Blue Pill
Joanna Rutkowskas Proof of Concept von 2006, der ein laufendes Betriebssystem unbemerkt in eine virtuelle Maschine schob.
Rutkowska zeigte Blue Pill auf der Black Hat 2006. Das Rootkit nutzte AMDs damals neue Hardwarevirtualisierung (AMD-V), um im laufenden Betrieb einen schlanken Hypervisor unter eine aktive Windows-Vista-Installation zu schieben. Das Betriebssystem arbeitete weiter wie zuvor – nur dass es nun Gast des Angreifers war. Der Name stammt aus Matrix: Wer die blaue Pille nimmt, bleibt in der Illusion.
Ihre Behauptung, die Technik sei „zu 100 % unentdeckbar“, entwickelte ein Eigenleben. 2007 forderten Thomas Ptacek, Nate Lawson und Peter Ferrie sie heraus, sich aufspüren zu lassen; der Wettbewerb kam nie zustande, weil man sich nicht über die Bedingungen einigte. Die bleibende Lehre war weniger theatralisch: Hardwarefunktionen, die für den Betrieb gedacht sind, sind ebenfalls Angriffsfläche.