Το rootkit είναι ένας τύπος λογισμικού που επιτρέπει σε έναν εισβολέα να αποκτήσει τον έλεγχο του υπολογιστή του θύματος. Ένα rootkit μπορεί να χρησιμοποιηθεί για τον απομακρυσμένο έλεγχο του μηχανήματος του θύματος, την κλοπή ευαίσθητων δεδομένων ή ακόμη και την εκτόξευση επιθέσεων σε άλλους υπολογιστές. Τα Rootkit είναι δύσκολο να εντοπιστούν και να αφαιρεθούν και συχνά απαιτούν ειδικά εργαλεία και τεχνογνωσία. Πώς λειτουργούν τα rootkits; Τα Rootkit λειτουργούν εκμεταλλευόμενα τρωτά σημεία στο λειτουργικό σύστημα ή το λογισμικό. Μόλις εγκατασταθεί το rootkit, μπορεί να χρησιμοποιηθεί για να αποκτήσει πρόσβαση στον υπολογιστή του θύματος. Τα Rootkits μπορούν να χρησιμοποιηθούν για τον απομακρυσμένο έλεγχο του μηχανήματος του θύματος, την κλοπή ευαίσθητων δεδομένων ή ακόμη και την εκτόξευση επιθέσεων σε άλλους υπολογιστές. Τα Rootkit είναι δύσκολο να εντοπιστούν και να αφαιρεθούν και συχνά απαιτούν ειδικά εργαλεία και τεχνογνωσία. Ποιοι είναι οι κίνδυνοι των rootkit; Τα Rootkits μπορούν να χρησιμοποιηθούν για τον απομακρυσμένο έλεγχο του μηχανήματος του θύματος, την κλοπή ευαίσθητων δεδομένων ή ακόμη και την εκτόξευση επιθέσεων σε άλλους υπολογιστές. Τα Rootkit είναι δύσκολο να εντοπιστούν και να αφαιρεθούν και συχνά απαιτούν ειδικά εργαλεία και τεχνογνωσία. Πώς μπορώ να προστατευτώ από τα rootkits; Υπάρχουν μερικά πράγματα που μπορείτε να κάνετε για να προστατευθείτε από τα rootkits. Αρχικά, διατηρείτε ενημερωμένα το λειτουργικό σύστημα και το λογισμικό σας. Αυτό θα σας βοηθήσει να κλείσετε τυχόν ευπάθειες που μπορούν να εκμεταλλευτούν τα rootkits. Δεύτερον, χρησιμοποιήστε ένα αξιόπιστο πρόγραμμα προστασίας από ιούς και κακόβουλο λογισμικό. Αυτά τα προγράμματα μπορούν να βοηθήσουν στον εντοπισμό και την αφαίρεση rootkits. Τέλος, να είστε προσεκτικοί με τους ιστότοπους που επισκέπτεστε και τα συνημμένα email που ανοίγετε. Τα Rootkits μπορούν να διαδοθούν μέσω κακόβουλων συνημμένων email ή μολυσμένων ιστότοπων.
Ενώ είναι δυνατό να αποκρύψετε κακόβουλο λογισμικό με τρόπο που θα ξεγελάσει ακόμη και τα παραδοσιακά προϊόντα προστασίας από ιούς/κατασκοπευτικό λογισμικό, τα περισσότερα κακόβουλα προγράμματα χρησιμοποιούν ήδη rootkits για να κρύβονται βαθιά μέσα στον υπολογιστή σας με Windows… και γίνονται όλο και πιο επικίνδυνα! ΣΕ Rootkit DL3 - ένα από τα πιο προηγμένα rootkits που έχουν δει ποτέ στον κόσμο. Το rootkit ήταν σταθερό και μπορούσε να μολύνει λειτουργικά συστήματα Windows 32-bit. αν και απαιτούνταν δικαιώματα διαχειριστή για την εγκατάσταση της μόλυνσης στο σύστημα. Αλλά το TDL3 είναι πλέον ενημερωμένο και μπορεί πλέον να μολύνει ακόμη και εκδόσεις 64-bit των Windows !
