Kako otkrivanje rootkita funkcionira danas?

Vjerojatno su vam poznati računalni virusi, adware, špijunski softver i drugi zlonamjerni programi koji se većinom smatraju prijetnjama. Međutim, drugačiji oblik ili klasa zlonamjernog softvera (rootkits) može biti najopasniji od svih. Pod pojmom 'opasno' podrazumijevamo razinu štete koju zlonamjerni program može prouzročiti i poteškoće koje korisnici imaju u pronalaženju i uklanjanju.

Što su rootkitovi?

Rootkitovi su vrsta zlonamjernog softvera namijenjenog neovlaštenim korisnicima da omoguće pristup računalima (ili određenim aplikacijama na računalima). Rootkitovi su programirani da ostanu skriveni (izvan vidokruga) dok održavaju privilegirani pristup. Nakon što rootkit uđe u računalo, lako prikriva svoju prisutnost, a korisnici ga vjerojatno neće primijetiti.

Kako rootkit šteti računalu?

U osnovi, putem rootkita, cyber kriminalci mogu kontrolirati vaše računalo. S tako snažnim zlonamjernim programom mogu prisiliti vaše računalo na bilo što. Mogu vam ukrasti lozinke i druge osjetljive podatke, pratiti sve aktivnosti ili radnje koje se izvršavaju na vašem računalu, pa čak i onemogućiti vaš sigurnosni program.

S obzirom na impresivne mogućnosti rootkitova za otmicu ili spuštanje sigurnosnih aplikacija, prilično ih je teško otkriti ili suočiti se s njima, čak i više od prosječnog zlonamjernog programa. Rootkitovi mogu postojati ili raditi na računalima dulje vrijeme, izbjegavajući otkrivanje i čineći značajnu štetu.

Ponekad, kada su napredni rootkitovi u igri, korisnicima ne preostaje ništa drugo nego izbrisati sve sa svog računala i početi ispočetka - ako se žele riješiti zlonamjernih programa.

Je li svaki zlonamjerni softver rootkit?

Ne. Ako išta drugo, samo je mali dio zlonamjernog softvera rootkit. U usporedbi s drugim zlonamjernim programima, rootkitovi su znatno napredni u smislu dizajna i programiranja. Rootkiti mogu učiniti puno više od prosječnog zlonamjernog softvera.

Ako ćemo se pridržavati strogih tehničkih definicija, rootkit nije točno oblik ili vrsta zlonamjernog programa. Rootkitovi jednostavno odgovaraju procesu koji se koristi za postavljanje zlonamjernog softvera na cilj (obično određeno računalo ili pojedinac ili organizacija). Razumljivo, budući da se rootkitovi dosta često pojavljuju u vijestima o cyber-napadima ili hakiranjima, taj izraz nosi negativnu konotaciju.

Da budemo pošteni, rootkiti rade slično kao i malware. Vole raditi bez ograničenja na računalima žrtava; ne žele da ih zaštitne službe prepoznaju ili pronađu; obično pokušavaju ukrasti stvari s ciljnog računala. U konačnici, rootkiti su prijetnje. Stoga ih moraju blokirati (da ih uopće spriječe da uđu) ili im se obratiti (ako su se već našli).

Zašto se koriste ili odabiru rootkiti?

Napadači koriste rootkitove za mnoge svrhe, ali najčešće ih pokušavaju koristiti za poboljšanje ili proširenje skrivenih mogućnosti u zlonamjernom softveru. Uz povećanu nevidljivost, zlonamjerni tereti raspoređeni na računalu mogu duže ostati neotkriveni dok loši programi rade na eksfiltraciji ili uklanjanju podataka s mreže.

Rootkitovi su vrlo korisni jer pružaju prikladan način ili platformu putem koje neovlašteni glumci (hakeri ili čak vladini službenici) dobivaju pristup sustavima iza vrata. Rootkitovi obično postižu ovdje opisani cilj podrivanjem mehanizama prijave kako bi prisilili računala da im daju tajni pristup prijavi za drugog pojedinca.

