Proaktív védelem a rootkitek ellen

A számítógépen nem talál fertőzést a vírusirtó program, azonban a rendszer indokolatlan instabilitása, a szokatlan hálózati forgalom és a furcsán működő programok mind arra utalnak, hogy valami nincs rendben. Ebben az esetben könnyen elképzelhető, hogy egy rootkittel van dolgunk. A számítógépre való betörés után a hackerek előszeretettel hagynak maguk után olyan programokat, amelyek megkönnyítik a kompromittált rendszerbe való újbóli visszatérést. Ugyanerre képes egy fejlett vírus is: a fertőzés után a kórokozó eltünteti magát az operációs rendszer elől, miközben a háttérben tovább végzi kártékony tevékenységét.

Az ilyen – rootkitnek nevezett – fertőzéseket a mai antivírus rendszerek csak a vírusdefiníciós adatbázisok alapján ismerik fel, ami fontossá teszi a programok gyakori frissítését. Ez a módszer azonban nem küszöböli ki annak lehetőségét, hogy még a vírusdefiníciós adatbázis frissítése előtt megfertőződjön számítógépünk. A hagyományos vírusok esetében ilyenkor megoldást jelent egy víruskeresés lefuttatása. A rootkitek azonban képesek arra, hogy aktiválásuk után láthatatlanná tegyék magukat. Így, miután a frissített antivírus rendszer sem talál semmilyen fertőzést, a felhasználó – tévesen – biztonságban érezheti magát.

Mindezek alapján a rootkitek elleni védekezés legfontosabb követelménye, hogy a fertőzést proaktívan – még az aktiválódása előtt – ismerje fel és állítsa meg a számítógépre telepített antivírus rendszer. A mai antivírus rendszerek azonban erre sajnos nem képesek. Kivételt csak az ESET Software vírusirtója, a NOD32 képez, ami a megújult heurisztikus technológiának köszönhetően már a rootkiteket is proaktívan ismeri fel, megakadályozva azok aktiválódását. A most bemutatott eljárás a cég NOD32 antivírus rendszerébe integrált heurisztikus algoritmusok új generációján alapszik.

„A NOD32 esetében a felhasználó nem egy terméket, hanem egy szolgáltatást kap tőlünk. Cégpolitikánk szerves része, hogy nem csak a vírusdefiníciós adatbázisunkat frissítjük, hanem antivírus rendszerünk minden komponensét.” – mondta Richard Marko, az ESET vezető szoftverfejlesztője, aki elmondta: a ThreatSense technológia részét képező rootkit védelem január 10. óta a cég minden felhasználója számára elérhető. A frissítések a NOD32 alapbeállítása szerint automatikusan megtörténnek, az adatokat a rendszer információs paneljén lehet ellenőrizni. Amennyiben a kiterjesztett heurisztikus modul verziószáma 1.024 feletti, a gépre telepített antivírus rendszer már tartalmazza a rootkitek elleni védelmet.