Τι είναι ένα rootkit
Ο ιός Rootkit είναι stealth είδος κακόβουλου λογισμικού το οποίο έχει σχεδιαστεί για να αποκρύπτει την ύπαρξη ορισμένων διεργασιών ή προγραμμάτων στον υπολογιστή σας από τις συμβατικές μεθόδους ανίχνευσης, προκειμένου να παρέχει προνομιακή πρόσβαση στον υπολογιστή σας σε αυτήν ή σε άλλη κακόβουλη διαδικασία.
Rootkits για Windows χρησιμοποιείται συνήθως για την απόκρυψη κακόβουλου λογισμικού, όπως από ένα πρόγραμμα προστασίας από ιούς. Χρησιμοποιείται για κακόβουλους σκοπούς από ιούς, worms, backdoors και spyware. Ένας ιός σε συνδυασμό με ένα rootkit παράγει τους λεγόμενους πλήρως κρυμμένους ιούς. Τα Rootkits είναι πιο διαδεδομένα στον τομέα του spyware και επίσης χρησιμοποιούνται όλο και περισσότερο από τους συντάκτες ιών.
Επί του παρόντος, είναι ένας νέος τύπος υπερκατασκοπευτικού λογισμικού που κρύβει αποτελεσματικά και επηρεάζει άμεσα τον πυρήνα του λειτουργικού συστήματος. Χρησιμοποιούνται για την απόκρυψη της παρουσίας ενός κακόβουλου αντικειμένου στον υπολογιστή σας, όπως trojan ή keylogger. Εάν η απειλή χρησιμοποιεί τεχνολογία rootkit για απόκρυψη, είναι πολύ δύσκολο να βρείτε κακόβουλο λογισμικό στον υπολογιστή σας.
Τα ίδια τα Rootkit δεν είναι επικίνδυνα. Ο μοναδικός τους σκοπός είναι να κρύψουν το λογισμικό και τα ίχνη που έχουν απομείνει στο λειτουργικό σύστημα. Είτε πρόκειται για κανονικό λογισμικό είτε κακόβουλο λογισμικό.
Υπάρχουν τρεις κύριοι τύποι rootkit. Ο πρώτος τύπος, Κιτ πυρήνα »Συνήθως προσθέτουν τον δικό τους κώδικα στο τμήμα πυρήνα του λειτουργικού συστήματος, ενώ ο δεύτερος τύπος,« Rootkits λειτουργίας χρήστη »Ειδικά σχεδιασμένο για τα Windows να λειτουργούν κανονικά κατά την εκκίνηση του συστήματος ή έχουν εισαχθεί στο σύστημα χρησιμοποιώντας το λεγόμενο «dropper». Ο τρίτος τύπος είναι MBR rootkits ή bootkits .
Όταν διαπιστώσετε ότι το AntiVirus & AntiSpyware σας διακόπτεται, μπορεί να χρειαστείτε βοήθεια καλό βοηθητικό πρόγραμμα Anti-Rootkit . Rootkit Revaler από Microsoft Sysinternals είναι ένα προηγμένο βοηθητικό πρόγραμμα εντοπισμού rootkit. Η έξοδος του παραθέτει ασυνέπειες του API του μητρώου και του συστήματος αρχείων που μπορεί να υποδηλώνουν την παρουσία ενός rootkit λειτουργίας χρήστη ή πυρήνα.
Αναφορά Microsoft Malware Protection Center για απειλές rootkit
Το Κέντρο προστασίας από κακόβουλο λογισμικό της Microsoft έχει διαθέσει την αναφορά απειλών του Rootkit για λήψη. Η έκθεση εξετάζει έναν από τους πιο ύπουλους τύπους κακόβουλου λογισμικού που απειλούν σήμερα οργανισμούς και άτομα, το rootkit. Η αναφορά διερευνά τον τρόπο με τον οποίο οι εισβολείς χρησιμοποιούν τα rootkits και πώς λειτουργούν τα rootkits σε υπολογιστές που επηρεάζονται. Εδώ είναι η ουσία της αναφοράς, ξεκινώντας από το τι είναι τα rootkits - για τον αρχάριο.
