Содержание книги "Руткиты и буткиты
:
обратная разработка вредоносных программ и угрозы следующего поколения"
От издательства
Об авторах
О техническом рецензенте
Вступительное слово
Благодарности
Список аббревиатур
Введение
Для кого предназначена эта книга
Структура книги
Как читать эту книгу
Часть I. Руткиты
Глава 1. Что такое руткит: TDL3
История распространения TDL3 по миру
Процедура заражения
Глава 2. Руткит Festi: самый продвинутый бот для спама и DDoS-атак
Дело о сети ботов Festi
Устройство драйвера руткита
Сетевой протокол Festi
Обход средств обеспечения безопасности и КТЭ
Алгоритм генерирования доменных имен в случае отказа C&C-сервера
Вредоносная деятельность
Заключение
Глава 3. Обнаружение заражения руткитом
Методы перехвата
Восстановление ядра системы
Великая гонка вооружений с руткитами: ностальгическая нотка
Заключение
Часть II. Буткиты
Глава 4. Эволюция буткита
Первые буткиты
Эволюция буткитов
Современные буткиты
Заключение
Глава 5. Основы процесса загрузки операционной системы
Общий обзор процесса загрузки Windows
Старый процесс загрузки
Процесс загрузки Windows
Заключение
Глава 6. Безопасность процесса загрузки
Модуль раннего запуска антивредоносной программы
Политика подписания кода режима ядра
Технология безопасной загрузки
Безопасность на основе виртуализации в Windows 10
Заключение
Глава 7. Методы заражения буткитом
Методы заражения MBR
Методы заражения VBR/IPL
Заключение
Глава 8. Статический анализ буткита с помощью IDA Pro
Анализ MBR буткита
Техника анализа VBR
Продвинутая работа с IDA Pro: написание собственного загрузчика MBR
Заключение
Упражнения
Глава 9. Динамический анализ буткита: эмуляция и виртуализация
Эмуляция с помощью Bochs
Виртуализация с помощью VMware Workstation
Microsoft Hyper-V и Oracle VirtualBox
Заключение
Упражнения
Глава 10. Эволюция методов заражения MBR и VBR: Olmasco
Сбрасыватель
Функциональность буткита
Функциональность руткита
Заключение
Глава 11. Буткиты начального загрузчика программы: Rovnix and Carberp
Эволюция Rovnix
Архитектура буткита
Заражение системы
Процесс загрузки после заражения и IPL
Функциональность вредоносного драйвера
Реальный пример: троян Carberp
Заключение
Глава 12. Gapz: продвинутое заражение VBR
Сбрасыватель Gapz
Заражение системы буткитом Gapz
Функциональность руткита Gapz
Скрытое хранилище
Заключение
Глава 13. Взлет программ-вымогателей, заражающих MBR
Краткая история современных программ-вымогателей
Вымогатель с функциональностью буткита
Образ действий программ-вымогателей
Анализ вымогателя Petya
Анализ вымогателя Satana
Заключение
Глава 14. Сравнение процессов загрузки с помощью UEFI и MBR/VBR
Единый расширяемый интерфейс прошивки
Различия между процессами загрузки через BIOS и UEFI
Особенности таблицы разделов GUID
Как работает прошивка UEFI
Заключение
Глава 15. Современные UEFI-буткиты
Исторический обзор угроз BIOS
У любого оборудования есть прошивка
Способы заражения BIOS
Как происходит внедрение руткита
UEFI-руткиты на воле
Заключение
Глава 16. Уязвимости прошивок UEFI
Почему прошивка может быть уязвимой?
Классификация уязвимостей UEFI
Исторический обзор защиты прошивок UEFI
Intel Boot Guard
Уязвимости в модулях SMM
Уязвимости в загрузочном скрипте S3
Уязвимости в Intel Management Engine
Заключение
Часть III. Методы защиты и компьютерно-технической экспертизы
Глава 17. Как работает безопасная загрузка UEFI
Что такое безопасная загрузка?
Детали реализации безопасной загрузки UEFI
Атаки на безопасную загрузку
Защита безопасной загрузки с помощью технологии верифицированной и измеренной загрузки
Intel BootGuard
Trusted Boot Board в ARM
Верифицированная загрузка и руткиты прошивки
Заключение
Глава 18. Подходы к анализу скрытых файловых систем
Обзор скрытых файловых систем
Извлечение данных буткита из скрытой файловой системы
Разбор образа скрытой файловой системы
Программа HiddenFsReader
Заключение
Глава 19. Компьютерно-техническая экспертиза BIOS/UEFI: подходы к получению и анализу прошивок
Ограничения наших методов КТЭ
Почему компьютерно-техническая экспертиза прошивки так важна
Как получить прошивку
Программный подход к получению прошивки
Аппаратный подход к получению прошивки
Анализ образа прошивки с помощью UEFITool
Анализ образа прошивки с помощью Chipsec
Заключение
Предметный указатель
