Какво е руткит? Как работят руткитите? Обяснение на руткитове.

Руткитът е вид софтуер, който позволява на атакуващ да получи контрол над компютъра на жертвата. Руткит може да се използва за дистанционно управление на машината на жертвата, кражба на чувствителни данни или дори стартиране на атаки срещу други компютри. Руткитите са трудни за откриване и премахване и често изискват специални инструменти и опит. Как работят руткитите? Руткитите работят чрез използване на уязвимости в операционната система или софтуера. След като руткитът е инсталиран, той може да се използва за получаване на достъп до машината на жертвата. Руткитите могат да се използват за дистанционно управление на машината на жертвата, кражба на чувствителни данни или дори стартиране на атаки срещу други компютри. Руткитите са трудни за откриване и премахване и често изискват специални инструменти и опит. Какви са опасностите от руткитовете? Руткитите могат да се използват за дистанционно управление на машината на жертвата, кражба на чувствителни данни или дори стартиране на атаки срещу други компютри. Руткитите са трудни за откриване и премахване и често изискват специални инструменти и опит. Как мога да се защитя от руткитове? Има няколко неща, които можете да направите, за да се предпазите от руткитове. Първо, поддържайте вашата операционна система и софтуер актуални. Това ще помогне да се затворят всички уязвимости, които руткитите могат да използват. Второ, използвайте реномирана антивирусна програма и програма против зловреден софтуер. Тези програми могат да помогнат за откриване и премахване на руткитове. И накрая, внимавайте за уебсайтовете, които посещавате, и за прикачените файлове към имейлите, които отваряте. Руткитовете могат да се разпространяват чрез злонамерени прикачени файлове към имейл или заразени уебсайтове.

Въпреки че е възможно да се скрие зловреден софтуер по начин, който ще заблуди дори традиционните антивирусни/антишпионски продукти, повечето зловреден софтуер вече използва руткитове, за да се скрие дълбоко във вашия компютър с Windows… и те стават все по-опасни! IN Руткит DL3 - един от най-модерните руткитове, виждани някога в света. Руткитът беше стабилен и можеше да зарази 32-битови операционни системи Windows; въпреки че бяха необходими администраторски права за инсталиране на инфекцията в системата. Но TDL3 вече е актуализиран и вече може да заразява дори 64-битови версии на Windows !

Какво е руткит

Руткит вирусът е стелт тип зловреден софтуер който е предназначен да скрие съществуването на определени процеси или програми на вашия компютър от конвенционалните методи за откриване, за да даде на него или на друг злонамерен процес привилегирован достъп до вашия компютър.

Руткитове за Windows обикновено се използва за скриване на зловреден софтуер, като например от антивирусна програма. Използва се за злонамерени цели от вируси, червеи, задни вратички и шпионски софтуер. Вирус, комбиниран с руткит, произвежда така наречените напълно скрити вируси. Руткитовете са по-разпространени в областта на шпионския софтуер и все повече се използват от автори на вируси.

В момента те са нов тип супер шпионски софтуер, който ефективно скрива и засяга директно ядрото на операционната система. Те се използват, за да скрият присъствието на злонамерен обект на вашия компютър, като троянски коне или кийлогъри. Ако заплахата използва руткит технология, за да се скрие, е много трудно да откриете зловреден софтуер на вашия компютър.

Самите руткитове не са опасни. Тяхната единствена цел е да скрият софтуера и следите, оставени върху операционната система. Независимо дали е обикновен софтуер или зловреден софтуер.

Има три основни типа руткитове. Първият тип, Руткитове на ядрото »Обикновено добавят собствен код към частта на ядрото на операционната система, докато вторият тип,« Руткитове за потребителски режим »Специално проектиран за Windows, за да работи нормално по време на стартиране на системата, или въведен в системата с помощта на така наречения „капкомер“. Третият вид е MBR руткитове или буткитове .

Когато установите, че вашият антивирусен и антишпионски софтуер се срива, може да имате нужда от помощ добра помощна програма Anti-Rootkit . Rootkit Revaler от Microsoft Sysinternals е разширена помощна програма за откриване на руткитове. Неговият изход изброява несъответствията в API на регистъра и файловата система, които могат да показват наличието на руткит в потребителски режим или режим на ядрото.

Доклад на Центъра за защита от злонамерен софтуер на Microsoft за руткит заплахи

Центърът за защита от злонамерен софтуер на Microsoft направи достъпен за изтегляне докладът за заплахи от Rootkit. Докладът разглежда един от най-коварните видове злонамерен софтуер, заплашващ организации и лица днес, руткитът. Докладът изследва как нападателите използват руткитове и как руткитовете работят на засегнатите компютри. Ето същината на доклада, започвайки с това какво представляват руткитовете - за начинаещи.

