ncak - Sa 12.06.10 20:48
Titel: Schutz vor Beendigung von Antivirensoftware

---

Hallo Delphi-Forum,

Ich meine vor einiger Zeit irgendwo einen Text/Forumsbeitrag darüber gelesen zu haben das sich einige Antivirenprogramme mittels eines API Hooks / Kernel-Level Rootkits vor Manipulationen / Beendigung schützen. Könnte aber auch geistiger quark sein.

Wenn jemand kurz sagen kann ob das möglich wäre, würde mich das sehr viel weiter bringen.


,nc

Greenberet - Sa 12.06.10 21:25

---

Verinfacht gesagt, bis zu einem gewissen grad geht das via Hooks.
Für "tiefen" Schutz werden eher detour Mechanismen bzw über Treier verwendet

ncak - Sa 12.06.10 21:59

---

Danke für die schnelle Rückmeldung Greenberet :)

Ich denke ich werde dieses Beispiel für die Benutzung von API-Hooking erstmal aus meiner Sem. Arbeit nehmen und evtl. falls noch Zeit ist später auf Quellensuche gehen.

Falls jemand halbwegs zitierfähige Quellen kennen sollte, die das benutzen von "API-Hooks" in Antivirensoftware oder Firewalls in irgendeiner weise erwähnen, kann er sie gerne hier Posten und damit mir und zukünftigen Quellensuchenden helfen!


,nc

Flamefire - Sa 12.06.10 23:35

---

Die meisten Antiviren Programm verwenden Rootkit techniken um sich selbst zu schützen und andere Viren zu erkennen/zu stoppen.
Im Prinzip ist es API hooking, aber halt auf kernel ebene.

Es ist definitiv möglich und in Benutzung auf allen Window Systemen.

Als Quelle vl das Buch "RootKits - Den Kernel unterwandern" (oder so ;-) )
Auch wenn da eher die Techniken als die Anwendung in AV Software beschrieben wird.

Mit diversen Mechanismen kann man so was erkennen und sogar leicht umgehen (je nach OS und benutzer)