Руткит — это совокупность компьютерного программного обеспечения , обычно вредоносного, предназначенного для обеспечения доступа к компьютеру или области его программного обеспечения , которая иначе не разрешена (например, неавторизованному пользователю) и часто маскирующая его существование или существование другого программного обеспечения. . [1] Термин «руткит» представляет собой смесь слова « root » (традиционное имя привилегированной учетной записи в Unix-подобных операционных системах) и слова «kit» (которое относится к программным компонентам, реализующим инструмент). [2] Термин «руткит» имеет негативный оттенок из-за ассоциации с вредоносным ПО . [1]
Установка руткита может быть автоматизирована, либо злоумышленник может установить его после получения доступа root или администратора. [3] Получение этого доступа является результатом прямой атаки на систему, т.е. использования уязвимости (например, повышения привилегий ) или пароля (полученного путем взлома или тактики социальной инженерии, такой как « фишинг »). После установки становится возможным скрыть вторжение, а также сохранить привилегированный доступ. Полный контроль над системой означает, что существующее программное обеспечение может быть изменено, включая программное обеспечение, которое в противном случае могло бы использоваться для его обнаружения или обхода.
Обнаружение руткитов затруднено, поскольку руткит может вывести из строя программное обеспечение, предназначенное для его обнаружения. Методы обнаружения включают использование альтернативной и доверенной операционной системы , поведенческие методы, сканирование сигнатур, сканирование различий и анализ дампа памяти . Удаление может быть сложным или практически невозможным, особенно в тех случаях, когда руткит находится в ядре ; переустановка операционной системы может оказаться единственным доступным решением проблемы. При работе с руткитами прошивки для удаления может потребоваться замена оборудования или специального оборудования.
Термин «руткит» или «руткит» первоначально относился к злонамеренно модифицированному набору административных инструментов для Unix-подобной операционной системы , предоставляющему « корневой » доступ. [4] Если злоумышленник сможет заменить стандартные инструменты администрирования в системе руткитом, он сможет получить root-доступ к системе, одновременно скрывая эти действия от законного системного администратора . Эти руткиты первого поколения было легко обнаружить с помощью таких инструментов, как Tripwire , которые не были скомпрометированы для доступа к той же информации. [5] [6] Лейн Дэвис и Стивен Дэйк написали самый ранний известный руткит в 1990 году для операционной системы SunOS UNIX компании Sun Microsystems . [7] В лекции, которую он прочитал после получения премии Тьюринга в 1983 году, Кен Томпсон из Bell Labs , один из создателей Unix , выдвинул теорию о подрыве компилятора C в дистрибутиве Unix и обсудил этот эксплойт. Модифицированный компилятор обнаружит попытки скомпилировать команду Unix и сгенерирует измененный код, который будет принимать не только правильный пароль пользователя, но и дополнительный пароль « черного входа », известный злоумышленнику. Кроме того, компилятор обнаружит попытки скомпилировать новую версию компилятора и вставит в новый компилятор те же самые эксплойты. Проверка исходного кода команды или обновленного компилятора не выявила вредоносного кода. [8] Этот эксплойт был эквивалентен руткиту.loginlogin
Первый задокументированный компьютерный вирус , нацеленный на персональный компьютер , обнаруженный в 1986 году, использовал методы маскировки , чтобы скрыть себя: вирус Brain перехватывал попытки чтения загрузочного сектора и перенаправлял их в другое место на диске, где находилась копия исходного загрузочного сектора. хранился. [1] Со временем методы маскировки DOS -вирусов стали более изощренными. Передовые методы включали перехват вызовов низкоуровневых дисковых прерываний INT 13H BIOS для сокрытия несанкционированных изменений файлов. [1]