руткит е набор от инструменти, които нападател или създател на зловреден софтуер използва, за да получи контрол над всяка незащитена/незащитена система, която иначе обикновено е запазена за системния администратор. През последните години терминът „ROOTKIT” или „ФУНКЦИОНАЛНОСТ НА ROOTKIT” беше заменен със ЗЛОНАМЕРЕН СОУМ, програма, предназначена да има нежелан ефект върху работещ компютър. Основната функция на зловреден софтуер е тайно да извлича ценни данни и други ресурси от компютъра на потребителя и да ги предоставя на нападателя, като по този начин му дава пълен контрол над компрометирания компютър. Нещо повече, те са трудни за откриване и премахване и могат да останат скрити за дълго време, вероятно години, ако бъдат оставени незабелязани.

Така че, естествено, симптомите на хакнат компютър трябва да бъдат маскирани и взети под внимание, преди резултатът да е фатален. По-специално трябва да се вземат по-строги мерки за сигурност за разкриване на атаката. Но както споменахме, след като тези руткитове/злонамерен софтуер бъдат инсталирани, техните скрити възможности затрудняват премахването му и неговите компоненти, които могат да изтеглят. Поради тази причина Microsoft създаде отчет ROOTKITS.

Докладът от 16 страници описва как нападателят използва руткитове и как тези руткитове работят на засегнатите компютри.

Единствената цел на доклада е да идентифицира и задълбочено разследва потенциално опасен злонамерен софтуер, който заплашва много организации, по-специално компютърни потребители. Той също така споменава някои от често срещаните семейства злонамерен софтуер и подчертава метода, който атакуващите използват, за да инсталират тези руткитове за собствените си егоистични цели на здрави системи. В останалата част от доклада ще намерите експерти, които дават някои препоръки, за да помогнат на потребителите да намалят заплахата, породена от руткитове.

Видове руткитове

Има много места, където зловреден софтуер може да се инсталира в операционната система. Така че основно типът руткит се определя от местоположението му, където извършва подкопаването на пътя на изпълнение. Включва:

1. Руткитове за потребителски режим
2. Руткитове в режим на ядро
3. MBR руткитове / буткитове

Възможните последствия от кракване на руткит в режим на ядрото са показани на екранната снимка по-долу.

долната лента за превъртане липсва хром

Трети тип, модифицирайте главния запис за зареждане, за да поемете контрола над системата и да стартирате процеса на зареждане от възможно най-ранната точка в последователността за зареждане3. Той скрива файлове, промени в регистъра, доказателства за мрежови връзки и други възможни индикатори, които могат да показват неговото присъствие.

Известни семейства злонамерен софтуер, използващи руткит функции

• Win32 / Sinowal 13 – Многокомпонентно семейство злонамерен софтуер, който се опитва да открадне чувствителни данни като потребителски имена и пароли за различни системи. Това включва опити за кражба на данни за удостоверяване за различни FTP, HTTP и имейл акаунти, както и идентификационни данни, използвани за онлайн банкиране и други финансови транзакции.
• Win32 / Cutwail 15 - Троянски кон, който изтегля и стартира произволни файлове. Изтеглените файлове могат да бъдат изпълнени от диск или директно вмъкнати в други процеси. Докато функционалността на изтеглянията варира, Cutwail обикновено изтегля други спам компоненти. Той използва руткит в режим на ядрото и инсталира няколко драйвера на устройства, за да скрие своите компоненти от засегнатите потребители.
• Win32 / Rustock - Многокомпонентно семейство от задни троянски коне с поддръжка на руткит, първоначално предназначени да подпомагат разпространението на „спам“ имейл чрез ботнет . Ботнетът е голяма мрежа от хакнати компютри, контролирани от хакер.

Руткит защита

Предотвратяването на руткитове от инсталиране е най-ефективният начин за избягване на инфекции с руткитове. За да направите това, трябва да инвестирате в технологии за сигурност като антивируси и защитни стени. Такива продукти трябва да възприемат цялостен подход към защитата, използвайки традиционно откриване, базирано на сигнатури, евристично откриване, динамични и отзивчиви възможности за сигнатури и наблюдение на поведението.

Всички тези набори от подписи трябва да се актуализират с помощта на механизма за автоматично актуализиране. Антивирусните решения на Microsoft включват редица технологии, предназначени специално за защита срещу руткитове, включително наблюдение на поведението на ядрото в реално време, което открива и докладва опити за модифициране на ядрото на уязвима система и директно парсване на файловата система, което улеснява идентифицирането и премахването. скрити драйвери.

Ако се установи, че дадена система е компрометирана, може да бъде полезен допълнителен инструмент за зареждане в известна добра или надеждна среда, тъй като може да предложи някои подходящи коригиращи действия.

При такива обстоятелства

1. Офлайн проверка на системата (част от Microsoft Diagnostics and Recovery Toolkit (DaRT))
2. Офлайн Windows Defender може да бъде полезен.

За повече информация можете да изтеглите доклада в PDF формат от уебсайта Център за изтегляне на Microsoft.