rootkit είναι ένα σύνολο εργαλείων που χρησιμοποιεί ένας εισβολέας ή δημιουργός κακόβουλου λογισμικού για να αποκτήσει τον έλεγχο σε οποιοδήποτε μη ασφαλές/μη προστατευμένο σύστημα, το οποίο κατά τα άλλα προορίζεται συνήθως για τον διαχειριστή του συστήματος. Τα τελευταία χρόνια, ο όρος «ROOTKIT» ή «ROOTKIT FUNCTIONALITY» έχει αντικατασταθεί από το MALWARE, ένα πρόγραμμα που έχει σχεδιαστεί για να έχει ανεπιθύμητη επίδραση σε έναν υπολογιστή που λειτουργεί. Η κύρια λειτουργία του κακόβουλου λογισμικού είναι να εξάγει κρυφά πολύτιμα δεδομένα και άλλους πόρους από τον υπολογιστή του χρήστη και να τα παρέχει στον εισβολέα, δίνοντάς του έτσι τον πλήρη έλεγχο του παραβιασμένου υπολογιστή. Επιπλέον, είναι δύσκολο να εντοπιστούν και να αφαιρεθούν και μπορούν να παραμείνουν κρυμμένα για μεγάλο χρονικό διάστημα, ενδεχομένως και χρόνια, αν αφεθούν απαρατήρητα.
Οπότε, φυσικά, τα συμπτώματα ενός χακαρισμένου υπολογιστή πρέπει να καλυφθούν και να ληφθούν υπόψη πριν το αποτέλεσμα είναι μοιραίο. Ειδικότερα, θα πρέπει να ληφθούν αυστηρότερα μέτρα ασφαλείας για την αποκάλυψη της επίθεσης. Αλλά όπως αναφέρθηκε, μόλις εγκατασταθούν αυτά τα rootkits/κακόβουλο λογισμικό, οι κρυφές δυνατότητές τους καθιστούν δύσκολη την αφαίρεση του και των στοιχείων του που μπορούν να κατεβάσουν. Για αυτόν τον λόγο, η Microsoft έχει δημιουργήσει μια αναφορά ROOTKITS.
Η αναφορά 16 σελίδων περιγράφει τον τρόπο με τον οποίο ο εισβολέας χρησιμοποιεί rootkits και πώς λειτουργούν αυτά τα rootkits σε υπολογιστές που επηρεάζονται.
Ο μοναδικός σκοπός της αναφοράς είναι να εντοπίσει και να διερευνήσει διεξοδικά το δυνητικά επικίνδυνο κακόβουλο λογισμικό που απειλεί πολλούς οργανισμούς, ιδιαίτερα τους χρήστες υπολογιστών. Αναφέρει επίσης μερικές από τις κοινές οικογένειες κακόβουλου λογισμικού και υπογραμμίζει τη μέθοδο που χρησιμοποιούν οι εισβολείς για να εγκαταστήσουν αυτά τα rootkits για τους δικούς τους εγωιστικούς σκοπούς σε υγιή συστήματα. Στο υπόλοιπο της αναφοράς, θα βρείτε ειδικούς που δίνουν κάποιες συστάσεις για να βοηθήσουν τους χρήστες να μετριάσουν την απειλή που θέτουν τα rootkits.
Τύποι rootkit
Υπάρχουν πολλά μέρη όπου το κακόβουλο λογισμικό μπορεί να εγκατασταθεί στο λειτουργικό σύστημα. Οπότε βασικά ο τύπος του rootkit καθορίζεται από τη θέση του όπου εκτελεί την ανατροπή της διαδρομής εκτέλεσης. Περιλαμβάνει:
- Rootkits λειτουργίας χρήστη
- Rootkits λειτουργίας πυρήνα
- MBR rootkits / bootkits
Οι πιθανές συνέπειες της διάρρηξης ενός rootkit σε λειτουργία πυρήνα φαίνονται στο παρακάτω στιγμιότυπο οθόνης.
Λείπει χρώμιο από την κάτω γραμμή κύλισης
Τρίτος τύπος, τροποποιήστε την κύρια εγγραφή εκκίνησης για να αναλάβετε τον έλεγχο του συστήματος και ξεκινήστε τη διαδικασία εκκίνησης από το νωρίτερο δυνατό σημείο της ακολουθίας εκκίνησης3. Αποκρύπτει αρχεία, αλλαγές μητρώου, στοιχεία συνδέσεων δικτύου και άλλες πιθανές ενδείξεις που μπορεί να υποδηλώνουν την παρουσία του.
