Mi az a rootkit? Hogyan működnek a rootkitek? A rootkitek magyarázata.

A rootkit egy olyan szoftver, amely lehetővé teszi a támadó számára, hogy átvegye az irányítást az áldozat számítógépe felett. A rootkit segítségével távolról irányítható az áldozat gépe, érzékeny adatok lophatók el, vagy akár támadások is indíthatók más számítógépek ellen. A rootkiteket nehéz felismerni és eltávolítani, és gyakran speciális eszközöket és szakértelmet igényelnek. Hogyan működnek a rootkitek? A rootkitek úgy működnek, hogy kihasználják az operációs rendszer vagy a szoftver sebezhetőségeit. A rootkit telepítése után hozzá lehet férni az áldozat gépéhez. A rootkitek segítségével távolról irányítható az áldozat gépe, érzékeny adatok lophatók el, vagy akár támadások indíthatók más számítógépek ellen. A rootkiteket nehéz felismerni és eltávolítani, és gyakran speciális eszközöket és szakértelmet igényelnek. Mik a rootkitek veszélyei? A rootkitek segítségével távolról irányítható az áldozat gépe, érzékeny adatok lophatók el, vagy akár támadások indíthatók más számítógépek ellen. A rootkiteket nehéz felismerni és eltávolítani, és gyakran speciális eszközöket és szakértelmet igényelnek. Hogyan védhetem meg magam a rootkitek ellen? Van néhány dolog, amivel megvédheti magát a rootkitektől. Először is tartsa naprakészen operációs rendszerét és szoftverét. Ez segít bezárni a rootkitek által kihasználható biztonsági réseket. Másodszor, használjon jó hírű víruskereső és kártevőirtó programot. Ezek a programok segíthetnek a rootkitek felismerésében és eltávolításában. Végül ügyeljen a felkeresett webhelyekre és a megnyitott e-mail mellékletekre. A rootkitek rosszindulatú e-mail mellékleteken vagy fertőzött webhelyeken keresztül terjedhetnek.

Bár lehetséges olyan módon elrejteni a rosszindulatú programokat, amelyek még a hagyományos antivírus/kémprogram-elhárító termékeket is megtévesztik, a legtöbb rosszindulatú program már rootkitet használ, hogy elrejtse magát a Windows PC mélyén… és egyre veszélyesebbek! BAN BEN Rootkit DL3 - az egyik legfejlettebb rootkit a világon. A rootkit stabil volt, és megfertőzheti a 32 bites Windows operációs rendszereket; bár rendszergazdai jogokra volt szükség a fertőzés telepítéséhez a rendszerre. De a TDL3 most frissült, és fertőzhet akár a Windows 64 bites verzióit is !

Mi az a rootkit

A Rootkit vírus lopakodó típusú rosszindulatú program amelynek célja, hogy elrejtse bizonyos folyamatok vagy programok létezését a számítógépén a hagyományos észlelési módszerek elől, hogy ez vagy egy másik rosszindulatú folyamat kiváltságos hozzáférést biztosítson a számítógépéhez.

Rootkitek Windowshoz gyakran használják a rosszindulatú programok elrejtésére, például egy víruskereső program elől. Vírusok, férgek, hátsó ajtók és kémprogramok rosszindulatú célokra használják. A rootkittel kombinált vírus úgynevezett teljesen rejtett vírusokat termel. A rootkitek elterjedtebbek a kémprogramok területén, és a vírusírók is egyre gyakrabban használják őket.

Jelenleg ezek egy új típusú szuperkémprogramok, amelyek hatékonyan elrejtik és közvetlenül befolyásolják az operációs rendszer magját. Arra használják, hogy elrejtsenek egy rosszindulatú objektumot a számítógépen, például trójaiakat vagy billentyűnaplókat. Ha a fenyegetés rootkit technológiát használ az elrejtéshez, nagyon nehéz rosszindulatú programokat találni a számítógépén.

A rootkitek önmagukban nem veszélyesek. Egyedüli céljuk az operációs rendszeren maradt szoftverek és nyomok elrejtése. Legyen szó normál szoftverről vagy rosszindulatú programról.

A rootkiteknek három fő típusa van. Az első típus, Kernel rootkitek 'Általában saját kódot adnak hozzá az operációs rendszer kernel részéhez, míg a második típust' Felhasználói módú rootkitek »Kifejezetten a Windows számára készült, hogy a rendszer indításakor normálisan működjön, vagy egy úgynevezett „cseppentő” segítségével kerül be a rendszerbe. A harmadik típus az MBR rootkitek vagy bootkitek .

Ha úgy találja, hogy az AntiVirus és AntiSpyware összeomlik, segítségre lehet szüksége jó Anti-Rootkit segédprogram . Rootkit Revaler tól től Microsoft Sysinternals egy fejlett rootkit észlelő segédprogram. Kimenete felsorolja a rendszerleíró adatbázis és a fájlrendszer API inkonzisztenciáit, amelyek felhasználói módú vagy kernel módú rootkit jelenlétére utalhatnak.