Первый вредоносный руткит для операционной системы Windows NT появился в 1999 году: троян NRTRootkit , созданный Грегом Хоглундом . [9] За ним последовал HackerDefender в 2003 году. [1] Первый руткит, нацеленный на Mac OS X, появился в 2009 году, [10] тогда как червь Stuxnet был первым, нацеленным на программируемые логические контроллеры (ПЛК). [11]
В 2005 году Sony BMG выпустила компакт-диски с программным обеспечением для защиты от копирования и управления цифровыми правами под названием Extended Copy Protection , созданным компанией-разработчиком программного обеспечения First 4 Internet. Программное обеспечение включало музыкальный проигрыватель, но автоматически устанавливало руткит, ограничивавший возможность пользователя получить доступ к компакт-диску. [12] Инженер-программист Марк Руссинович , создавший средство обнаружения руткитов RootkitRevealer , обнаружил руткит на одном из своих компьютеров. [1] Последовавший за этим скандал повысил осведомленность общественности о руткитах. [13] Чтобы скрыть себя, руткит скрывал от пользователя любой файл, начинающийся с «$sys$». Вскоре после доклада Руссиновича появилось вредоносное ПО, воспользовавшееся существующим руткитом на пораженных системах. [1] Один аналитик BBC назвал это « кошмаром в сфере связей с общественностью ». [14] Sony BMG выпустила патчи для удаления руткита, но они подвергли пользователей еще более серьезной уязвимости. [15] В конце концов компания отозвала компакт-диски. В США против Sony BMG был подан коллективный иск . [16]
Дело о прослушивании телефонных разговоров в Греции в 2004–2005 годах , также известное как «Греческий Уотергейт», [17] касалось незаконного прослушивания более 100 мобильных телефонов в сети Vodafone Греция , принадлежащих в основном членам греческого правительства и высокопоставленным государственным служащим. Прослушивание началось где-то в начале августа 2004 г. и было прекращено в марте 2005 г., так и не установив личности преступников. Злоумышленники установили руткит, нацеленный на телефонную станцию AX компании Ericsson . По данным IEEE Spectrum , это был «первый раз, когда руткит был обнаружен в системе специального назначения, в данном случае в телефонном коммутаторе Ericsson». [18] Руткит был разработан для исправления памяти биржи во время ее работы, включения прослушивания телефонных разговоров при отключении журналов аудита, исправления команд, перечисляющих активные процессы и активные блоки данных, а также изменения команды проверки контрольной суммы блоков данных . «Черный ход» позволял оператору со статусом системного администратора деактивировать журнал транзакций биржи, сигналы тревоги и команды доступа, связанные с возможностью наблюдения. [18] Руткит был обнаружен после того, как злоумышленники установили ошибочное обновление, из-за которого SMS- сообщения не доставлялись, что приводило к созданию автоматического отчета об ошибке. Инженеры Ericsson были вызваны для расследования неисправности и обнаружили скрытые блоки данных, содержащие список отслеживаемых телефонных номеров, а также руткит и незаконное программное обеспечение для мониторинга.
Современные руткиты не повышают уровень доступа [4] , а скорее используются для того, чтобы сделать полезную нагрузку другого программного обеспечения необнаружимой путем добавления скрытых возможностей. [9] Большинство руткитов классифицируются как вредоносные программы , поскольку полезные данные, с которыми они связаны, являются вредоносными. Например, полезная нагрузка может тайно украсть пароли пользователей , информацию о кредитных картах , вычислительные ресурсы или выполнить другие несанкционированные действия. Небольшое количество руткитов пользователи могут рассматривать как служебные приложения: например, руткит может скрывать драйвер эмуляции компакт-диска , позволяя пользователям видеоигр обойти меры по борьбе с пиратством , требующие вставки исходного установочного носителя в физический диск. оптический привод, чтобы убедиться, что программное обеспечение было приобретено законно.
