Недавно,  в антивирусную Лабораторию Касперского попал очень интересный сампл — даунлоадер, содержащий в себе два драйвера, и скачивающий фальшивый антивирус, как под платформу PC, так и под MacOS. Данный зловред загружается и устанавливается на зараженную машину пользователя при помощи exploitpack "BlackHole Exploit Kit”. Последний, в свою очередь, содержит эксплойты, использующие уязвимости в Java- приложениях JRE (CVE-2010-0886, CVE-2010-4452, CVE-2010-3552), а так же в PDF файлах. Оба эти драйвера — типичные руткиты с богатым, расширенным функционалом. Один из них — 32-битный, а второй — 64-битный. Особенность последнего состоит в том, что он имеет цифровую подпись. Если Windows, семейства Vista и выше, была загружена с ключом ‘TESTSIGNING’, то приложения смогут загружать драйвера, подписанные тестовой подписью. Это специальная лазейка, которую оставила Microsoft для разработчиков драйверов, чтобы те могли тестировать свои творения. Этим-то и воспользовались злоумышленники — они выполняют команду ‘bcdedit.exe –set TESTSIGNING ON’, что позволяет им запустить свой драйвер без легальной подписи. Сказанное ниже относится к обоим руткитам — их функционал полностью идентичен, различаются только лишь платформы, на которых они используются. Если драйвер успешно загрузился и работает в системе, то избавление от него стоит многого. Руткит блокирует запуск драйверов, относящихся к антируткитам и продуктам AV-вендоров. Для этого используются списки с названиями файлов конкретных драйверов и строки, по которым будет производиться поиск в секции Security массива DataDirectory загружаемого образа. Если руткит обнаруживает загрузку «недоверенного» драйвера, то в образе последнего изменяются байты на точке входа, что исключает его корректный запуск.