A Microsoft Malware Protection Center jelentése a rootkit fenyegetésekről

A Microsoft Malware Protection Center letölthetővé tette a Rootkit veszélyjelentést. A jelentés a mai szervezeteket és magánszemélyeket fenyegető rosszindulatú programok egyik legálomosabb típusát, a rootkitet vizsgálja. A jelentés azt vizsgálja, hogy a támadók hogyan használják a rootkiteket, és hogyan működnek a rootkitek az érintett számítógépeken. Íme a jelentés lényege, kezdve azzal, hogy mik azok a rootkitek – kezdőknek.

rootkit egy olyan eszközkészlet, amelyet a támadó vagy a rosszindulatú program létrehozója használ, hogy átvegye az irányítást bármely nem biztonságos/nem védett rendszer felett, amely egyébként általában a rendszergazda számára van fenntartva. Az elmúlt években a „ROOTKIT” vagy „ROOTKIT FUNCTIONALITY” kifejezést felváltotta a MALWARE, egy olyan program, amely nemkívánatos hatást gyakorol a működő számítógépre. A rosszindulatú programok fő funkciója, hogy titokban kinyerjenek értékes adatokat és egyéb erőforrásokat a felhasználó számítógépéről, és átadják azokat a támadónak, ezáltal teljes ellenőrzést biztosítva a feltört számítógép felett. Ráadásul nehezen észlelhetők és eltávolíthatók, és hosszú ideig, esetleg évekig rejtve maradhatnak, ha észrevétlen maradnak.

Tehát természetesen a feltört számítógép tüneteit el kell takarni és figyelembe kell venni, mielőtt az eredmény végzetes lenne. Különösen szigorúbb biztonsági intézkedéseket kell tenni a támadás felderítése érdekében. De amint már említettük, miután ezek a rootkitek/rosszindulatú programok telepítve vannak, rejtett képességeik megnehezítik azok és a letölthető összetevők eltávolítását. Emiatt a Microsoft készített egy ROOTKITS jelentést.

A 16 oldalas jelentés leírja, hogy a támadó hogyan használja a rootkiteket, és hogyan működnek ezek a rootkitek az érintett számítógépeken.

A jelentés egyetlen célja a potenciálisan veszélyes rosszindulatú programok azonosítása és alapos kivizsgálása, amelyek számos szervezetet, különösen számítógép-felhasználókat fenyegetnek. Megemlít néhány általános rosszindulatú programcsaládot is, és kiemeli azt a módszert, amellyel a támadók ezeket a rootkiteket saját önző céljaikból egészséges rendszerekre telepítik. A jelentés további részében szakértők tanácsot adnak a felhasználóknak a rootkitek által jelentett fenyegetés mérséklésében.

A rootkitek típusai

Sok helyen rosszindulatú programok telepíthetik magukat az operációs rendszerbe. Tehát alapvetően a rootkit típusát az határozza meg, hogy hol végzi el a végrehajtási útvonal felforgatását. Magába foglalja:

1. Felhasználói módú rootkitek
2. Kernel módú rootkitek
3. MBR rootkitek / bootkitek

A rootkit feltörésének lehetséges következményei kernel módban az alábbi képernyőképen láthatók.

az alsó gördítősávon hiányzik a króm

Harmadik típus: módosítsa a fő rendszerindítási rekordot, hogy átvegye a rendszer irányítását, és a rendszerindítási folyamat a rendszerindítási sorrend lehető legkorábbi pontjáról induljon el3. Elrejti a fájlokat, a beállításjegyzék-módosításokat, a hálózati kapcsolatokra utaló bizonyítékokat és egyéb lehetséges jelzéseket, amelyek jelezhetik a jelenlétét.

Ismert rosszindulatú programcsaládok, amelyek rootkit szolgáltatásokat használnak

• Win32 / Sinowal 13 – Kártevők többkomponensű családja, amely érzékeny adatokat, például felhasználóneveket és jelszavakat próbál ellopni különböző rendszerek számára. Ez magában foglalja a különböző FTP-, HTTP- és e-mail-fiókok hitelesítési adatainak ellopására tett kísérleteket, valamint az online banki és egyéb pénzügyi tranzakciókhoz használt hitelesítő adatokat.
• Win32 / Cutwail 15 – Tetszőleges fájlokat letöltő és elindító trójai. A letöltött fájlok végrehajthatók lemezről, vagy közvetlenül beilleszthetők más folyamatokba. Míg a letöltések funkcionalitása változó, a Cutwail általában más spam-összetevőket tölt le. Kernel módú rootkitet használ, és számos eszköz-illesztőprogramot telepít, hogy elrejtse összetevőit az érintett felhasználók elől.
• Win32 / Rustock - Hátsóajtós trójaiak többkomponensű családja rootkit támogatással, amelyet eredetileg a „spam” e-mailek terjesztésére terveztek botnet . A botnet feltört számítógépek nagy hálózata, amelyet egy támadó irányít.

Rootkit védelem

A rootkit-fertőzések elkerülésének leghatékonyabb módja a rootkitek telepítésének megakadályozása. Ehhez be kell ruháznia olyan biztonsági technológiákba, mint a vírusirtó és a tűzfal. Az ilyen termékeknek átfogó megközelítést kell alkalmazniuk a védelem terén a hagyományos aláírás-alapú észlelés, a heurisztikus észlelés, a dinamikus és reagáló aláírási képességek és a viselkedés figyelése révén.

Az összes aláíráskészletet frissíteni kell az automatikus frissítési mechanizmus segítségével. A Microsoft víruskereső megoldásai számos, kifejezetten a rootkitek elleni védelemre tervezett technológiát tartalmaznak, ideértve a valós idejű kernelviselkedés-figyelést, amely észleli és jelenti a sérülékeny rendszer kernelének módosítására tett kísérleteket, valamint a közvetlen fájlrendszer-elemzést, amely megkönnyíti az azonosítást és eltávolítást. rejtett illesztőprogramok.

Ha egy rendszert feltörtek, hasznos lehet egy további eszköz az ismert jó vagy megbízható környezetbe való rendszerindításhoz, mivel ez megfelelő javító intézkedést javasolhat.

Ilyen körülmények között

1. Offline rendszerellenőrző (a Microsoft Diagnostics and Recovery Toolkit (DaRT) része)
2. A Windows Defender Offline hasznos lehet.

További információkért a jelentést PDF formátumban letöltheti a weboldalról Microsoft letöltőközpont.