Barrapunto

Lo que hace es aprovechar la nueva tecnología de virtualización de los procesadores Intel y AMD. Estos procesadores soportan de forma nativa la virtualización. Simplificando bastante podríamos decir que es como qemu, pero a nivel de procesador . Siendo algo más exactos, el procesador permite ejecutar varios sistemas operativos a la vez, controlados por un programa que los administra.

Lo que ha conseguido Rutkowska es reventar el conocido mecanismo de autentificación de drivers de Microsoft para colarle un programa que hace que todo Windows pase a ejecutarse en una máquina virtual creada por el programa, aprovechando la virtualización que provee AMD llamada SVM/Pacifica. El sistema operativo sigue creyendo que se está ejecutando en el PC, cuando en realidad se ejecuta dentro de una máquina virtual controlada por el programa.

A este mecanismo, de una forma bastante efectista, lo ha denominado "pastilla azul", por analogía con Matrix, donde la gente cree vivir en un mundo real cuando en realidad viven en úteros artificiales controlados por máquinas. Del mismo modo, Windows cree ejecutarse en una máquina real cuando en realidad se ejecuta en una máquina virtual.

De este modo, el programa se vuelve virtualmente indetectable, dado que Windows sólo puede ver la máquina virtual (el mundo que ha sido puesto ante tus ojos para ocultarte la verdad).

Dicho esto, el mecanismo para reventar el sistema de drivers es un fallo de Windows, pero todo el proceso puede hacerse sin problemas empleando cualquier otro sistema operativo, como ella misma dice. Sólo hace falta contar con los privilegios adecuados.

Del mismo modo, tampoco es un fallo de AMD. Intel también posee procesadores que usan la tecnología llamada VT que pueden emplearse para lo mismo. De hecho, Dino Dai Zovi presentó un trabajo llamado "Hardware Virtualization-Based Rootkits" en el BlackHat que viene a ser lo mismo que Rutkowska pero empleando la tecnología VT de Intel.

Esto es bastante preocupante, porque implica que, una vez infectado, el software antivirus lo tiene ahora mucho más difícil para detectar anomalías. De todos modos, como dije no es del todo indetectable. El programa que ejecuta la máquina virtual no deja de ser un programa, con lo que se come ciclos de procesador, que son detectables.

Asimismo, un sistema ejecutándose dentro de una máquina virtual puede ser poco detectable, pero un sistema dentro de una máquina virtual, que a su vez está dentro de otra máquina virtual muestra ya algo de degradación en su rendimiento, lo que puede detectarse.

Del mismo modo, el susodicho programa, al ser un programa, ocupa memoria RAM. Pueden usarse técnicas para revisar toda la memoria RAM en busca del programa en cuestión. Esto podría ser evitado, por supuesto, por el programa, saltando de un punto a otro de la memoria.

Otro mecanismo para detectarlo podría ser llenando toda la memoria RAM, de este modo el programa sólo podría ir a swap, donde ya no puede ejecutarse (los programas solo pueden ejecutarse desde RAM) y por lo tanto ya no podrá moverse.

En cualquier caso, la tecnología de virtualización soportada desde el procesador, además de muchas ventajas para los usuarios (como ejecutar varios sistemas operativos a la vez sin reiniciar y sin pérdida casi de rendimiento) lo que seguro va a suponer son grandes dolores de cabeza para las compañías antivirus.