Wat is een rootkit? Hoe werken rootkits? Uitleg over rootkits.

Een rootkit is een type software waarmee een aanvaller controle kan krijgen over de computer van een slachtoffer. Een rootkit kan worden gebruikt om de machine van het slachtoffer op afstand te besturen, gevoelige gegevens te stelen of zelfs aanvallen op andere computers uit te voeren. Rootkits zijn moeilijk te detecteren en te verwijderen en vereisen vaak speciaal gereedschap en expertise. Hoe werken rootkits? Rootkits maken misbruik van kwetsbaarheden in het besturingssysteem of de software. Zodra de rootkit is geïnstalleerd, kan deze worden gebruikt om toegang te krijgen tot de machine van het slachtoffer. Rootkits kunnen worden gebruikt om de machine van het slachtoffer op afstand te besturen, gevoelige gegevens te stelen of zelfs aanvallen op andere computers uit te voeren. Rootkits zijn moeilijk te detecteren en te verwijderen en vereisen vaak speciaal gereedschap en expertise. Wat zijn de gevaren van rootkits? Rootkits kunnen worden gebruikt om de machine van het slachtoffer op afstand te besturen, gevoelige gegevens te stelen of zelfs aanvallen op andere computers uit te voeren. Rootkits zijn moeilijk te detecteren en te verwijderen en vereisen vaak speciaal gereedschap en expertise. Hoe kan ik mezelf beschermen tegen rootkits? Er zijn een paar dingen die u kunt doen om uzelf tegen rootkits te beschermen. Houd eerst uw besturingssysteem en software up-to-date. Dit zal helpen om eventuele kwetsbaarheden te dichten die rootkits kunnen misbruiken. Ten tweede, gebruik een gerenommeerd antivirus- en antimalwareprogramma. Deze programma's kunnen helpen bij het detecteren en verwijderen van rootkits. Wees ten slotte voorzichtig met de websites die u bezoekt en de e-mailbijlagen die u opent. Rootkits kunnen worden verspreid via kwaadaardige e-mailbijlagen of geïnfecteerde websites.

Hoewel het mogelijk is om malware te verbergen op een manier die zelfs traditionele antivirus-/antispywareproducten voor de gek houdt, gebruikt de meeste malware al rootkits om zich diep in uw Windows-pc te verbergen... en ze worden steeds gevaarlijker! IN Rootkit DL3 - een van de meest geavanceerde rootkits ooit ter wereld. De rootkit was stabiel en kon 32-bits Windows-besturingssystemen infecteren; hoewel er beheerdersrechten nodig waren om de infectie op het systeem te installeren. Maar TDL3 is nu bijgewerkt en kan nu infecteren zelfs 64-bits versies van Windows !

Wat is een rootkit

Rootkit-virus is stealth soort malware die is ontworpen om het bestaan ​​van bepaalde processen of programma's op uw computer te verbergen voor conventionele detectiemethoden om deze of een ander kwaadaardig proces geprivilegieerde toegang tot uw computer te geven.

Rootkits voor Windows vaak gebruikt om malware te verbergen, bijvoorbeeld van een antivirusprogramma. Het wordt gebruikt voor kwaadaardige doeleinden door virussen, wormen, backdoors en spyware. Een virus in combinatie met een rootkit levert zogenaamde volledig verborgen virussen op. Rootkits komen vaker voor op het gebied van spyware en worden ook steeds vaker gebruikt door virusschrijvers.

Momenteel zijn ze een nieuw type superspyware die de kern van het besturingssysteem effectief verbergt en rechtstreeks beïnvloedt. Ze worden gebruikt om de aanwezigheid van een kwaadaardig object op uw computer te verbergen, zoals trojans of keyloggers. Als de dreiging rootkit-technologie gebruikt om zich te verbergen, is het erg moeilijk om malware op uw computer te vinden.

Rootkits zelf zijn niet gevaarlijk. Hun enige doel is om de software en sporen op het besturingssysteem te verbergen. Of het nu gaat om reguliere software of malware.

Er zijn drie hoofdtypen rootkits. de eerste soort, Kernel-rootkits »Voeg meestal hun eigen code toe aan het kernelgedeelte van het besturingssysteem, terwijl het tweede type,« Rootkits in gebruikersmodus »Speciaal ontworpen om Windows normaal te laten werken tijdens het opstarten van het systeem, of in het systeem geïntroduceerd met behulp van een zogenaamde 'dropper'. De derde soort is MBR-rootkits of bootkits .

Wanneer u merkt dat uw AntiVirus & AntiSpyware vastloopt, heeft u mogelijk hulp nodig goed anti-rootkit-hulpprogramma . Rootkit Revaler van Microsoft Sysinternals is een geavanceerd hulpprogramma voor het detecteren van rootkits. De uitvoer vermeldt inconsistenties in de register- en bestandssysteem-API die kunnen wijzen op de aanwezigheid van een rootkit in de gebruikersmodus of kernelmodus.

