Vaikka on mahdollista piilottaa haittaohjelmat tavalla, joka huijaa jopa perinteiset virusten-/vakoiluohjelmien torjuntatuotteet, useimmat haittaohjelmat käyttävät jo rootkit-paketteja piiloutuakseen syvälle Windows - tietokoneellesi… ja ne ovat tulossa vaarallisempia! DL3 - rootkit on yksi edistyneimmistä luonnossa koskaan nähdyistä rootkit-ohjelmista. Rootkit oli vakaa ja saattoi saastuttaa 32-bittiset Windows - käyttöjärjestelmät; vaikka tarvittiin järjestelmänvalvojan oikeuksia tartunnan asentamiseen järjestelmään. Mutta TDL3 on nyt päivitetty ja voi nyt saastuttaa jopa 64-bittiset Windows-versiot^{(even 64-bit versions  Windows)} !

Mikä on Rootkit

Rootkit-virus on salakavala haittaohjelma  , joka on suunniteltu piilottamaan tietokoneesi tiettyjen prosessien tai ohjelmien olemassaolo tavallisilta havaitsemismenetelmiltä, ​​jotta se tai muu haittaohjelma pääsisi tietokoneellesi etuoikeutetusti.

Rootkit for Windowsia^{(Rootkits for Windows)} käytetään yleensä haittaohjelmien piilottamiseen esimerkiksi virustorjuntaohjelmalta. Virukset, madot, takaovet ja vakoiluohjelmat käyttävät sitä haitallisiin tarkoituksiin. Virus yhdistettynä rootkitiin tuottaa niin sanottuja täysin varkain viruksia. Rootkitit ovat yleisempiä vakoiluohjelmien alalla, ja ne ovat nyt yleistyneet myös virustentekijöiden käytössä.

Ne ovat nyt nouseva Super Spyware -tyyppi, joka piilottaa tehokkaasti ja vaikuttaa suoraan käyttöjärjestelmän ytimeen. Niitä käytetään piilottamaan haitallisten objektien, kuten troijalaisten tai näppäinloggerien, esiintyminen tietokoneellasi. Jos uhka piilottaa rootkit-teknologian avulla, haittaohjelmia on erittäin vaikea löytää tietokoneeltasi.

Rootkitit eivät sinänsä ole vaarallisia. Niiden ainoa tarkoitus on piilottaa ohjelmistot ja käyttöjärjestelmään jääneet jäljet. Olipa kyseessä tavallinen ohjelmisto tai haittaohjelma.

Pohjimmiltaan on olemassa kolme erilaista Rootkit -tyyppiä . Ensimmäinen tyyppi, " Kernel Rootkit^{(Kernel Rootkits)} " lisää yleensä oman koodinsa käyttöjärjestelmän ytimen osiin, kun taas toinen tyyppi, " User-mode Rootkit^{(User-mode Rootkits)} " on erityisesti kohdistettu Windowsille^(Windows) käynnistymään normaalisti järjestelmän käynnistyksen aikana. tai ruiskutetaan järjestelmään niin kutsutulla "tippareilla". Kolmas tyyppi on MBR Rootkit tai Bootkit^{(MBR Rootkits or Bootkits)} .

Kun huomaat, että virustentorjunta^(AntiVirus) ja vakoiluohjelmien^{(AntiSpyware)} torjunta epäonnistuvat, saatat joutua käyttämään hyvää Anti-Rootkit-apuohjelmaa^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . Microsoft Sysinternalsin ^{(Microsoft Sysinternals)}RootkitRevealer on edistynyt rootkit-tunnistusapuohjelma. Sen tulos luettelee rekisterin^(Registry) ja tiedostojärjestelmän sovellusliittymän^(API) eroavaisuudet, jotka voivat viitata käyttäjä- tai ydintilan rootkitin olemassaoloon.

Microsoftin haittaohjelmien suojauskeskuksen^{(Microsoft Malware Protection Center Threat Report)} uhkaraportti  rootkit -ohjelmista^(Rootkits)

Microsoft Malware Protection Center on asettanut ladattavaksi sen Threat Report on Rootkits . Raportissa tarkastellaan yhtä salakavalimpia organisaatioita ja yksilöitä uhkaavia haittaohjelmia nykyään – rootkitiä. Raportissa tarkastellaan, kuinka hyökkääjät käyttävät rootkit-paketteja ja kuinka rootkit toimivat kyseisissä tietokoneissa. Tässä on raportin pääsisältö, alkaen siitä, mitkä ovat rootkitit^(Rootkits) – aloittelijoille.

