Abstract-Targeting operativsystemet kärnan, kärnan av förtroende för ett system, kärna rootkits kan kompromissa hela systemet, placera det under skadlig kontroll, samtidigt undvika detektion ansträngningar. Inom kärnrootkitens sfär är dynamiska datarootkit särskilt svårfångade på grund av att de endast angriper datamål. Dynamiska data rootkits undviker kodinsprutning och använder istället befintlig kärnkod för att manipulera kärndata. Eftersom de inte kör någon ny kod kan de slutföra sina attacker utan att bryta mot kärnans kodintegritet. Vi föreslår en förebyggande lösning som blockerar dynamiska datakärnrootkit attacker genom att övervaka kärnminne åtkomst med hjälp av Virtual Machine Monitor (VMM) riktlinjer. Även om VMM är en extern monitor upptäcker vårt system förebyggande ändringar i övervakade kärndatatillstånd och möjliggör finkornig granskning av minnesåtkomst på dynamiskt föränderliga kärndata. Dessutom kan läsbara och skrivbara kärndata skyddas genom att exponera den olagliga användningen av befintlig kod med dynamiska datakärnrootkit. Vi har implementerat en prototyp av vårt system med hjälp av QEMU VMM. Våra experiment visar att det framgångsrikt besegrar syntetiserade dynamiska data kärna rootkits i realtid, visar dess effektivitet och praktiskhet. är en av de mest tekniskt utmanande malware att försvara mot på grund av deras attackmål: operativsystem (OS) kärnor. OS-kärnan är kärnan i förtroendet för ett fungerande system, där varje program förlitar sig på den information och miljö som det tillhandahåller. Som sådan, om kärnan är komprometterad då det finns effektivt ingen betrodd komponent kvar i offrets system. Detta lämnar all systemprogramvara, inklusive säkerhetsprogramvara, sårbar för att bli lurad av förfalskade kärn- och systemtillstånd. Rootkits har som mål att ta kontroll över offrets OS samtidigt som man undviker intrångsdetekteringssystem. En vanlig teknik är att kapa kärnans kontrollflöde eller manipulera kärnans tillstånd för att effektivt förblinda systemet och förhindra upptäckt av intrånget. Nya attacktrender [5], [6] visar att kärnan rootkits i allt högre grad används för att göra andra malware mer effektiva. Detta dokument fokuserar på förebyggande av kärndynamiska dataattacker som kan användas av en rootkit. En traditionell kärnrootkit attack innebär injektion och körning av skadlig kod på kärnan nivå. En dynamisk data attack fungerar dock genom att direkt ändra dynamiskt fördelade
KernelGuard REF är en preventionslösning som blockerar dynamiska rotkit-angrepp i datakärnan genom att övervaka åtkomst till kärnminnet med hjälp av en uppsättning VMM-policyer.
Defeating Dynamic Data Kernel Rootkit Attacks via VMM-Based Guest-Transparent Monitoring
{'venue': '2009 International Conference on Availability, Reliability and Security', 'journal': '2009 International Conference on Availability, Reliability and Security', 'mag_field_of_study': ['Computer Science']}