Contribuez à SecuObs en envoyant des bitcoins ou des dogecoins.
Nouveaux articles (fr): 1pwnthhW21zdnQ5WucjmnF3pk9puT5fDF
Amélioration du site: 1hckU85orcGCm8A9hk67391LCy4ECGJca

Contribute to SecuObs by sending bitcoins or dogecoins.



SVV, un détecteur de rootkit open source

Par Ludovic Blin, secuobs.com
Le 02/06/2006


Résumé : La chercheuse en sécurité Johanna Rutkowska a annoncé la publication du code source de son outil SVV, System Virginity Verifier.



La chercheuse en sécurité Johanna Rutkowska a annoncé la publication du code source de son outil SVV, System Virginity Verifier.

L'augmentation de la diversité des codes malveillants, combinée à l'utilisation sans cesse croissante de techniques de type rootkit (techniques de furtivité) par ces codes rend les systèmes de détection par signatures de moins en moins fiables.

De nombreux projets de type HIDS (Host Intrusion Detection System), adoptant des approches parfois différentes, ont donc été lancés pour permettre de préserver les systèmes Windows (par exemple, F-Secure Blacklight, Core Force ou encore GESwall).

La chercheuse Johanna Rutkowska vient de publier le code source de son outil SVV (System Virginity Verifier) qui est en version 2.2.

L'approche retenue par cette application pour vérifier que le système n'est pas infecté par un code malveillant est la comparaison des sections code en mémoire des modules du kernel Windows, et des DLL importantes avec leur équivalent sur le disque.

En cas d'irrégularité le programme avertit l'utilisateur. Les sections .text et PAGE sont notamment vérifiées.

La publication du code source d'un tel outil peut permettre la création de versions personnalisées, qui sont plus difficiles à détecter pour les protections anti-détecteurs de rootkit des malwares.

La licence sous laquelle cet outil est placée permet d'intégrer la technologie dans un produit commercial ou de modifier le code source à volonté.

lien