Vista: Experten einig - Malware bleibt nie unentdeckt

Die Sicherheitspezialistin Joanna Rutkowska sorgte im vergangenen Jahr für Aufsehen, als sie einen Root-Kit vorstellte, der in der Lage war den in der 64-Bit-Variante von Windows Vista enthaltenen Kernelschutz zu umgehen. Microsoft hatte die Lücke umgehend geschlossen, so dass sie in der Final-Ausgabe des neuen Betriebssystems nicht mehr ausgenutzt werden kann. Ende Juni 2007 kam es dann zu einem Streit unter Sicherheitsexperten weil einige Spezialisten von Firmen wie Symantec, Root Labs und Matasano, allesamt Anbieter von IT-Sicherheitslösungen, die These aufstellten, dass es nicht möglich sei einen nicht nachweisbaren Root-Kit für Windows Vista zu entwickeln.

Sie forderten Rutkowska auf, zu versuchen eine derartige Software zu entwickeln, die sie dann mit einem eigenen Programm nachweisen wollten. Auf der Sicherheitskonferenz Black Hat kam es nun am Wochenende zum "Showdown" zwischen den Expertenmeinungen.

Rutkowska zeigte eine neue Version des schon 2006 vorgestellten Vista Root-Kits Blue Pill, der nun als eine Art Hypervisor für Virtual Machines läuft. Ihre Herausforderer Peter Ferrie von Symantec, Nate Lawson von Root Labs und Thomas Ptacek von Matasano hielten hingegen einen Vortrag, der ihre These untermauern soll, dass es unmöglich ist einen nicht nachweisbaren Root-Kit zu entwickeln.

Im Nachhinein sind sich die Experten, also auch Joanna Rutkowska, einig, dass es derzeit keine Methode gibt, einen nicht nachweisbaren Root-Kit zu realisieren. In einem Blog-Eintrag will Peter Ferrie von Symantec nun einige Missverständnisse ausräumen, die in Folge der Diskussion um Rutkowska Blue Pill entstanden waren.

So habe Rutkowska zunächst geglaubt, dass die These der Expertengruppe nur auf Blue Pill bezogen sei. Stattdessen sei die Aussage jedoch allgemein gültig, wovon letztenendes aber auch Blue Pill betroffen ist. Ferrie wies darauf hin, dass seine Behauptung lediglich lautete, dass man in der Lage sei, jede Art von Hypervisor nachzuweisen, wobei es sich eben auch um einen Root-Kit handeln könne.

Der Symantec-Spezialist machte klar, dass es bis dato tatsächlich keine 100-prozentig "unsichtbare" Schadsoftware gebe. Selbst Maßnahmen, mit denen ein Root-Kit seinerseits versuchen würde, das Suchprogramm zu erkennen und zu täuschen, sind seiner Meinung nach nicht machbar.

Es gebe schlichtweg keine Möglichkeit einen nicht nachweisbaren Root-Kit zu entwickeln. Auch wenn die Suche nach einem derartigen Programm mit viel Aufwand verbunden sei, soll es immer möglich sein, die Schadsoftware aufzuspüren.