No estoy en contra de nadie, pero si mi trabajo profesional fuese buscarle las cinco patas al gato a la seguridad de los sistemas operativos, dad por seguro que los encontraria, y no solo yo, sino cualquiera que dedicase su vida profesional a ese fin.

one step beyond you, always

En realidad son 2 cosas.

Una es el concepto ideado por Joanna, el BluePill, que me parece muy interesante y peligroso en un futuro (y no solo para Microsoft) y otra el como lo ha llegado a introducir en el Vista64. Esto ultimo lo ha hecho sorteando el sistema de certificados del Vista64 (todos los drivers que se ejecuten en modo kernel para esta version de 64 bits han de ir obligatoriamente firmados digitalmente). El problema es que al ser una beta, ese sistema no esta completamente terminado y todavia no se ha decidido que tipo de certificacion va a ser necesaria, pudiendose instalar ahora cualquier cosa firmada por cualquiera. Por lo tanto, este aspecto no parece preocupante por ahora. (Ademas lo ha hecho con una cuenta de Administrador, ¿es que nadie lee mi firma? :P)

El problema va a ser el Bluepill, que consiste en usar las capacidades de virtualizacion por hardware de los ultimos procesadores tanto de AMD como de Intel. Es decir, sin estos procesadores el concepto del Bluepill no funciona. Algunos de vosotros habreis usado alguna vez una maquina virtual, por ejemplo ejecutar en un XP el VirtualPC y dentro de este un Windows 98. El Windows 98 no se "entera" de que esta siendo ejecutado dentro de un XP, se "cree" que esta en una maquina cualquiera con todo el hardware a su disposicion y solo para el. Bien, esto que se hace por software con programas tipo VirtualPC, en los nuevos AMD con su Pacifica y en los Intel con su bit VT, se hara por hardware, a plena velocidad. Esto es lo que aprovecha el Bluepill de Joanna, su codigo malicioso hace correr el Vista64 en modo virtualizado, por eso el Vista64 no se entera que esta siendo supervisado continuamente por el codigo malicioso. Esto es aplicable a Linux, BSD, etc. no solo Windows. Asi que ojo con este concepto, nadie va a estar a salvo :-;

--
La primera regla de seguridad es NO trabajar con cuenta de Administrador

Hay una manera de bloquear a BluePill, y bastante sencilla: que, por defecto, el sistema operativo trabaje en cooperación sobre un virtualizador propio, también de "capa fina", que redirija cualquier llamada al hardware. Como dice el artículo, la gran ventaja de BluePill es que se inserta "en caliente", sin reiniciar, por eso no puede ser detectado (no modifica nada en el arranque para ser lanzado después de reiniciar). Sin embargo, si ya existe un virtualizador, éste detectará que otro virtualizador intenta meterse, por lo que puede interactuar con el Sistema Operativo y alertar al usuario.

¿Qué? ¿Me he ganado un gallifante? :D

Link:
Presentaciones BLACK HAT USA 2006.

[Vía El Hacker.net]