Blue Pill es el nombre en clave de un rootkit basado en la virtualización x86 . Originalmente, Blue Pill requería compatibilidad con la virtualización AMD-V (Pacifica), pero luego fue adaptado para que también admitiera Intel VT-x (Vanderpool). Fue diseñado por Joanna Rutkowska y se demostró originalmente en Black Hat Briefings el 3 de agosto de 2006, con una implementación de referencia para el núcleo de Microsoft Windows Vista .
El nombre es una referencia al concepto de la píldora roja y la píldora azul de la película Matrix de 1999 .
El concepto de Blue Pill consiste en atrapar una instancia en ejecución del sistema operativo iniciando un hipervisor delgado y virtualizando el resto de la máquina bajo él. El sistema operativo anterior seguiría manteniendo sus referencias existentes a todos los dispositivos y archivos, pero casi cualquier cosa, incluidas las interrupciones de hardware, las solicitudes de datos e incluso la hora del sistema, podría ser interceptada (y enviar una respuesta falsa) por el hipervisor. El concepto original de Blue Pill fue publicado por otro investigador en IEEE Oakland en mayo de 2006, bajo el nombre de VMBR (virtual-machine based rootkit). [1]
Rutkowska afirma que, dado que cualquier programa de detección podría ser engañado por el hipervisor, un sistema de este tipo podría ser "100% indetectable". Dado que la virtualización de AMD es transparente por diseño, se supone que un invitado virtualizado no puede consultar si es un invitado o no. Por lo tanto, la única forma en que Blue Pill podría ser detectado es si la implementación de virtualización no estuviera funcionando como se especifica. [2]
Esta afirmación, repetida en numerosos artículos de prensa, ha sido cuestionada: AMD emitió un comunicado en el que desestimó la afirmación de que era totalmente indetectable. [3] Otros investigadores de seguridad y periodistas también descartaron el concepto por considerarlo inverosímil. [4] La virtualización podría detectarse mediante un ataque de sincronización que dependiera de fuentes externas de tiempo. [5]
En 2007, un grupo de investigadores desafió a Rutkowska a que utilizara Blue Pill como prueba de su software detector de rootkits en la conferencia Black Hat de ese año, [6] pero el acuerdo se consideró imposible después de que Rutkowska solicitara 384.000 dólares en financiación como requisito previo para participar en la competición. [7] Rutkowska y Alexander Tereshkin contrarrestaron las afirmaciones de los detractores durante un discurso posterior en Black Hat, argumentando que los métodos de detección propuestos eran inexactos. [8]
El código fuente de Blue Pill ya se ha hecho público [9] [10] bajo la siguiente licencia: Cualquier uso no autorizado (incluida la publicación y distribución) de este software requiere una licencia válida del titular de los derechos de autor. Este software se ha proporcionado únicamente para uso educativo durante la capacitación y la conferencia de Black Hat. [11]
Red Pill es una técnica para detectar la presencia de una máquina virtual también desarrollada por Joanna Rutkowska . [12]
Rutkowska [...] quiere que a su equipo de dos personas se le pague 384.000 dólares (200 dólares por hora cada uno para dos personas que trabajen a tiempo completo durante seis meses) [...] Thomas Ptacek de Matasano, un miembro del equipo del desafío, ofrece esta respuesta acertada: "¿Por qué le pagaríamos 384.000 dólares para comprar un rootkit que ya sabemos que podemos detectar?"
{{cite web}}: CS1 maint: bot: estado de URL original desconocido ( enlace )