Γνωστές οικογένειες κακόβουλου λογισμικού που χρησιμοποιούν λειτουργίες rootkit
- Win32 / Sinowal 13 - Μια πολυσυστατική οικογένεια κακόβουλου λογισμικού που προσπαθεί να κλέψει ευαίσθητα δεδομένα, όπως ονόματα χρήστη και κωδικούς πρόσβασης για διάφορα συστήματα. Αυτό περιλαμβάνει προσπάθειες κλοπής δεδομένων ελέγχου ταυτότητας για διάφορους λογαριασμούς FTP, HTTP και email, καθώς και διαπιστευτήρια που χρησιμοποιούνται για ηλεκτρονικές τραπεζικές συναλλαγές και άλλες οικονομικές συναλλαγές.
- Win32 / Cutwail 15 - Ένας Trojan που κατεβάζει και εκκινεί αυθαίρετα αρχεία. Τα ληφθέντα αρχεία μπορούν να εκτελεστούν από το δίσκο ή να εισαχθούν απευθείας σε άλλες διεργασίες. Ενώ η λειτουργικότητα των λήψεων ποικίλλει, το Cutwail συνήθως κατεβάζει άλλα στοιχεία ανεπιθύμητης αλληλογραφίας. Χρησιμοποιεί ένα rootkit λειτουργίας πυρήνα και εγκαθιστά πολλά προγράμματα οδήγησης συσκευών για να κρύψει τα στοιχεία του από τους επηρεαζόμενους χρήστες.
- Win32 / Rustock - Μια οικογένεια πολλαπλών συστατικών backdoor Trojans με υποστήριξη rootkit, που αρχικά σχεδιάστηκε για να βοηθά στη διάδοση «spam» e-mail μέσω botnet . Ένα botnet είναι ένα μεγάλο δίκτυο υπολογιστών που έχουν παραβιαστεί και ελέγχονται από έναν εισβολέα.
Προστασία Rootkit
Η αποτροπή της εγκατάστασης των rootkit είναι ο πιο αποτελεσματικός τρόπος για την αποφυγή μολύνσεων από το rootkit. Για να το κάνετε αυτό, πρέπει να επενδύσετε σε τεχνολογίες ασφαλείας, όπως τα antivirus και τα τείχη προστασίας. Τέτοια προϊόντα θα πρέπει να ακολουθούν μια ολοκληρωμένη προσέγγιση για την προστασία χρησιμοποιώντας παραδοσιακή ανίχνευση βάσει υπογραφών, ευρετική ανίχνευση, δυνατότητες δυναμικής και απόκρισης υπογραφής και παρακολούθηση συμπεριφοράς.
Όλα αυτά τα σύνολα υπογραφών θα πρέπει να ενημερώνονται χρησιμοποιώντας τον μηχανισμό αυτόματης ενημέρωσης. Οι λύσεις προστασίας από ιούς της Microsoft περιλαμβάνουν μια σειρά από τεχνολογίες που έχουν σχεδιαστεί ειδικά για την προστασία από rootkits, συμπεριλαμβανομένης της παρακολούθησης συμπεριφοράς πυρήνα σε πραγματικό χρόνο, η οποία εντοπίζει και αναφέρει προσπάθειες τροποποίησης του πυρήνα ενός ευάλωτου συστήματος και άμεση ανάλυση συστήματος αρχείων, η οποία διευκολύνει την αναγνώριση και την αφαίρεση. κρυφά προγράμματα οδήγησης.
Εάν διαπιστωθεί ότι ένα σύστημα έχει παραβιαστεί, ένα πρόσθετο εργαλείο για την εκκίνηση σε ένα γνωστό-καλό ή αξιόπιστο περιβάλλον μπορεί να είναι χρήσιμο, καθώς μπορεί να προτείνει κάποια κατάλληλα διορθωτικά μέτρα.
Σε τέτοιες συνθήκες
- Έλεγχος συστήματος εκτός σύνδεσης (μέρος του κιτ εργαλείων διάγνωσης και αποκατάστασης της Microsoft (DaRT))
- Το Windows Defender Offline μπορεί να είναι χρήσιμο.
Για περισσότερες πληροφορίες, μπορείτε να κατεβάσετε την αναφορά σε μορφή PDF από τον ιστότοπο Κέντρο λήψης της Microsoft.
