🚀 go-pugleaf

El tal Diego Calleja (Arador) en la fecha Domingo 09 Mayo 2004 23:19 escribio en es.comp.hackers el siguiente mensaje:

> El Sun, 09 May 2004 18:53:58 +0200 Lokutus <me@privacy.net> escribi�:
> 
>>     Presumiblemente, los cortafuegos, tampoco detectar�an la apertura
>>     de
>>   puertos y/o conexiones al triyano, (ahi tengo mis dudas).
> 
> �Dudas? Un rootkit funciona en modo kernel. Puede evitar firewalls,
> ocultar conexiones, esconderse de detectores de rootkits. Puede hacer
> que "type fichero.exe" sea un archivo totalmente diferente al que se
> ejecuta. En modo kernel eres Dios.
> 

    Depende por un lado, de como funcione el cortafuegos. Resulta que 
  cuando un proceso protegido por el NTRootKit, abre un socket pasivo,
  es detectado por el cortafuegos. 

    Depende tambi�n, de hasta que punto se meta el rootkit en las tripas
  del sistema. �Qu� va a hacer?, �Sustituir todo el stack del TCP para
  enga�ar a un cortafuegos?
    
    El cortafuegos tambi�n mete sus DLLs muy dentro de las tripas del 
  sistema operativo, y de tal forma, que todas las tramas pasan a 
  traves de el. Para que este, decida en funci�n de las reglas, si las
  deja pasar, o no.

>>     Un rootkit, tiene que valerse de alguna vulnerabilidad del
>>     sistema
>>   operativo, para hacerse "Ring 0", (que puede hacer todo lo que le
>>   de la gana), y eso NO es tan f�cil.
> 
> �Uh? �Porque va a necesitar explotar nada? �Que hacen los drivers
> entonces? Los creadores de virus se estan decantando por investigar el
> meter virus en drivers precisamente por ello.
> 

  Claro, es f�cil, cuando terminas de programar un virus, se lo 
  env�as a Microsoft, para que te lo firme, y adem�s, si el 
  usuario no tiene permisos de administrador, le pides que entre
  como administrador.

> 
> Preguntare lo mismo que pregunto a los trolls de los grupos de
> Microsoft:
> 
> Demuestrame que es posible asegurarse al 100% de que un ordenador est�
> a salvo teniendo una vulnerabilidad que da privilegios de SYSTEM al
> que la explota y con una shell remota abierta.
> 

    Yo nunca he afirmado eso. Una maquina con una vulnerabilidad no 
  est� a salvo, y hay que parchear esa vulnerabilidad.

-- 

    Lokutus, asimilando la red.