Руткиты и их полезные данные имеют множество применений:
В некоторых случаях руткиты обеспечивают желаемую функциональность и могут быть установлены намеренно от имени пользователя компьютера:
Существует как минимум пять типов руткитов: от руткитов самого низкого уровня прошивки (с самыми высокими привилегиями) до вариантов с наименьшими привилегиями для пользователей, которые работают в Ring 3 . Могут встречаться гибридные комбинации, охватывающие, например, пользовательский режим и режим ядра. [26]
Руткиты пользовательского режима запускаются в Ring 3 вместе с другими приложениями как пользовательские, а не как низкоуровневые системные процессы. [27] У них есть ряд возможных векторов установки для перехвата и изменения стандартного поведения интерфейсов прикладного программирования (API). Некоторые внедряют динамически подключаемую библиотеку (например, файл .DLL в Windows или файл .dylib в Mac OS X ) в другие процессы и, таким образом, могут выполняться внутри любого целевого процесса, чтобы подделать его; другие, обладающие достаточными привилегиями, просто перезаписывают память целевого приложения. Механизмы инъекции включают: [27]
...поскольку все приложения пользовательского режима работают в своем собственном пространстве памяти, руткиту необходимо выполнять исправления в пространстве памяти каждого работающего приложения. Кроме того, руткиту необходимо отслеживать в системе любые новые приложения, которые выполняются, и вносить исправления в память этих программ до их полного выполнения.
- Обзор руткитов Windows, Symantec [4]
Руткиты режима ядра запускаются с наивысшими привилегиями операционной системы ( Ring 0 ) путем добавления кода или замены частей основной операционной системы, включая ядро и связанные с ним драйверы устройств . [ нужна цитация ] Большинство операционных систем поддерживают драйверы устройств режима ядра, которые выполняются с теми же привилегиями, что и сама операционная система. Таким образом, многие руткиты режима ядра разрабатываются в виде драйверов устройств или загружаемых модулей, например загружаемых модулей ядра в Linux или драйверов устройств в Microsoft Windows . Этот класс руткитов имеет неограниченный безопасный доступ, но его сложнее писать. [29] Сложность делает ошибки распространенными, и любые ошибки в коде, работающем на уровне ядра, могут серьезно повлиять на стабильность системы, что приведет к обнаружению руткита. [29] Один из первых широко известных руткитов ядра был разработан для Windows NT 4.0 и опубликован в журнале Phrack в 1999 году Грегом Хоглундом . [30] [31] Руткиты ядра особенно сложно обнаружить и удалить, поскольку они работают на том же уровне безопасности , что и сама операционная система, и, таким образом, способны перехватывать или подрывать наиболее доверенные операции операционной системы. Любое программное обеспечение, например антивирусное программное обеспечение , работающее в скомпрометированной системе, одинаково уязвимо. [32] В этой ситуации ни одной части системы нельзя доверять.
Руткит может изменять структуры данных в ядре Windows, используя метод, известный как прямая манипуляция объектами ядра (DKOM). [33] Этот метод можно использовать для сокрытия процессов. Руткит режима ядра также может перехватить таблицу дескрипторов системных служб (SSDT) или изменить шлюзы между пользовательским режимом и режимом ядра, чтобы скрыть себя. [4] Аналогично операционной системе Linux руткит может изменить таблицу системных вызовов , чтобы подорвать функциональность ядра. [34] [35] Обычно руткит создает скрытую зашифрованную файловую систему, в которой он может скрывать другие вредоносные программы или оригинальные копии зараженных им файлов. [36] Операционные системы развиваются, чтобы противостоять угрозе руткитов режима ядра. Например, 64-разрядные версии Microsoft Windows теперь реализуют обязательное подписание всех драйверов уровня ядра, чтобы затруднить выполнение ненадежного кода с самыми высокими привилегиями в системе. [37]