Rootkitovi se također mogu primijeniti kako bi kompromitirali ili nadvladali računalo kako bi napadač stekao kontrolu i koristio uređaj kao alat za izvršavanje određenih zadataka. Na primjer, hakeri ciljaju uređaje s rootkit-ovima i koriste ih kao botove za DDoS (Distributed Denial of Service) napade. U takvom scenariju, ako se ikad otkrije i pronađe izvor DDoS-a, to će dovesti do ugroženog računala (žrtve) umjesto do stvarnog odgovornog računala (napadača).

Ogrožena računala koja sudjeluju u takvim napadima obično su poznata kao zombi računala. DDoS napadi nisu jedina loša stvar koju napadači rade s ugroženim računalima. Ponekad hakeri koriste računala svojih žrtava kako bi izvršili prijevaru klikom ili distribuirali neželjenu poštu.

Zanimljivo je da postoje scenariji u kojima administratori ili redovni pojedinci u dobre svrhe postavljaju rootkitove, ali primjeri takvih i dalje su prilično rijetki. Vidjeli smo izvješća o tome kako neki IT timovi pokreću rootkitove u loncu za otkrivanje ili prepoznavanje napada. Pa, na ovaj način, ako uspiju sa zadacima, moraju poboljšati svoje tehnike emulacije i sigurnosne aplikacije. Mogli bi steći i neko znanje koje bi potom mogli primijeniti za poboljšanje uređaja za zaštitu od krađe.

Ipak, ako ikad budete imali posla s rootkitom, šanse su da se rootkit koristi protiv vas (ili vaših interesa). Stoga je važno naučiti kako otkriti zlonamjerne programe u toj klasi i kako se od njih (ili svog računala) obraniti.

Vrste rootkita

Postoje različiti oblici ili vrste rootkita. Možemo ih klasificirati na temelju načina zaraze i razine na kojoj rade na računalima. Pa, ovo su najčešće vrste rootkita:

1. Rootkit u načinu jezgre:

Korijenski moduli u načinu jezgre su rootkitovi dizajnirani za umetanje zlonamjernog softvera u jezgru operativnih sustava kako bi se promijenila funkcionalnost ili postavljanje OS-a. Pod 'kernelom' mislimo na središnji dio operativnog sustava koji kontrolira ili povezuje operacije između hardvera i aplikacija.

Napadačima je teško rasporediti rootkitove u načinu jezgre jer takvi rootkitovi obično uzrokuju pad sustava ako kôd koji se koristi zakaže. Međutim, ako ikad uspiju uspjeti s implementacijom, tada će rootkitovi moći nanijeti nevjerojatnu štetu jer jezgre obično imaju najviše razine privilegija u sustavu. Drugim riječima, s uspješnim rootkitovima u načinu jezgre, napadači se lako voze s računalima svojih žrtava.

2. Rootkit u korisničkom načinu:

Rootkitovi u ovoj klasi su oni koji se izvršavaju djelujući kao obični ili redoviti programi. Oni imaju tendenciju da rade u istom okruženju u kojem se pokreću aplikacije. Iz tog razloga neki ih sigurnosni stručnjaci nazivaju rootkit-ovima aplikacija.

Rootkitove u korisničkom načinu rada relativno je lakše implementirati (od rootkitova u modulu jezgre), ali sposobni su za manje. Nanose manje štete od rootkita jezgre. Sigurnosne aplikacije, u teoriji, također imaju lakše postupati s rootkitovima u korisničkom načinu rada (u usporedbi s drugim oblicima ili klasama rootkitova).

3. Bootkit (boot rootkit):

Bootkitovi su rootkitovi koji proširuju ili poboljšavaju sposobnosti uobičajenih rootkitova zaražavanjem Master Boot Record-a. Mali programi koji se aktiviraju tijekom pokretanja sustava čine glavni zapis pokretanja (koji se ponekad skraćuje kao MBR). Bootkit je u osnovi program koji napada sustav i radi na zamjeni normalnog bootloadera hakiranom verzijom. Takav se rootkit aktivira čak i prije nego što se operativni sustav računala pokrene i smiri.

S obzirom na način zaraze bootkitovima, napadači ih mogu upotrijebiti u postojanijim oblicima napada jer su konfigurirani za pokretanje kada se sustav uključi (čak i nakon obrambenog resetiranja). Nadalje, oni obično ostaju aktivni u memoriji sustava, što je mjesto koje sigurnosne aplikacije ili IT timovi rijetko skeniraju zbog prijetnji.

