Virtual Machine Based Rootkit

Virtual Machine Based Rootkit (VMBR) sind Rootkits, die ein vorhandenes Betriebssystem in eine virtuelle Umgebung verschieben. Dadurch ist das Betriebssystem in der virtuellen Umgebung gefangen. Die virtuelle Umgebung ist somit eine Software-Ebene unter dem Betriebssystem, was ein Erkennen des VMBR stark erschwert.

Machbarkeitsnachweise für diese Technik lieferten Joanna Rutkowska mit dem Programm Bluepill sowie Microsoft Research mit dem Programm SubVirt. Bluepill kann, im Gegensatz zu SubVirt, ohne Neustart des zu infizierenden Computers installiert werden. Der Name Bluepill (englisch für „blaue Pille“) ist eine Analogie zum Film Matrix.

Weblinks

• http://www.heise.de/newsticker/meldung/76455 – Rootkit infiltriert Beta-Version von Windows Vista auf heise online
• http://www.heise.de/security/news/meldung/70813 – Microsoft demonstriert Virtualisierungs-Rootkit auf heise Security
• http://bluepillproject.org (nicht mehr verfügbar) – Homepage des Blue Pill Projektes mit Quellcode des Virtualisierungs-Rootkits
• http://invisiblethings.org – Homepage von Joanna Rutkowska
• http://www.stealthware.org - Homepage des Buchs Virtual Machine Based Rootkits von E.Hermann, R.Kolmhofer ua.