Вариант руткита режима ядра, называемый буткитом , может заражать код запуска, такой как основная загрузочная запись (MBR), загрузочная запись тома (VBR) или загрузочный сектор , и таким образом может использоваться для атаки на системы полного шифрования диска . [38] Примером такой атаки на шифрование диска является « атака злой горничной », при которой злоумышленник устанавливает буткит на оставленный без присмотра компьютер. Предполагаемый сценарий: горничная пробирается в номер отеля, где жертвы оставили свое оборудование. [39] Буткит заменяет законный загрузчик другим, находящимся под их контролем. Обычно загрузчик вредоносного ПО сохраняется при переходе в защищенный режим после загрузки ядра и, таким образом, может разрушить ядро. [40] [41] [42] Например, «Stoned Bootkit» подрывает систему, используя взломанный загрузчик для перехвата ключей шифрования и паролей. [43] [ собственный источник? ] В 2010 году руткит Alureon успешно нарушил требование о подписании 64-битного драйвера режима ядра в Windows 7 , изменив главную загрузочную запись . [44] Некоторые программы «Vista Loader» или «Windows Loader», хотя и не являются вредоносными программами в смысле выполнения чего-то, чего пользователь не хочет, работают аналогичным образом, внедряя таблицу ACPI SLIC (внутренний код, лицензированный системой) в ОЗУ. -кэшированная версия BIOS во время загрузки, чтобы обойти процесс активации Windows Vista и Windows 7 . [ нужна цитация ] Этот вектор атаки оказался бесполезным в (несерверных) версиях Windows 8 , которые используют уникальный, машинный ключ для каждой системы, который может использоваться только этим одним компьютером. [45] Многие антивирусные компании предоставляют бесплатные утилиты и программы для удаления буткитов.
Руткиты были созданы как гипервизоры типа II в научных кругах в качестве доказательства концепции. Используя функции аппаратной виртуализации, такие как Intel VT или AMD-V , этот тип руткита запускается в Ring-1 и размещает целевую операционную систему в качестве виртуальной машины , тем самым позволяя руткиту перехватывать аппаратные вызовы, выполняемые исходной операционной системой. [6] В отличие от обычных гипервизоров, они не должны загружаться перед операционной системой, но могут загружаться в операционную систему перед ее преобразованием в виртуальную машину. [6] Руткит гипервизора не должен вносить какие-либо изменения в ядро целевой системы, чтобы подорвать ее; однако это не означает, что гостевая операционная система не может его обнаружить. Например, различия во времени могут быть обнаружены в инструкциях ЦП . [6] Лабораторный руткит «SubVirt», разработанный совместно исследователями Microsoft и Мичиганского университета , является академическим примером руткита на базе виртуальных машин (VMBR), [46] а программное обеспечение Blue Pill — еще один пример. В 2009 году исследователи из Microsoft и Университета штата Северная Каролина продемонстрировали антируткит уровня гипервизора под названием Hooksafe , который обеспечивает общую защиту от руткитов режима ядра. [47] В Windows 10 появилась новая функция под названием «Device Guard», которая использует преимущества виртуализации для обеспечения независимой внешней защиты операционной системы от вредоносных программ типа руткитов. [48]
Руткит встроенного ПО использует встроенное ПО устройства или платформы для создания постоянного образа вредоносного ПО в оборудовании, таком как маршрутизатор , сетевая карта , [49] жесткий диск или системный BIOS . [27] [50] Руткит скрывается в прошивке, поскольку целостность кода прошивки обычно не проверяется . Джон Хисман продемонстрировал жизнеспособность руткитов прошивки как в процедурах прошивки ACPI [51] , так и в ПЗУ карты расширения PCI . [52] В октябре 2008 года преступники взломали европейские машины для считывания кредитных карт до того, как они были установлены. Устройства перехватывали и передавали данные кредитной карты через сеть мобильной связи. [53] В марте 2009 года исследователи Альфредо Ортега и Анибал Сакко опубликовали подробную информацию о рутките Windows на уровне BIOS , который смог пережить замену диска и переустановку операционной системы. [54] [55] [56] Несколько месяцев спустя они узнали, что некоторые ноутбуки продаются с легальным руткитом, известным как Absolute CompuTrace или Absolute LoJack для ноутбуков , предустановленным во многих образах BIOS. Это технологическая система защиты от краж , которую, как показали исследователи, можно использовать в злонамеренных целях. [24]
