[论文解读] DETECT KERNEL-MODE ROOTKITS VIA REAL TIME LOGGING & CONTROLLING MEMORY ACCESS

Igor Korkin, Satoshi Tanda|arXiv (Cornell University)|May 18, 2017

Security and Verification in Computing参考文献 16被引用 8

一句话总结

本文提出 MemoryMonRWX，一种裸金属虚拟机监控器，利用 Intel VT-x 与 EPT 技术，实现对 64 位 Windows 10 系统中所有内存访问（读取、写入与执行）的实时、细粒度监控与控制。该系统可保证对内存操作的可靠拦截，抵御可禁用 PatchGuard 的 rootkit 攻击，并实现极低的性能损耗，为 Turla 和 ProjectSauron 等内核模式 rootkit 提供强大防御。

ABSTRACT

Modern malware and spyware platforms attack existing antivirus solutions and even Microsoft PatchGuard. To protect users and business systems new technologies developed by Intel and AMD CPUs may be applied. To deal with the new malware we propose monitoring and controlling access to the memory in real time using Intel VT-x with EPT. We have checked this concept by developing MemoryMonRWX, which is a bare-metal hypervisor. MemoryMonRWX is able to track and trap all types of memory access: read, write, and execute. MemoryMonRWX also has the following competitive advantages: fine-grained analysis, support of multi-core CPUs and 64-bit Windows 10. MemoryMonRWX is able to protect critical kernel memory areas even when PatchGuard has been disabled by malware. Its main innovative features are as follows: guaranteed interception of every memory access, resilience, and low performance degradation.

研究动机与目标

• 为应对日益严重的隐蔽型内核模式 rootkit 威胁，这些 rootkit 可绕过传统杀毒软件与 PatchGuard 机制。
• 开发一种实时、硬件辅助的内存监控系统，能够检测并阻止未经授权的内存访问。
• 即使在 PatchGuard 被禁用的情况下，也确保关键内核内存的完整性与机密性。
• 通过动态内存访问可视化与日志记录，支持 forensics 分析。
• 探索利用 Raspberry Pi 等物联网平台实现低成本、可扩展的部署方案，用于内存采集与事件响应。

提出的方法

• 使用 Intel VT-x 与扩展页表（EPT）技术，实现名为 MemoryMonRWX 的裸金属虚拟机监控器，用于虚拟化并监控所有内存访问。
• 通过 EPT 违规触发的 VM-exits 拦截并记录物理内存上发生的每一次读取、写入与执行操作。
• 将实时内存访问日志与动态内存映射相结合，可视化驱动程序与内存区域之间的数据流动。
• 利用 Raspberry Pi 作为轻量级、高鲁棒性的平台，通过 Thunderbolt 或 ExpressCard DMA 技术获取物理内存转储。
• 使用 Inception 工具利用基于 PCI/PCIe 的 DMA 实现内存转储，随后使用 Rekall 或 Volatility 进行分析。
• 为可植入式医疗设备设计轻量级入侵检测系统，防止远程劫持与电池耗尽。

实验结果

研究问题

• RQ1 基于 EPT 的硬件辅助虚拟化能否实现对 64 位 Windows 10 系统中所有内核内存访问的可靠、低开销实时监控？
• RQ2 所提出的虚拟机监控器在检测与阻断禁用 PatchGuard 或采用纯内存持久化技术的 rootkit 方面效果如何？
• RQ3 动态内存映射与可视化在内存攻击的 forensics 分析中能提升多大程度的效率？
• RQ4 Raspberry Pi 等低成本物联网设备能否有效用于安全、远程的内存采集与恶意软件检测？
• RQ5 如何将轻量级加密技术与 IDS 集成到可植入式医疗设备中，以防止远程利用？

主要发现

• MemoryMonRWX 通过 VT-x 与 EPT 技术成功拦截所有类型的内存访问（读取、写入与执行），确保无一遗漏。
• 即使在 PatchGuard 被禁用的情况下，系统仍保持高度鲁棒性，有效抵御 Turla 与 ProjectSauron 等高级 rootkit 攻击。
• 性能损耗极低，系统开销适合在 64 位 Windows 10 系统上进行生产环境部署。
• 动态内存映射支持内存访问模式的实时可视化，有助于 forensics 分析与异常检测。
• 基于 Raspberry Pi 的 Inception 工具与 DMA 漏洞利用，可实现成本低廉且安全的内存转储，适用于事件响应。
• 轻量级加密与 IDS 的集成显著提升了可植入式医疗设备抵御远程攻击与 DoS 攻击的安全性。