4. Memorijski rootkit:

Memorijski rootkit je vrsta rootkita dizajniran da se sakrije unutar RAM-a računala (akronim za Random Access Memory, što je isto što i privremena memorija). Ovi rootkitovi (jednom u memoriji) tada rade na izvršavanju štetnih operacija u pozadini (a da korisnici ne znaju za njih).

Srećom, memorijski rootkitovi imaju kratak životni vijek. U RAM-u vašeg računala mogu živjeti samo jednu sesiju. Ako ponovno pokrenete računalo, oni će nestati - barem bi, u teoriji, trebali. Ipak, u nekim scenarijima postupak ponovnog pokretanja nije dovoljan; korisnici bi na kraju morali obaviti neki posao kako bi se riješili memorijskih rootkitova.

5. Hardver ili firmware rootkit:

Korijeni hardvera ili firmvera dobivaju ime po mjestu na kojem su instalirani na računala.

Poznato je da ovi rootkiti koriste prednosti softvera ugrađenog u firmware na sustavima. Firmware se odnosi na posebnu klasu programa koja pruža kontrolu ili upute na niskoj razini za određeni hardver (ili uređaj). Na primjer, vaše prijenosno računalo ima ugrađeni softver (obično BIOS) koji je u njega umetnuo njegov proizvođač. I vaš usmjerivač ima firmware.

Budući da rootkitovi firmvera mogu postojati na uređajima kao što su usmjerivači i pogoni, oni mogu ostati skriveni jako dugo - jer se ti hardverski uređaji rijetko provjeravaju ili provjeravaju radi integriteta koda (ako su uopće provjereni). Ako vam hakeri zaraze usmjerivač ili pogon rootkitom, tada će moći presresti podatke koji prolaze kroz uređaj.

Kako se zaštititi od rootkitova (savjeti za korisnike)

Čak se i najbolji sigurnosni programi još uvijek bore protiv rootkitova, tako da je bolje učiniti sve što je potrebno kako biste spriječili rootkite da uopće uđu u vaše računalo. Nije tako teško ostati siguran.

Ako se pridržavate najboljih sigurnosnih praksi, šanse da se vaše računalo zarazi rootkitom znatno se smanjuju. Ovo su neki od njih:

1. Preuzmite i instalirajte sva ažuriranja:

Jednostavno si ne možete priuštiti da ignorirate ažuriranja ni za što. Da, razumijemo da ažuriranja aplikacija mogu biti dosadna, a ažuriranja verzije vašeg operativnog sustava mogu biti uznemirujuća, ali bez njih ne možete. Ažuriranje vaših programa i OS-a osigurava da dobijete zakrpe na sigurnosnim rupama ili ranjivostima koje napadači iskorištavaju za ubrizgavanje rootkita u vaše računalo. Ako se rupe i ranjivosti zatvore, vaše će računalo biti bolje za to.

2. Pripazite na phishing e-poštu:

Phishing e-poštu obično šalju prevaranti koji vas žele prevariti da im pružite svoje osobne podatke ili osjetljive detalje (na primjer, detalje za prijavu ili lozinke). Ipak, neke phishing poruke e-pošte potiču korisnike da preuzmu i instaliraju neki softver (koji je obično zlonamjeran ili štetan).

Takve e-adrese mogu izgledati kao da dolaze od legitimnog pošiljatelja ili osobe od povjerenja, pa ih morate pripaziti. Ne odgovarajte na njih. Ne kliknite na ništa u njima (veze, privitke i tako dalje).

3. Pripazite na preuzimanje i nenamjerne instalacije:

Ovdje želimo da obratite pažnju na stvari koje se preuzimaju na vaše računalo. Ne želite dobiti zlonamjerne datoteke ili loše programe koji instaliraju zlonamjerne programe. Morate imati na umu i aplikacije koje instalirate jer su neke legitimne aplikacije povezane s drugim programima (koji mogu biti zlonamjerni).

U idealnom slučaju, trebali biste dobiti samo službene verzije programa sa službenih stranica ili centara za preuzimanje, donijeti pravi izbor tijekom instalacija i obratiti pažnju na postupke instalacije za sve aplikacije.

