[port139:00497] Re: NTrootkit

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんばんは、伊原です。

Yasuyuki Horikoshi さんは書きました:
>> うーん、でもこれもきっと理論上は消すことできますよね？
>
>クしてやってモノホンの API が返す関数の中に _root_ を見つけたら表示しな
>いという NewNtQuerySystemInfomation を用意すれば消せちゃう、ってことです

なーるほどぉ、やっぱり隠せますよねぇ・・・
まぁ今は”頭かくして尻隠さず”というところでしょうか(^^;;

でもデバイスドライバ関連も _root_ を持つ場合には表示しないとなると、
例えばパケットキャプチャドライバ(_root_packet.sys みたいなの）の存在
がわからなくなるので怖いですねぇ。

さすがに回復コンソールでも表示されないようにするのは難しいんでしょう
けど・・・


---
セキュリティスタジアム 2001 ボランティアの募集
http://sec-stadium.hawkeye.ac/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/