Tidserv and MS10-015 -מסכים כחולים-רע לעסקים

עדכוני windows לחודש פברואר 2010 כללו בין השאר עדכון לקרנל המונע העלאת הרשאות -privlages elevation
העדכון עורר סערה בקרב אנשי הסיסטם ואבטחת המידע בטענה כי כתוצאה מהתקנתו המחשב קורס ומתקבל מסך כחול (blue screen of death).

תופעה זו נדירה ביותר ויאמר לזכותה של מיקרוסופט שתהליכי הבדיקות שלה נעשים בצורה מדוקדקת וטובה.

התופעה הקפיצה את אנשי אבטחת המידע לחקור לעומק את העניין והמסקנה לא אחרה לבוא:
מחשבים שהכילו את הוירוס :Backdoor.Tidserv אשר אחד ממאפיניו הוא שימוש ב ROOTKIT המשנה קבצי מערכת שונים על מנת להסוות את פעילות הוירוס , הם הם היחידים שקיבלו את המסך הכחול הארור.

הקבצים ששונו ע"י טלאי האבטחה הם:

:atapi.sys

iastor.sys

idechndr.sys

ndis.sys

nvata.sys

vmscsi.sys

בגדול -כאשר הוירוס פונה אל הAPI של חלקים אלו במערכת ההפעלה לאחר השינוי שלהם ע"י ה PATCH - הוא מקבל תשובה שגוייה ונכנס למצב ERROR שבו המחשב קורס.

פרטים נוספים

נכון להיום "יוצרי" הוירוס כתבו אותו מחדש כך שיתאים לשינוי שמיקרוסופט ביצעה כי אחרי הכול מסכים כחולים רעים לעסקים גם של מפעילי הוירוס :) 

לאחר הגילוי - הפצנו את הטלאי בארגוננו - ממליץ לכל שאר הארגונים לבצע זאת.

מאמר שלי התפרסם היום בירחון אבטחת המידע digitalwhisper

לצפיה והורדה:
http://www.digitalwhisper.co.il/0x0D/

מומלץ