Geen Oost-Europese computercriminelen of duistere hackers, maar onderzoeksteams van Microsoft en de universiteit van Michigan werken aan nieuwe prototypes van op virtual machine gebaseerde rootkits, die bijna niet op een systeem te detecteren zijn.

De proof-of-concept rootkit die de onderzoekers ontwikkelde, genaamd SubVirt, maakt misbruik van bekende security lekken om een VMM (virtual machine monitor) onder een Windows of Linux installatie te plaatsen. Is het systeem eenmaal geinfecteerd door de rootkit, dan kan die niet meer gedetecteerd worden, omdat de security software op het geinfecteerde systeem de virtual machine rootkit niet kan scannen.

Het prototype, dat later dit jaar tijdens het IEEE Symposium over Security en Privacy wordt gedemonstreerd, is het werk van Microsoft's Cybersecurity en Systems Management Research Group. De afdeling was eerder verantwoordelijk voor de Strider GhostBuster anti-rootkit scanner en de "Strider HoneyMonkey exploit detection patrol".

Anti-rootkit tools die vandaag de dag gebruikt worden vergelijken het register en bestandssysteem om te zien of er door user-mode of kernel-mode rootkits aanpassingen gemaakt zijn, maar deze tactiek werkt niet als de rootkit zich op een plek bevindt die niet gescand kan worden.

"We gebruikten onze proof-of-concept rootkits om Windows XP en Linux systemen te infiltreren, waarna we vier kwaadaardige services installeerde" schrijft een van de onderzoekers. De rootkits wisten Linux via VMWare en Windows via VirtualPC te infiltreren, waarna de services, zonder gedetecteerd te worden, geinstalleerd werden.

Een manier om de onvindbare VM rootkits toch te vinden, is via hardware detectie. Eerder maakten chipfabrikanten AMD en Intel bekend dat ze hardware zullen ontwikkelen die, in combinatie met "low-layer security" software, VM-rootkits kan detecteren. Een andere oplossing bestaat uit het booten vanaf USB-stick of CD-ROM.

Volgens de onderzoeksteam gaat het om een reële dreiging, wat onderstreept wordt doordat een van de onderzoekers een met de rootkit geinfecteerde PC gebruikte, zonder dat hij dit in de gaten had.