Rutkowska consigue entrar en Vista otra vez, y van dos

La conferencia dada ayer en BlackHat por Joanna Rutkowska volvió a sorprender por su claridad y detalle. Empezó leyendo un documento de Microsoft Vista en el que se decía que incluso los usuarios con privilegios de administrador no podían cargar código en modo kernel desautorizado en el sistema. Después se rió con sorna.

El año pasado, Rutkowska utilizó su famosa Blue Pill, un malware que se introduce en el sistema de virtualización de Vista y concede privilegios de supervisor.

Aunque Microsoft dijo haber solucionado este problema antes de que la última versión de Vista saliese al mercado, todavía existen muchas formas de atacar Vista, algo que Rutkowska probó ayer sobradamente.

Utilizando el controlador de NVIDIA como proxy para escribir código en el kernel, mostró cómo un rootkit es capaz de sobrepasar el sistema de seguridad kernel de Vista, que es el que supuestamente evita la entrada de código no autorizado.

El problema afecta no sólo al controlador de NVIDIA o ATI sino a casi todos los demás controladores de terceros. Peor aún, los controladores están tan mal escritos y su arquitectura tan mal diseñada que un usuario ni siquiera necesita tener una tarjeta gráfica NVIDIA o ATI instalada con el controlador para aprovecharse de ello. Basta con incluir el archivo del controlador junto a cualquier otro lote de código, colocarlo en algún lugar de la unidad C: y utilizarlo después como un vector de ataque.

Más aquí y aquí.