Rootkit on joukko työkaluja, joita hyökkääjä tai haittaohjelmien luoja käyttää hallitakseen kaikkia paljaita/suojaamattomia järjestelmiä, jotka muuten on yleensä varattu järjestelmänvalvojalle. Viime vuosina termi 'ROOTKIT' tai 'ROOTKIT FUNCTIONALITY' on korvattu MALWARE- ohjelmalla^{(MALWARE –)} , joka on suunniteltu aiheuttamaan ei-toivottuja vaikutuksia terveeseen tietokoneeseen. Haittaohjelmien päätehtävä on poistaa arvokkaita tietoja ja muita resursseja käyttäjän tietokoneelta salaa ja toimittaa ne hyökkääjälle, jolloin hän voi täysin hallita vaarantunutta tietokonetta. Lisäksi niitä on vaikea havaita ja poistaa, ja ne voivat pysyä piilossa pitkiä aikoja, mahdollisesti vuosia, jos niitä ei huomaa.

Joten luonnollisesti vaarantuneen tietokoneen oireet täytyy peittää ja ottaa huomioon, ennen kuin lopputulos osoittautuu kohtalokkaaksi. Erityisesti tiukempiin turvatoimiin tulisi ryhtyä hyökkäyksen paljastamiseksi. Mutta kuten mainittiin, kun nämä rootkitit/haittaohjelmat on asennettu, sen varkain ominaisuudet tekevät sen ja sen mahdollisesti ladattavien komponenttien poistamisen vaikeaksi. Tästä syystä Microsoft on luonut raportin ROOTKITSista^(ROOTKITS) .

16-sivuisessa raportissa kerrotaan, kuinka hyökkääjä käyttää rootkit-paketteja ja kuinka nämä rootkit toimivat tietokoneissa, joita tämä koskee.

Raportin ainoa tarkoitus on tunnistaa ja tutkia tarkasti monia organisaatioita, erityisesti tietokoneen käyttäjiä, uhkaavia voimakkaita haittaohjelmia. Siinä mainitaan myös joitain yleisiä haittaohjelmaperheitä ja tuodaan esiin menetelmä, jolla hyökkääjät asentavat nämä rootkitit omiin itsekkäisiin tarkoituksiinsa terveisiin järjestelmiin. Raportin loppuosassa asiantuntijat antavat suosituksia, joiden avulla käyttäjät voivat lieventää rootkit-uhkia.

Rootkit-tyypit

On monia paikkoja, joissa haittaohjelmat voivat asentaa itsensä käyttöjärjestelmään. Joten enimmäkseen rootkit-tyyppi määräytyy sen sijainnin mukaan, jossa se suorittaa suorituspolun kumouksen. Tämä sisältää:

1. Käyttäjätilan rootkitit
2. Ydintilan rootkitit
3. MBR Rootkit/bootkit

Ydintilan rootkit-kompromissin mahdollinen vaikutus on kuvattu alla olevassa kuvakaappauksessa.

Kolmas tyyppi, muokkaa pääkäynnistystietuetta^{(Master Boot Record)} saadaksesi järjestelmän hallintaan ja käynnistääksesi latausprosessin varhaisimman mahdollisen pisteen käynnistyssekvenssissä3. Se piilottaa tiedostot, rekisterimuutokset, todisteet verkkoyhteyksistä sekä muita mahdollisia indikaattoreita, jotka voivat osoittaa sen olemassaolon.

Merkittävät haittaohjelmaperheet^(Malware) , jotka käyttävät Rootkit- toimintoa

• Win32/Sinowal 13 – Monikomponenttinen haittaohjelmaperhe, joka yrittää varastaa arkaluontoisia tietoja, kuten eri järjestelmien käyttäjätunnuksia ja salasanoja. Tämä sisältää yrityksen varastaa useiden FTP- , HTTP- ja sähköpostitilien todennustietoja sekä verkkopankki- ja muita rahoitustapahtumia käytettyjä valtuustietoja.
• Win32/Cutwail 15 – Troijalainen^(Trojan) , joka lataa ja suorittaa mielivaltaisia ​​tiedostoja. Ladatut tiedostot voidaan suorittaa levyltä tai ruiskuttaa suoraan muihin prosesseihin. Vaikka ladattujen tiedostojen toiminnallisuus vaihtelee, Cutwail yleensä lataa muita roskapostia lähettäviä komponentteja. Se käyttää ydintilan rootkit-pakettia ja asentaa useita laiteohjaimia piilottaakseen sen komponentit käyttäjiltä, ​​joita asia koskee.
• Win32/Rustock  – Monikomponenttinen perhe rootkit-yhteensopivia takaoven troijalaisia^(Trojans) , jotka alun perin kehitettiin auttamaan "roskapostin" jakelussa botnet -verkon kautta . Bottiverkko on laaja hyökkääjien hallitsema vaarantuneiden tietokoneiden verkko.

