Was ist Rootkit?? Wie funktionieren Rootkits?? Rootkits erklärt.

Obwohl es möglich ist, Malware so zu verstecken, dass selbst die herkömmlichen Antivirus-/Antispyware-Produkte getäuscht werden, verwenden die meisten Malware-Programme bereits Rootkits, um sich tief auf Ihrem Windows-PC zu verstecken… und sie werden immer gefährlicher! Das DL3-Rootkit ist eines der fortschrittlichsten Rootkits, die jemals in freier Wildbahn gesehen wurden. Das Rootkit war stabil und konnte 32-Bit-Windows-Betriebssysteme infizieren; obwohl Administratorrechte erforderlich waren, um die Infektion im System zu installieren. Aber TDL3 wurde jetzt aktualisiert und kann jetzt infizieren sogar 64-Bit-Versionen  Windows!

Was ist Rootkit?

Ein Rootkit-Virus ist eine heimliche Art von Malware, die darauf abzielt, die Existenz bestimmter Prozesse oder Programme auf Ihrem Computer vor regulären Erkennungsmethoden zu verbergen, um diesem oder einem anderen bösartigen Prozess privilegierten Zugriff auf Ihren Computer zu ermöglichen.

Rootkits für Windows werden normalerweise verwendet, um bösartige Software beispielsweise vor einem Antivirenprogramm zu verbergen. Es wird von Viren, Würmern, Hintertüren und Spyware für böswillige Zwecke verwendet. Ein Virus in Kombination mit einem Rootkit produziert sogenannte Full-Stealth-Viren. Rootkits sind im Spyware-Bereich immer häufiger anzutreffen und werden nun auch immer häufiger von Virenautoren verwendet.

Sie sind jetzt eine aufstrebende Art von Super Spyware, die sich effektiv verbirgt und direkt auf den Betriebssystemkernel einwirkt. Sie werden verwendet, um das Vorhandensein von bösartigen Objekten wie Trojanern oder Keyloggern auf Ihrem Computer zu verbergen. Wenn eine Bedrohung Rootkit-Technologie zum Verstecken verwendet, ist es sehr schwer, die Malware auf Ihrem PC zu finden.

Rootkits an sich sind nicht gefährlich. Ihr einziger Zweck besteht darin, Software und die im Betriebssystem hinterlassenen Spuren zu verbergen. Ob normale Software oder Schadprogramme.

Grundsätzlich gibt es drei verschiedene Arten von Rootkits. Der erste Typ, der „Kernel-Rootkits” fügt normalerweise ihren eigenen Code zu Teilen des Betriebssystemkerns hinzu, während die zweite Art, die „Rootkits im Benutzermodus“ sind speziell auf Windows ausgerichtet, um während des Systemstarts normal hochzufahren, oder in das System durch einen sogenannten „Dropper“ injiziert. Der dritte Typ ist MBR-Rootkits oder Bootkits.

Wenn Sie feststellen, dass Ihr AntiVirus & AntiSpyware versagt, müssen Sie möglicherweise die Hilfe eines gutes Anti-Rootkit-Dienstprogramm. RootkitRevealer von Microsoft Sysinternals ist ein erweitertes Dienstprogramm zur Rootkit-Erkennung. Die Ausgabe listet Diskrepanzen zwischen Registry und Dateisystem-API auf, die auf das Vorhandensein eines Rootkits im Benutzermodus oder Kernelmodus hinweisen können.

Bedrohungsbericht des Microsoft Malware Protection Center zu Rootkits

Microsoft Malware Protection Center hat seinen Bedrohungsbericht zu Rootkits zum Download bereitgestellt. Der Bericht untersucht eine der heimtückischeren Arten von Malware, die Unternehmen und Einzelpersonen heute bedrohen – das Rootkit. Der Bericht untersucht, wie Angreifer Rootkits verwenden und wie Rootkits auf betroffenen Computern funktionieren.function. Hier ist der Kern des Berichts, beginnend mit Rootkits - für den Anfänger.

Rootkit ist eine Reihe von Tools, die ein Angreifer oder ein Malware-Ersteller verwendet, um die Kontrolle über ein exponiertes/ungesichertes System zu erlangen, das normalerweise einem Systemadministrator vorbehalten ist. In den letzten Jahren wurde der Begriff "ROOTKIT" oder "ROOTKIT FUNCTIONALITY" durch MALWARE ersetzt - ein Programm, das unerwünschte Auswirkungen auf einen gesunden Computer haben soll. Die Hauptfunktion von Malware besteht darin, dem Computer eines Benutzers wertvolle Daten und andere Ressourcen heimlich zu entziehen und sie dem Angreifer zur Verfügung zu stellen, wodurch er die vollständige Kontrolle über den kompromittierten Computer erhält. Darüber hinaus sind sie schwer zu erkennen und zu entfernen und können für längere Zeit, möglicherweise Jahre, verborgen bleiben, wenn sie unbemerkt bleiben.

