gleichzusetzen ist was gewagt :). Erstens...

jsteidl 14. Mär 2006

Nein, Wissen bedeutet auch Verantwortung. Aber man kann an diesen Stellen nich so...

Mephisto 14. Mär 2006

Guten Morgen Nein, Virtualisierung ist noch viel aufwendiger. Volle Virtualisierung ist...

Anti-Windows 13. Mär 2006

Geil. Ich bin schon seit über 2 Jahren vom Droge Windows clean!!!! (Keine...



Anzeige

Stellenmarkt
  1. Bosch Rexroth AG, Stuttgart-Bad Cannstatt
  2. MBtech Group GmbH & Co. KGaA, Stuttgart, Sindelfingen, Neu-Ulm, Ulm
  3. ARTEMIS Augenkliniken, Frankfurt
  4. EUROP ASSISTANCE VERSICHERUNGS AG, München


Anzeige
Blu-ray-Angebote
  1. 24,99€ (Vorbesteller-Preisgarantie)
  2. 74,99€ (Vorbesteller-Preisgarantie)
  3. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)

Folgen Sie uns
       


  1. Pepsi bestellt

    Tesla bekommt Großauftrag für Elektro-Lkw

  2. Apple

    iMac Pro kommt am 14. Dezember

  3. Star Wars - Die letzten Jedi

    Viel Luke und zu viel Unfug

  4. 3D NAND

    Samsung investiert doppelt so viel in die Halbleitersparte

  5. IT-Sicherheit

    Neue Onlinehilfe für Anfänger

  6. Death Stranding

    Kojima erklärt Nahtodelemente und Zeitregen

  7. ROBOT-Angriff

    19 Jahre alter Angriff auf TLS funktioniert immer noch

  8. Bielefeld

    Stadtwerke beginnen flächendeckendes FTTB-Angebot

  9. Airspeeder

    Alauda plant Hoverbike-Rennen

  10. DisplayHDR 1.0

    Vesa definiert HDR-Standard für Displays



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Umrüstung: Wie der Elektromotor in den Diesel-Lkw kommt
Umrüstung
Wie der Elektromotor in den Diesel-Lkw kommt
  1. National Electric Vehicle Sweden Der Saab 9-3 ist zurück als Elektroauto
  2. Kein Plug-in-Hybrid Rolls-Royce Phantom wird vollelektrisch
  3. Ionity Shell beteiligt sich am Aufbau einer Ladeinfrastruktur

China: Die AAA-Bürger
China
Die AAA-Bürger
  1. Microsoft Supreme Court entscheidet über die Zukunft der Cloud

Watch Series 3 im Praxistest: So hätte Apples erste Smartwatch sein müssen
Watch Series 3 im Praxistest
So hätte Apples erste Smartwatch sein müssen
  1. Apple Watch Apple veröffentlicht WatchOS 4.2
  2. Alivecor Kardiaband Uhrenarmband für Apple Watch zeichnet EKG auf
  3. Smartwatch Die Apple Watch lieber nicht nach dem Wetter fragen

  1. Die Kabine

    feierabend | 08:15

  2. Re: Ein anderes krasses Fallbeispiel, passiert...

    mty | 08:12

  3. Re: Golem Was soll das? Überschrift geht ja garnicht

    Niaxa | 08:08

  4. Re: Zwei-Augen-Gespräche

    jg (Golem.de) | 08:00

  5. Bestellbar morgen, Lieferung 2018?

    booyakasha | 07:59


  1. 07:33

  2. 07:14

  3. 18:40

  4. 17:11

  5. 16:58

  6. 16:37

  7. 16:15

  8. 16:12


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel