事件

賽門鐵克命名 Rustock、F-Secure 命名 Mailbot.AZ 的新型特洛伊木馬，利用先進 Rootkit 隱蔽自我，安全研究人員直呼「將揭開攻防新篇章」。

技術亮點

• 綜合隱蔽技術：結合舊技術與新創意，隱蔽性足以繞過多數常用檢測手段。
• 不使用系統進程：在驅動程式與核心執行緒中運行自有代碼，避開進程掃描。
• 交替資料流 (ADS)：不用隱藏檔案，改用 ADS 存放惡意代碼。
• 不呼叫 API：繞過基於 API 掛鉤的檢測機制。
• 多態 SYS 驅動程式：代碼不斷變異，繞過核心結構與隱藏驅動程式掃描。
• 對抗 Rootkit 掃描器：可躲避針對核心結構、隱藏驅動的專用檢測工具。

專家評價

• McAfee 克萊格：作者對檢測工具內部原理研究極深，安全廠商雖努力搶先，但駭客同樣掌握安全技術。
• 賽門鐵克伊利亞：感染電腦上「幾乎無任何跡象」。

實際威脅評估

雖技術極先進，但傳播範圍極低，非大規模流行。討論熱度源於其對現有檢測工具的挑戰。F-Secure 已更新 BlackLight，賽門鐵克與 McAfee 正開發專用清除工具。

啟示

Rootkit 技術快速演進，傳統特徵碼掃描已不足。防禦需結合行為分析、啟發式掃描、雲端情報、核心級防護等多層次技術，並保持病毒庫與引擎的高頻更新。