Технология Intel Active Management , входящая в состав Intel vPro , реализует внешнее управление , предоставляя администраторам возможность удаленного администрирования , удаленного управления и удаленного контроля ПК без участия хост-процессора или BIOS, даже когда система выключена. Удаленное администрирование включает удаленное включение и выключение питания, удаленный сброс, перенаправленную загрузку, перенаправление консоли, предзагрузочный доступ к настройкам BIOS, программируемую фильтрацию входящего и исходящего сетевого трафика, проверку присутствия агента, внеполосное управление на основе политик. оповещения, доступ к системной информации, такой как информация об аппаратных ресурсах, постоянные журналы событий и другая информация, которая хранится в выделенной памяти (не на жестком диске), где она доступна, даже если операционная система не работает или компьютер выключен. Некоторые из этих функций требуют руткита самого глубокого уровня — второго несъемного шпионского компьютера, построенного вокруг основного компьютера. Sandy Bridge и будущие чипсеты имеют «возможность удаленно отключать и восстанавливать потерянный или украденный компьютер через 3G». Аппаратные руткиты, встроенные в набор микросхем , могут помочь восстановить украденные компьютеры, удалить данные или сделать их бесполезными, но они также создают проблемы конфиденциальности и безопасности, связанные с необнаружимым шпионажем и перенаправлением со стороны руководства или хакеров, которые могут получить контроль.
Руткиты используют различные методы для получения контроля над системой; тип руткита влияет на выбор вектора атаки. Самый распространенный метод использует уязвимости безопасности для тайного повышения привилегий . Другой подход заключается в использовании троянского коня , который обманом заставляет пользователя компьютера поверить в безвредность программы установки руткита — в этом случае социальная инженерия убеждает пользователя в том, что руткит полезен. [29] Задача установки упрощается, если не применяется принцип наименьших привилегий , поскольку в этом случае руткиту не нужно явно запрашивать повышенные привилегии (уровня администратора). Другие классы руткитов могут быть установлены только лицом, имеющим физический доступ к целевой системе. Некоторые руткиты также могут быть установлены намеренно владельцем системы или кем-то, уполномоченным владельцем, например, в целях мониторинга сотрудников , что делает такие подрывные методы ненужными. [57] Некоторые вредоносные установки руткитов имеют коммерческий характер и используют метод компенсации за установку (PPI), типичный для распространения. [58] [59]
После установки руткит принимает активные меры для сокрытия своего присутствия в хост-системе путем подрыва или обхода стандартных инструментов безопасности операционной системы и интерфейса прикладного программирования (API), используемых для диагностики, сканирования и мониторинга. [60] Руткиты достигают этого путем изменения поведения основных частей операционной системы посредством загрузки кода в другие процессы, установки или модификации драйверов или модулей ядра . Методы запутывания включают сокрытие запущенных процессов от механизмов мониторинга системы, а также сокрытие системных файлов и других данных конфигурации. [61] Руткиты нередко отключают возможность регистрации событий операционной системы в попытке скрыть доказательства атаки. Теоретически руткиты могут подорвать любую деятельность операционной системы. [62] «Идеальный руткит» можно рассматривать как аналог « идеального преступления »: совершения которого никто не осознает. Руткиты также принимают ряд мер для обеспечения своей выживаемости против обнаружения и «очистки» антивирусным программным обеспечением в дополнение к обычной установке в кольцо 0 (режим ядра), где они имеют полный доступ к системе. К ним относятся полиморфизм (изменение так, что их «подпись» трудно обнаружить), методы скрытности, регенерация, отключение или отключение антивирусного программного обеспечения [63] и отказ от установки на виртуальные машины , где исследователям может быть легче обнаружить и проанализировать их.
