Злоумышленники используют руткиты, чтобы скрыть присутствие вредоносных программ от защитных решений. Для этого руткит под видом легитимного драйвера интегрируется с ядром ОС, перехватывает вызовы системных функций от приложений и модифицирует результаты их выполнения, удаляя упоминания файлов и процессов, связанных с троянцем. Это позволяет скрыть присутствие вредоносного кода - опасная программа становится "невидимой" для пользователя и других приложений.
Патент, полученный "Лабораторией Касперского", описывает вспомогательный модуль, дублирующий критически важные функции ядра системы: работу с файлами, контроль процессов, чтение записей системного реестра и т.д. Ключевая задача модуля - обнаружение объектов, замаскированных руткитом. Для этого защитное решение запрашивает список файлов или запущенных процессов через основное ядро и параллельно дублирует запрос через вспомогательный модуль. Сравнение полученных ответов позволяет выявить объекты, которые отсутствуют в списке от ядра ОС. Любое несовпадение является признаком наличия руткита, и защитное решение может предпринять действия, чтобы обезвредить скрываемые им объекты.
Вспомогательное ядро может быть использовано в разных режимах. На домашнем компьютере поводом для проверки может служить сигнал от других защитных подсистем о подозрительном поведении объекта, что позволит экономить ресурсы. Тогда как в корпоративном окружении, требующем более высокого уровня безопасности, контроль может быть постоянным.
"Маскировка с помощью руткитов - это один из хитрых трюков, которые злоумышленники используют для того, чтобы затруднить обнаружение вредоносного ПО. Мы, обладая богатой экспертизой в области IT-угроз, хорошо знаем эти приемы и внедряем в свои продукты противодействующие им механизмы. В этом заключается одно из наших преимуществ перед конкурентами, что в свою очередь подтверждается множеством независимых испытаний. И чтобы сохранить это преимущество, мы стремимся получать патенты на подобные технологии. Запатентованный механизм обеспечивает эффективное выявление объектов, скрытых в системе, позволяя справляться с самыми опасными атаками в случае как домашних пользователей, так и крупных компаний", - комментирует автор патента Вячеслав Русаков, антивирусный эксперт "Лаборатории Касперского".
Данный метод поиска вредоносного кода реализован в решениях "Лаборатории Касперского" для домашних и корпоративных пользователей, в том числе Kaspersky Internet Security для всех устройств, Kaspersky Crystal и Kaspersky Security для бизнеса.
"Лаборатория Касперского" обладает обширным патентным портфелем: к настоящему моменту он насчитывает 197 патентов, полученных в США, России, Евросоюзе и Китае. Еще 248 патентных заявок находилось на стадии рассмотрения.