4. Instalirajte zaštitni program:

Ako rootkit želi ući u vaše računalo, tada je njegov ulazak vjerojatno povezan s prisutnošću ili postojanjem drugog zlonamjernog programa na vašem računalu. Šanse su da će dobra antivirusna ili antimalware aplikacija otkriti izvornu prijetnju prije nego što se rootkit uvede ili aktivira.

Možete nabaviti Anti-Malware. Dobro ćete se pouzdati u preporučenu aplikaciju jer dobri sigurnosni programi i dalje predstavljaju vašu najbolju obranu od svih oblika prijetnji.

Kako otkriti rootkitove (i nekoliko savjeta za organizacije i IT administratore)

Malo je uslužnih programa koji su sposobni otkriti i ukloniti rootkitove. Čak se i nadležne sigurnosne aplikacije (za koje se zna da se bave takvim zlonamjernim programima) ponekad muče ili ne rade posao pravilno. Neuspjesi uklanjanja rootkita češći su kada zlonamjerni softver postoji i djeluje na razini jezgre (rootkits u načinu jezgre).

Ponekad je ponovna instalacija OS-a na stroju jedina stvar koja se može učiniti kako bi se riješili rootkita. Ako se bavite rootkitovima firmvera, možda ćete na kraju morati zamijeniti neke dijelove hardvera unutar pogođenog uređaja ili nabaviti specijaliziranu opremu.

Jedan od najboljih procesa otkrivanja rootkita zahtijeva da korisnici izvrše skeniranja najviše razine za rootkite. Pod 'skeniranjem najviše razine' podrazumijevamo skeniranje kojim upravlja zasebni čisti sustav dok se zaraženi stroj isključuje. U teoriji bi takvo skeniranje trebalo učiniti dovoljno za provjeru potpisa koje su napustili napadači i trebalo bi biti u stanju prepoznati ili prepoznati neku prljavu igru ​​na mreži.

Također možete upotrijebiti analizu memorijskog dump-a za otkrivanje rootkitova, posebno ako sumnjate da je uključen bootkit - koji zaskoči na sistemsku memoriju radi. Ako se u redovitoj računalnoj mreži nalazi rootkit, on vjerojatno neće biti skriven ako izvršava naredbe koje uključuju upotrebu memorije - a upravljački davatelj usluga (MSP) moći će pregledati upute koje zlonamjerni program šalje .

Analiza ponašanja još je jedan pouzdan postupak ili metoda koja se ponekad koristi za otkrivanje ili praćenje rootkitova. Ovdje, umjesto da direktno provjeravate rootkit provjerom sistemske memorije ili promatranjem potpisa napada, morate potražiti simptome rootkita na računalu. Stvari poput sporih brzina rada (znatno sporije od normalnih), neobičnog mrežnog prometa (koji tamo ne bi trebao biti) i drugih uobičajenih devijantnih obrazaca ponašanja trebali bi otkloniti rootkitove.

Davatelji usluga upravitelja mogu zapravo primijeniti načelo najmanjih privilegija (PoLP) kao posebnu strategiju u sustavima svojih kupaca za rješavanje ili ublažavanje učinaka rootkit infekcije. Kada se koristi PoLP, sustavi su konfigurirani tako da ograničavaju svaki modul na mreži, što znači da pojedini moduli dobivaju pristup samo informacijama i resursima koji su im potrebni za njihov rad (posebne svrhe).

Pa, predloženo postavljanje osigurava strožu sigurnost između krajeva mreže. Također čini dovoljno da blokira instalaciju zlonamjernog softvera na mrežne jezgre od strane neovlaštenih korisnika, što znači da sprječava probijanje rootkitova i izazivanje problema.

Srećom, rootkitovi u prosjeku propadaju (u usporedbi s opsegom drugih zlonamjernih programa koji su se proteklih godina povećavali) jer programeri kontinuirano poboljšavaju sigurnost operativnih sustava. Obrana krajnje točke postaje sve jača, a veći broj procesora (ili procesora) dizajniran je za korištenje ugrađenih načina zaštite jezgre. Ipak, trenutno rootkitovi još uvijek postoje i moraju se identificirati, ukinuti i ukloniti gdje god se pronađu.