Фундаментальная проблема с обнаружением руткитов заключается в том, что если операционная система была повреждена, особенно руткитом уровня ядра, ей нельзя доверять в обнаружении несанкционированных модификаций самой себя или своих компонентов. [62] Нельзя гарантировать, что такие действия, как запрос списка запущенных процессов или списка файлов в каталоге, будут вести себя должным образом. Другими словами, детекторы руткитов, работающие во время работы в зараженных системах, эффективны только против руткитов, которые имеют некоторые дефекты маскировки или которые работают с более низкими привилегиями пользовательского режима, чем программное обеспечение для обнаружения в ядре. [29] Как и в случае с компьютерными вирусами , обнаружение и устранение руткитов — это постоянная борьба между обеими сторонами этого конфликта. [62] Обнаружение может использовать ряд различных подходов, включая поиск «сигнатур» вирусов (например, антивирусное программное обеспечение), проверку целостности (например, цифровые подписи ), обнаружение на основе различий (сравнение ожидаемых и фактических результатов) и обнаружение по поведению. (например, мониторинг использования ЦП или сетевого трафика).
Для руткитов режима ядра обнаружение значительно сложнее и требует тщательного изучения таблицы системных вызовов для поиска перехватывающих функций , в которых вредоносное ПО может искажать поведение системы, [64] , а также аналитического сканирования памяти на предмет шаблонов, указывающих на скрытые процессы. . Предложения по обнаружению руткитов Unix включают Zeppoo, [65] chkrootkit , rkhunter и OSSEC . Для Windows средства обнаружения включают Microsoft Sysinternals RootkitRevealer , [66] Avast Antivirus , [67] Sophos Anti-Rootkit, [68] F-Secure , [69] Radix, [70] GMER , [71] и WindowsSCOPE . Любые детекторы руткитов, доказавшие свою эффективность, в конечном итоге способствуют их собственной неэффективности, поскольку авторы вредоносных программ адаптируют и тестируют свой код, чтобы избежать обнаружения хорошо используемыми инструментами. [Примечания 1] Обнаружение путем проверки хранилища, когда подозрительная операционная система не работает, может пропустить руткиты, не распознаваемые проверяющим программным обеспечением, поскольку руткит неактивен и подозрительное поведение подавляется; Обычное антивирусное программное обеспечение, работающее с работающим руткитом, может дать сбой, если руткит эффективно скрывает себя.
Лучший и наиболее надежный метод обнаружения руткитов на уровне операционной системы — выключить компьютер, подозреваемый в заражении, а затем проверить его хранилище , загрузившись с альтернативного доверенного носителя (например, «спасательного» компакт-диска или USB-накопителя). ). [72] Этот метод эффективен, поскольку руткит не может активно скрывать свое присутствие, если он не запущен.
