「Windows用のRootkitを検出・削除できる「F-Secureブラックライト」」記事へのコメント

なぜ検出できない?

[Anonymous Coward]

Rootkitという言葉を初めて聞いて、ちょっと検索したら、
スパイウエアみたいなものかなと思ったけど、なぜ従来の
セキュリティーソフトだと検出できないのかが不思議。

Re:なぜ検出できない?

[ramsy (8353)]

スキャンソフトウェアが使うAPIよりももっとシステムレベルに割り込み、そこで偽装をされたらどうにもならないからです。
# 感染しようとする時点で止めれなかった場合の話だとおもいます。

--
# rm -rf ./.

Re:なぜ検出できない?

[Anonymous Coward]

もうちょっとするとCD-ROMからブートして、ハードディスクの
ファイルをscanするようなものが出てくるのでしょうか。

IntelやAMDが最近相次いでプロセッサに仮想化の機能を付けようと
していますが、そうなるとVMMにrootkit scan機能を入れられるかも
しれませんね。

# でもVMMに脆弱性が見つかった場合には・・・

Re:なぜ検出できない?

[ramsy (8353)]

確かに今の時点ではそのような物を提供してくれているベンダーはほぼないですね。でも、XPE(XPの組み込み版)かLinux(KNOPPIX等)使って作るのは可能ではないでしょうか。
# SophosはDOS版だとそんな感じ(半年前の時点)でしたし、他社もDOSの世代にはあったんですが…

VMM自身で、或いはその下で動くVirus/spyware/adware/rootkit監査/駆除システムですか。今後はその層に踏み込まないと難しいでしょうねぇ…

--
# rm -rf ./.

Re:なぜ検出できない?

[kei100 (5854)]

ファイルシステムがFATなら、Nortonは可能だったかと思います
が、ノートPCのドライブの調子が悪くて試せませんorz
# ただし、CD-ROMに入っているパターンは古いのだ（＝＝；

Re:なぜ検出できない?

[Anonymous Coward]

で、最終的にはEFI [e-words.jp]レベルで動作する駆除システムが発表されて、そのまた裏をかいて、EFI firmwareに進入するウイルスが出てくると... :-)

#いたちごっこだなぁ