Rapport van het Microsoft Malware Protection Center over rootkitbedreigingen

Het Microsoft Malware Protection Center heeft het Rootkit Threat Report beschikbaar gesteld om te downloaden. Het rapport kijkt naar een van de meest verraderlijke vormen van malware die organisaties en individuen tegenwoordig bedreigen, de rootkit. Het rapport onderzoekt hoe aanvallers rootkits gebruiken en hoe rootkits werken op getroffen computers. Dit is de kern van het rapport, te beginnen met wat rootkits zijn - voor de beginner.

rootkit is een set tools die een aanvaller of maker van malware gebruikt om controle te krijgen over een onbeveiligd/onbeschermd systeem, dat anders meestal is voorbehouden aan de systeembeheerder. De laatste jaren is de term 'ROOTKIT' of 'ROOTKIT FUNCTIONALITY' vervangen door MALWARE, een programma dat ontworpen is om een ​​ongewenst effect te hebben op een functionerende computer. De belangrijkste functie van malware is om in het geheim waardevolle gegevens en andere bronnen van de computer van de gebruiker te extraheren en deze aan de aanvaller te verstrekken, waardoor hij volledige controle krijgt over de gecompromitteerde computer. Bovendien zijn ze moeilijk te detecteren en te verwijderen en kunnen ze lange tijd verborgen blijven, mogelijk zelfs jaren, als ze onopgemerkt blijven.

Dus natuurlijk moeten de symptomen van een gehackte computer worden gemaskeerd en moet er rekening mee worden gehouden voordat het resultaat fataal is. Er moeten met name strengere beveiligingsmaatregelen worden genomen om de aanval aan het licht te brengen. Maar zoals gezegd, als deze rootkits/malware eenmaal zijn geïnstalleerd, maken hun verborgen mogelijkheden het moeilijk om deze en de componenten die ze kunnen downloaden te verwijderen. Om deze reden heeft Microsoft een ROOTKITS-rapport gemaakt.

Het 16 pagina's tellende rapport beschrijft hoe de aanvaller rootkits gebruikt en hoe deze rootkits werken op getroffen computers.

Het enige doel van het rapport is het identificeren en grondig onderzoeken van potentieel gevaarlijke malware die veel organisaties, met name computergebruikers, bedreigt. Het vermeldt ook enkele van de meest voorkomende malwarefamilies en benadrukt de methode die aanvallers gebruiken om deze rootkits voor hun eigen egoïstische doeleinden op gezonde systemen te installeren. In de rest van het rapport vindt u experts die enkele aanbevelingen doen om gebruikers te helpen de dreiging van rootkits te verminderen.

Soorten rootkits

Er zijn veel plaatsen waar malware zichzelf in het besturingssysteem kan installeren. Dus eigenlijk wordt het type rootkit bepaald door de locatie waar het de subversie van het uitvoeringspad uitvoert. Het bevat:

1. Rootkits in gebruikersmodus
2. Rootkits in kernelmodus
3. MBR-rootkits / bootkits

De mogelijke gevolgen van het kraken van een rootkit in kernelmodus worden weergegeven in de onderstaande schermafbeelding.

onderste schuifbalk mist chroom

Derde type, wijzig het master-opstartrecord om de controle over het systeem over te nemen en start het opstartproces vanaf het vroegst mogelijke punt in de opstartvolgorde3. Het verbergt bestanden, registerwijzigingen, bewijs van netwerkverbindingen en andere mogelijke indicatoren die op zijn aanwezigheid kunnen wijzen.

Bekende malwarefamilies die rootkitfuncties gebruiken

• Win32 / Sinowal 13 - Een uit meerdere componenten bestaande familie van malware die gevoelige gegevens probeert te stelen, zoals gebruikersnamen en wachtwoorden voor verschillende systemen. Dit omvat pogingen om authenticatiegegevens te stelen voor verschillende FTP-, HTTP- en e-mailaccounts, evenals inloggegevens die worden gebruikt voor online bankieren en andere financiële transacties.
• Win32 / Cutwail 15 - Een Trojaans paard dat willekeurige bestanden downloadt en start. Gedownloade bestanden kunnen vanaf schijf worden uitgevoerd of rechtstreeks in andere processen worden ingevoegd. Hoewel de functionaliteit van de downloads varieert, downloadt Cutwail meestal andere spamcomponenten. Het gebruikt een rootkit in de kernelmodus en installeert verschillende apparaatstuurprogramma's om de componenten voor getroffen gebruikers te verbergen.
• Win32 / Rustock - Een uit meerdere componenten bestaande familie van achterdeur-trojans met rootkit-ondersteuning, oorspronkelijk ontworpen om 'spam'-e-mail te helpen verspreiden via botnet . Een botnet is een groot netwerk van gehackte computers die worden bestuurd door een aanvaller.

Rootkit-bescherming

Voorkomen dat rootkits worden geïnstalleerd, is de meest effectieve manier om rootkitinfecties te voorkomen. Om dit te doen, moet u investeren in beveiligingstechnologieën zoals antivirussen en firewalls. Dergelijke producten moeten een alomvattende benadering van bescherming hanteren met behulp van traditionele, op handtekeningen gebaseerde detectie, heuristische detectie, dynamische en responsieve handtekeningmogelijkheden en gedragsmonitoring.

Al deze handtekeningsets moeten worden bijgewerkt met behulp van het automatische updatemechanisme. De antivirusoplossingen van Microsoft omvatten een aantal technologieën die specifiek zijn ontworpen om bescherming te bieden tegen rootkits, waaronder real-time monitoring van kernelgedrag, dat pogingen om de kernel van een kwetsbaar systeem te wijzigen detecteert en rapporteert, en directe parsing van bestandssystemen, wat identificatie en verwijdering vergemakkelijkt. verborgen stuurprogramma's.

Als een systeem gecompromitteerd blijkt te zijn, kan een extra tool om op te starten in een bekende of vertrouwde omgeving nuttig zijn, omdat het een passende herstelactie kan voorstellen.

In zulke omstandigheden

1. Offline systeemcontrole (onderdeel van de Microsoft Diagnostics and Recovery Toolkit (DaRT))
2. Windows Defender Offline kan nuttig zijn.

Voor meer informatie kunt u het rapport in pdf-formaat downloaden van de website Microsoft Downloadcentrum.