Поведенческий подход к обнаружению руткитов пытается сделать вывод о наличии руткита, отслеживая поведение руткита. Например, при профилировании системы различия во времени и частоте вызовов API или в общей загрузке ЦП можно отнести к руткиту. Метод сложен и затруднен большим количеством ложноположительных результатов . Дефектные руткиты иногда могут вносить в систему очень очевидные изменения: руткит Alureon приводил к сбою систем Windows после того, как обновление безопасности выявило конструктивный недостаток в его коде. [73] [74] Журналы анализатора пакетов , брандмауэра или системы предотвращения вторжений могут свидетельствовать о поведении руткитов в сетевой среде. [26]
Антивирусные продукты редко выявляют все вирусы в общедоступных тестах (в зависимости от того, что и в какой степени используется), даже несмотря на то, что поставщики защитного программного обеспечения включают обнаружение руткитов в свои продукты. Если руткит попытается скрыться во время антивирусного сканирования, стелс-детектор может это заметить; если руткит попытается временно выгрузиться из системы, обнаружение сигнатур (или «отпечатков пальцев») все равно сможет его обнаружить. [75] Такой комбинированный подход вынуждает злоумышленников реализовывать механизмы контратаки или «ретро»-процедуры, которые пытаются завершить работу антивирусных программ. Методы обнаружения на основе сигнатур могут быть эффективны против широко опубликованных руткитов, но менее эффективны против специально созданных руткитов с собственными корнями. [62]
Другой метод обнаружения руткитов сравнивает «доверенные» необработанные данные с «испорченным» содержимым, возвращаемым API . Например, двоичные файлы , присутствующие на диске, можно сравнить с их копиями в операционной памяти (в некоторых операционных системах образ в памяти должен быть идентичен образу на диске) или можно сравнить результаты, возвращаемые из файловой системы или API реестра Windows . проверяться на соответствие необработанным структурам на базовых физических дисках [62] [76] — однако в первом случае некоторые действительные различия могут быть внесены механизмами операционной системы, такими как перемещение памяти или шиммирование . Руткит может обнаружить наличие такого сканера на основе различий или виртуальной машины (последняя обычно используется для проведения судебно-медицинской экспертизы) и скорректировать свое поведение так, чтобы никакие различия не могли быть обнаружены. Обнаружение на основе различий использовалось инструментом Руссиновича RootkitRevealer для обнаружения руткита Sony DRM. [1]
Подписание кода использует инфраструктуру открытых ключей для проверки того, был ли файл изменен с момента его цифровой подписи его издателем. В качестве альтернативы владелец или администратор системы может использовать криптографическую хэш-функцию для вычисления «отпечатка пальца» во время установки, который может помочь обнаружить последующие несанкционированные изменения в библиотеках кода на диске. [77] Однако простые схемы проверяют только то, был ли код изменен с момента установки; подрывная деятельность до этого времени не обнаруживается. Отпечаток пальца необходимо восстанавливать каждый раз при внесении изменений в систему: например, после установки обновлений безопасности или пакета обновления . Хэш-функция создает дайджест сообщения — относительно короткий код, вычисляемый на основе каждого бита файла с использованием алгоритма, который создает большие изменения в дайджесте сообщения с еще меньшими изменениями в исходном файле. Пересчитывая и сравнивая дайджесты сообщений установленных файлов через регулярные промежутки времени с доверенным списком дайджестов сообщений, можно обнаруживать и отслеживать изменения в системе — при условии, что исходный базовый уровень был создан до добавления вредоносного ПО.
Более сложные руткиты способны нарушить процесс проверки, представив для проверки немодифицированную копию файла или внося изменения в код только в память, регистры реконфигурации, которые позже сравниваются с белым списком ожидаемых значений. [78] Код, выполняющий операции хэширования, сравнения или расширения, также должен быть защищен — в этом контексте понятие неизменяемого корня доверия предполагает, что самый первый код для измерения свойств безопасности системы сам по себе должен вызывать доверие. чтобы гарантировать, что руткит или буткит не скомпрометируют систему на самом фундаментальном уровне. [79]
Принудительное создание полного дампа виртуальной памяти захватит активный руткит (или дамп ядра в случае руткита режима ядра), что позволит выполнить автономный судебно-медицинский анализ с помощью отладчика на основе полученного файла дампа , при этом руткит не сможет принять любые меры, чтобы замаскировать себя. Этот метод является узкоспециализированным и может потребовать доступа к закрытому исходному коду или символам отладки . Дампы памяти, инициированные операционной системой, не всегда могут быть использованы для обнаружения руткита на базе гипервизора, который способен перехватывать и пресекать попытки чтения памяти на самом низком уровне [6] — аппаратное устройство, например устройство, реализующее не маскируемое прерывание в этом сценарии может потребоваться для сброса памяти. [80] [81] Виртуальные машины также упрощают анализ памяти взломанной машины с помощью базового гипервизора, поэтому по этой причине некоторые руткиты избегают заражения виртуальных машин.
