Marta Janus
Analityk zagrożeń, Kaspersky Lab Polska

Kto z Internautów nie słyszał choć raz groźnie brzmiącej nazwy: rootkit? Chociaż ma ona dość długą tradycję, w kulturze masowej zaczęła się pojawiać w połowie roku 2005. Wcześniej można się było z nią spotkać jedynie w środowiskach ściśle technicznych, zazwyczaj związanych z systemami opartymi o platformę Unix, później natomiast z roku na rok była coraz bardziej popularna, aby w końcu stać się jednym z kluczowych słów związanych z branżą antywirusową.

Czym więc jest rootkit? Najprościej rzecz ujmując, rootkit to program potrafiący ukrywać pewne elementy istniejące na dysku (np. pliki, foldery) oraz działające w systemie operacyjnym (np. procesy, usługi) przed użytkownikiem i administratorem. Mogłoby się zdawać, że to nic takiego, że istnieją poważniejsze zagrożenia: te, które szpiegują nasze działania, wykradają cenne dane, rozsyłają spam bądź budują botnety. I po części słusznie - rootkit sam w sobie nie przejawia wielkiej szkodliwości. Jednak trzeba wiedzieć, że rootkit jest tylko narzędziem, techniką stosowaną do ukrywania śladów ataku bądź zwiększenia skuteczności innych złośliwych programów - i że jako takie narzędzie jest on z pewnością zarówno bardzo potężny jak i niebezpieczny.

Pierwsze rootkity pojawiły się niemal 20 lat temu i były przeznaczone dla platformy Unix. Miały one postać paczek narzędzi (kit), które pomagały atakującemu w uzyskaniu i utrzymaniu praw administratora (root) w systemie. Początkowo były to programy niezwykle rzadkie, pisane na potrzeby konkretnego przypadku włamania lub po prostu w celu wykazania słabości którejś z technik zabezpieczeń. Pod koniec lat 90-tych zaczęły powstawać koncepcje ukrywania plików i procesów na platformie Windows, które kilka lat później zostały zaadaptowane przez twórców szkodliwego oprogramowania.

Obecnie słowo "rootkit" - w większości przypadków kojarzone już z systemami z Redmond - ma ścisły związek ze współczesnym krajobrazem zagrożeń. Można nawet powiedzieć, że stosowanie technik rootkita jest jednym z najsilniejszych trendów w rozwoju szkodliwego oprogramowania. Rootkity pojawiają się zazwyczaj w postaci modułów, stanowiących część większej całości i mają na celu ukrywanie działań właściwego szkodnika na komputerze ofiary. Szkodnikiem, jakiego chronią, może być zarówno wykradający dane program szpiegowski, jak i pozwalający na zdalną kontrolę backdoor, czy rozsyłający spam robak internetowy. Nie ma tu reguły - każdy twórca malware'u może zastosować odpowiednie techniki, aby ukryć swój program w systemie ofiary tak długo, jak to tylko możliwe. Im dłużej działa szkodliwa aplikacja, tym więcej korzyści odnosi cyberprzestępca.

Jak dostrzec niewidoczne?

Oto jest pytanie ;) Współczesny rootkit tak sprytnie modyfikuje wewnętrzne struktury systemu operacyjnego, że cały system i wszystkie podawane przez niego dane stają się niegodne zaufania. Mówiąc prościej: gołym okiem nie można dostrzec elementów ukrywanych przez rootkita. Nawet doświadczony administrator systemu, bez zastosowania specjalnych technik i narzędzi, nie będzie w stanie zweryfikować istnienia ukrytego w ten sposób procesu czy pliku. Po udanej instalacji rootkita w systemie, jest on niezmiernie ciężki do wykrycia przez zwykłego użytkownika, najlepszym więc, co można zrobić, jest zapobiec infekcji rootkitem :) Do infekcji takiej zazwyczaj dochodzi w sposób podobny, jak to się dzieje w przypadku każdego innego złośliwego oprogramowania, więc najpopularniejsze zasady bezpieczeństwa, takie jak regularne aktualizacje i stosowanie kompleksowej ochrony antywirusowej będą tu podstawą.

Co jednak, jeśli rootkit już działa w systemie? Na szczęście większość współczesnych aplikacji antywirusowych posiada odpowiednie moduły, które są w stanie wykrywać i usuwać tego typu zagrożenia. Istnieje również wiele darmowych narzędzi, które mają zróżnicowane możliwości, a swoją skuteczność osiągają dzięki temu, że są ukierunkowane wyłącznie na walkę z rootkitami. Duży wybór takich programów można znaleźć na przykład na stronie http://antirootkit.com.

Nie należy się jednak sugerować ilością oferowanych rozwiązań. Techniki, jakie stosują rootkity stają coraz bardziej wyrafinowane, a twórcy szkodliwego oprogramowania wręcz prześcigają się w pomysłach ze specjalistami z branży bezpieczeństwa. Nowe rootkity mają tę przewagę, że mogą działać niepostrzeżenie, aż do momentu, w którym po raz pierwszy zostaną wykryte. Dlatego zdecydowanie lepiej jest zapobiegać, niż leczyć. Zresztą ta zasada nie odnosi się jedynie do rootkitów...

źródło: wiruspc.pl