Daher müssen die Symptome eines kompromittierten Computers natürlich maskiert und berücksichtigt werden, bevor sich das Ergebnis als tödlich erweist. Insbesondere sollten strengere Sicherheitsmaßnahmen ergriffen werden, um den Angriff aufzudecken. Aber wie bereits erwähnt, machen es ihre Stealth-Funktionen, sobald diese Rootkits/Malware installiert sind, schwierig, sie und ihre möglicherweise heruntergeladenen Komponenten zu entfernen. Aus diesem Grund hat Microsoft einen Bericht zu ROOTKITS erstellt.

Der 16-seitige Bericht beschreibt, wie ein Angreifer Rootkits verwendet und wie diese Rootkits auf betroffenen Computern funktionieren.

Der einzige Zweck des Berichts besteht darin, potenzielle Malware zu identifizieren und genau zu untersuchen, die viele Unternehmen, insbesondere Computerbenutzer, bedroht. Es erwähnt auch einige der vorherrschenden Malware-Familien und beleuchtet die Methode, mit der Angreifer diese Rootkits für ihre eigenen egoistischen Zwecke auf gesunden Systemen installieren. Im Rest des Berichts finden Sie Experten, die einige Empfehlungen aussprechen, um Benutzern zu helfen, die Bedrohung durch Rootkits einzudämmen.

Arten von Rootkits

Es gibt viele Orte, an denen sich Malware in einem Betriebssystem installieren kann. Daher wird der Rootkit-Typ hauptsächlich durch seinen Ort bestimmt, an dem es seine Subversion des Ausführungspfads durchführt. Das beinhaltet:

1. Rootkits im Benutzermodus
2. Kernel-Modus-Rootkits
3. MBR-Rootkits/Bootkits

Die möglichen Auswirkungen einer Rootkit-Kompromittierung im Kernelmodus werden anhand eines Screenshots unten veranschaulicht.

Bei der dritten Art ändern Sie den Master Boot Record, um die Kontrolle über das System zu erlangen und den Ladevorgang zum frühestmöglichen Zeitpunkt in der Boot-Sequenz zu starten3. Es verbirgt Dateien, Registrierungsänderungen, Nachweise von Netzwerkverbindungen sowie andere mögliche Indikatoren, die auf das Vorhandensein hinweisen können.

Bemerkenswerte Malware-Familien, die Rootkit-Funktionalität verwenden

• Win32/Sinowal13 – Eine aus mehreren Komponenten bestehende Malware-Familie, die versucht, sensible Daten wie Benutzernamen und Passwörter für verschiedene Systeme zu stehlen. Dazu gehört der Versuch, Authentifizierungsdetails für eine Vielzahl von FTP-, HTTP- und E-Mail-Konten sowie Anmeldeinformationen für Online-Banking und andere Finanztransaktionen zu stehlen.
• Win32/Cutwail15 - Ein Trojaner, der beliebige Dateien herunterlädt und ausführt. Die heruntergeladenen Dateien können von der Festplatte ausgeführt oder direkt in andere Prozesse eingefügt werden. Während die Funktionalität der heruntergeladenen Dateien variabel ist, lädt Cutwail normalerweise andere Komponenten herunter, die Spam senden. Es verwendet ein Rootkit im Kernelmodus und installiert mehrere Gerätetreiber, um seine Komponenten vor betroffenen Benutzern zu verbergen.
• Win32/Rustock - Eine aus mehreren Komponenten bestehende Familie von Rootkit-fähigen Backdoor-Trojanern, die ursprünglich entwickelt wurde, um die Verbreitung von „Spam“-E-Mails über a . zu unterstützen Botnet. Ein Botnet ist ein großes, von Angreifern kontrolliertes Netzwerk kompromittierter Computer.

Schutz vor Rootkits

Das Verhindern der Installation von Rootkits ist die effektivste Methode, um eine Infektion durch Rootkits zu vermeiden. Dafür ist es notwendig, in Schutztechnologien wie Antiviren- und Firewall-Produkte zu investieren. Solche Produkte sollten einen umfassenden Schutzansatz verfolgen, indem sie traditionelle signaturbasierte Erkennung, heuristische Erkennung, dynamische und reaktionsfähige Signaturfunktionen und Verhaltensüberwachung verwenden.

Alle diese Signatursätze sollten über einen automatisierten Update-Mechanismus aktuell gehalten werden. Die Antivirus-Lösungen von Microsoft umfassen eine Reihe von Technologien, die speziell zur Abwehr von Rootkits entwickelt wurden, darunter Live-Kernel-Verhaltensüberwachung, die Versuche erkennt und meldet, den Kernel eines betroffenen Systems zu ändern, und direktes Dateisystem-Parsing, das die Identifizierung und Entfernung versteckter Treiber erleichtert.

Wenn festgestellt wird, dass ein System kompromittiert ist, kann sich ein zusätzliches Tool als nützlich erweisen, mit dem Sie von einer bekannten guten oder vertrauenswürdigen Umgebung booten können, da es einige geeignete Abhilfemaßnahmen vorschlagen kann.

Unter solchen Umständen,

1. Das eigenständige System Sweeper-Tool (Teil des Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline kann nützlich sein.

Für weitere Informationen können Sie den PDF-Bericht im Microsoft Download Center herunterladen download.