Удаление руткита вручную часто является чрезвычайно сложной задачей для обычного пользователя компьютера, [27] но ряд поставщиков программного обеспечения безопасности предлагают инструменты для автоматического обнаружения и удаления некоторых руткитов, обычно как часть антивирусного пакета . С 2005 года ежемесячное средство удаления вредоносных программ[обновлять] Microsoft для Windows способно обнаруживать и удалять некоторые классы руткитов. [82] [83] Кроме того, автономный Защитник Windows может удалять руткиты, поскольку он запускается из доверенной среды до запуска операционной системы. [84] Некоторые антивирусные сканеры могут обходить API файловой системы , которые уязвимы для манипуляций со стороны руткитов. Вместо этого они напрямую обращаются к необработанным структурам файловой системы и используют эту информацию для проверки результатов системных API, чтобы выявить любые различия, которые могут быть вызваны руткитом. [Примечания 2] [85] [86] [87] [88] Есть специалисты, которые считают, что единственный надежный способ их удаления — это переустановка операционной системы с доверенного носителя. [89] [90] Это связано с тем, что инструменты удаления вирусов и вредоносных программ, работающие в ненадежной системе, могут быть неэффективны против хорошо написанных руткитов режима ядра. Загрузка альтернативной операционной системы с доверенного носителя может позволить смонтировать зараженный системный том и потенциально безопасно очистить его, а также скопировать важные данные или, альтернативно, провести судебно-медицинскую экспертизу. [26] Для этой цели можно использовать облегченные операционные системы, такие как Windows PE , консоль восстановления Windows , среда восстановления Windows , BartPE или Live Distros , что позволяет «очистить» систему. Даже если тип и природа руткита известны, ремонт вручную может оказаться нецелесообразным, а переустановка операционной системы и приложений безопаснее, проще и быстрее. [89]
Усиление защиты системы представляет собой один из первых уровней защиты от руткита, предотвращающий его установку. [91] Применение исправлений безопасности , реализация принципа минимальных привилегий , уменьшение поверхности атаки и установка антивирусного программного обеспечения — вот некоторые стандартные передовые методы обеспечения безопасности, которые эффективны против всех классов вредоносных программ. [92] Новые спецификации безопасной загрузки, такие как UEFI, были разработаны для устранения угрозы буткитов, но даже они уязвимы, если предлагаемые ими функции безопасности не используются. [50] Для серверных систем удаленная аттестация серверов с использованием таких технологий, как технология Intel Trusted Execution (TXT), обеспечивает способ проверки того, что серверы остаются в заведомо исправном состоянии. Например, шифрование хранящихся данных Microsoft Bitlocker проверяет, что при загрузке серверы находятся в известном «хорошем состоянии». PrivateCore vCage — это программное обеспечение, которое защищает используемые данные (память) во избежание буткитов и руткитов путем проверки того, что серверы находятся в известном «хорошем» состоянии при загрузке. Реализация PrivateCore работает совместно с Intel TXT и блокирует интерфейсы серверной системы, чтобы избежать потенциальных буткитов и руткитов.
Другой механизм защиты, называемый Virtual Wall (VTW), представляет собой легкий гипервизор с возможностями обнаружения руткитов и отслеживания событий. В обычном режиме работы (гостевой режим) Linux работает, и когда загруженный ЛКМ нарушает политику безопасности, система переходит в хост-режим. VTW в режиме хоста обнаруживает, отслеживает и классифицирует события руткитов на основе управления доступом к памяти и механизмов внедрения событий. Результаты экспериментов демонстрируют эффективность VTW в своевременном обнаружении и защите от руткитов ядра с минимальной нагрузкой на процессор (менее 2%). VTW выгодно отличается от других схем защиты, подчеркивая его простоту реализации и потенциальный прирост производительности на серверах Linux. [93]
СМИ, связанные с руткитами, на Викискладе?