TDL3, den första Windows x64-kompatibla kernelmods rootkit-infektionen i naturen, är här!

TDL3 rootkit är en av de mest avancerade rootkitarna någonsin sett i naturen. Rotkiten var stabil och kunde infektera 32-bitars Windows-operativsystem; även om administratörsrättigheter behövdes för att installera infektionen i systemet.

TDL3 har nu uppdaterats och den här gången är det en stor uppdatering. rootkit kan nu infektera 64 bitars versioner av Microsoft Windows operativsystem!

x64-versioner av Windows anses vara mycket säkrare än deras respektive 32-bitars versioner på grund av några avancerade säkerhetsfunktioner som är avsedda att göra det svårare att komma in i kärnläget och haka i Windows-kärnan.

Windows Vista 64 bit och Windows 7 64 tillåter inte varje drivrutin att komma in i kärnminneområdet på grund av en mycket strikt digital signaturkontroll. Om drivrutinen inte har skrivits digitalt tillåter Windows inte att den laddas. Den här första tekniken gjorde det möjligt för Windows att blockera varje rootkit-kod från att läsas, eftersom malwares vanligtvis inte signeras - åtminstone bör de inte vara.

Den andra tekniken som används av Microsoft Windows för att förhindra att kärnlägesdrivrutiner ändrar Windows-kärnuppförande är den ökända Kernel Patch Protection, även känd som PatchGuard. Denna säkerhetsrutin blockerar varje kärnlägesdrivrutin från att ändra känsliga områden i Windows-kärnan - t.ex. SSDT, IDT, kärnkod.

Dessa två tekniker kombinerat tillsammans möjliggjorde x64-versioner av Microsoft Windows för att vara mycket bättre skyddade mot rootkits i kärnläge.

De första försöken att bryta denna Windows-säkerhet hade drivits av Whistler bootkit, en ramkänga som säljs i tunnelbanan och kan infektera både x86 och x64 versioner av Microsoft Windows.

Men denna TDL3-release kan betraktas som den första x64-kompatibla kernelmods rootkit-infektionen i naturen.

Droppen släpps av vanliga sprick- och porrwebbplatser, men vi förväntar oss snart att det släpptes med hjälp av kits även som det hände med nuvarande TDL3-infektioner.

Läs mer på Prevx.