Suojaus rootkittejä vastaan

Rootkittien asennuksen estäminen on tehokkain tapa välttää rootkit-tartunnat. Tätä varten on investoitava suojatekniikoihin, kuten virustorjunta- ja palomuurituotteisiin. Tällaisissa tuotteissa olisi otettava kattava lähestymistapa suojaukseen käyttämällä perinteistä allekirjoitukseen perustuvaa havaitsemista, heuristista havaitsemista, dynaamista ja reagoivaa allekirjoituskykyä ja käyttäytymisen seurantaa.

Kaikki nämä allekirjoitusjoukot tulee pitää ajan tasalla automaattisen päivitysmekanismin avulla. Microsoftin^(Microsoft) virustorjuntaratkaisut sisältävät useita tekniikoita, jotka on suunniteltu erityisesti vähentämään rootkit-ohjelmia, mukaan lukien reaaliaikainen ytimen käyttäytymisen valvonta, joka havaitsee ja raportoi yrityksistä muokata järjestelmän ydintä, ja suora tiedostojärjestelmän jäsennys, joka helpottaa piilotettujen ohjainten tunnistamista ja poistamista.

Jos järjestelmä havaitaan vaarantuneen, lisätyökalu, jonka avulla voit käynnistää tunnetun hyvän tai luotettavan ympäristön, voi osoittautua hyödylliseksi, koska se voi ehdottaa asianmukaisia ​​korjaustoimenpiteitä.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Tällaisissa olosuhteissa

1. Itsenäinen System Sweeper^{(Standalone System Sweeper)} -työkalu (osa Microsoft Diagnostics and Recovery Toolset ( DaRT ) -työkalusarjaa )
2. Windows Defender Offline voi olla hyödyllinen.

Saat lisätietoja lataamalla PDF - raportin Microsoft Download Centeristä.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While it is possible to hide malware in a way that will fool even the traditional antivirus/antiѕpywarе products, most malware programs are already using rootkіts to hidе deep on your Windows PC … and they are getting more dangerоus! The DL3 roоtkit is onе of the most advanced rootkitѕ ever seen in the wild. The rootkit was stable and could infect 32 bit Wіndоws operating systems; although administrator rights were needed to install the infection in the system. But TDL3 has now been updated and is now аble to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Kuinka välttää tietojenkalasteluhuijaukset ja -hyökkäykset?

• Mikä on etäkäytön troijalainen? Ennaltaehkäisy, havaitseminen ja poistaminen

• Poista virus USB-muistitikulta komentokehotteen tai erätiedoston avulla

• Rogue Security Software tai Scareware: Kuinka tarkistaa, estää, poistaa?

• Mikä on Win32:BogEnt ja kuinka se poistetaan?

• IObit Malware Fighter Ilmainen tarkistus ja lataus

• Microsoft Windows -logoprosessi Task Managerissa; Onko se virus?

• 3 tapaa päästä eroon viruksista, vakoiluohjelmista ja haittaohjelmista

• Mahdollisesti ei-toivotut ohjelmat tai sovellukset; Vältä PUP/PUA:n asentamista

• Etähallintatyökalut: riskit, uhat, ennaltaehkäisy

• Kyberhyökkäykset – määritelmä, tyypit, ehkäisy

• Crystal Security on ilmainen pilvipohjainen haittaohjelmien tunnistustyökalu PC:lle

• Kuinka käyttää Malwarebytes Anti-Malwarea haittaohjelmien poistamiseen

• Haittaohjelmien estäminen – Vinkkejä Windows 11/10:n suojaamiseen

• Chrome-selaimen sisäänrakennetun Malware Scanner & Cleanup Toolin käyttäminen

• Viruksen poistaminen Windows 11/10:stä; Haittaohjelmien poistoopas

• Parhaat virus- ja haittaohjelmaskannerit TAATTU Nuke Any Virusille

• Kuinka käyttää Avast Boot Scania haittaohjelmien poistamiseen Windows PC:stä

• Kuinka tarkistaa, onko tiedosto haitallinen vai ei Windows 11/10:ssä

• Mitä on kyberrikollisuus? Miten käsitellä sitä?