Rootkit - wykryj niewykrywalne

Specjaliści, zajmujący się bezpieczeństwem, ostrzegają przed nową generacją szkodliwych programów, tzw. rootkit, które mogą zagrozić komputerom pracującym nie tylko pod kontrolą Windows. Ich siła kryje się w tym, że potrafią ukrywać inne złośliwe oprogramowanie przed antywirusami i narzędziami systemowymi. Przedstawiamy darmowe narzędzie, RootkitRevealer, które pomoże wykryć utajoną wrogą aktywność. Być może Twój skaner antywirusowy nie potrafi sobie poradzić z jakimś robakiem, albo posiadasz groźnego wirusa i nawet o tym nie wiesz! Sprawdź procesy systemowe tak dokładnie, jak się tylko da.
Zagrożenie wynika z faktu, że programy rootkit są praktycznie niewykrywalne przez obecnie stosowane mechanizmy zabezpieczeń. Dotąd obecność szkodliwego kodu udawało się stwierdzać dzięki analizie uruchomionych procesów, monitorowaniu komunikacji z zewnętrznymi systemami oraz śledzeniu instalowanych w systemie programów. W przypadku rootkit to nie wystarczy. Wykorzystują one bowiem zaawansowane mechanizmy modyfikacji rdzenia systemu operacyjnego. Niektóre wersje rootkit mogą przechwytywać, filtrować i modyfikować polecenia systemowe przekazywane do rdzenia systemu lub generowane przez ten rdzeń. W efekcie takie oznaki działania programu jak jego nazwa, uruchomiony proces i wykorzystywana pamięć, a także parametry zapisywane w rejestrze systemu są niewidoczne dla administratora i klasycznych narzędzi antywirusowych.

Program świetnie sobie radzi z popularnymi zagrożeniami rootkitKliknij, aby powiększyćProgram świetnie sobie radzi z popularnymi zagrożeniami rootkitPrzykładem rootkit jest program Hacker Defender, który w Internecie pojawił się rok temu. Zawiera on m.in. mechanizmy szyfrowania transmisji TCP wychodzącej z komputera przez często stosowany port 135. Program nie przerywa transmisji realizowanych przez inne aplikacje, wykorzystując mechanizm nakładania informacji na inne strumienie danych. Na razie brakuje efektywnych, uniwersalnych metod wykrywania i usuwania tego typu szkodliwych kodów.

Według inżynierów Microsoftu, czasami możliwe jest wykrycie rootkit przy wykorzystaniu analizy prowadzonej z innego niezainfekowanego komputera w sieci. Można też spróbować uruchomić komputer z płyty CD zawierającej system Windows PE, a następnie przeprowadzić porównanie parametrów systemów operacyjnych na CD i dysku. Microsoft opracował też narzędzie do detekcji niektórych modułów rootkit - tzw. Strider Ghostbuster. Zobacz więcej http://research.microsoft.com/rootkit/
RootkitRevealer

RootkitRevealer to zaawansowane narzędzie do wykrywania utajonych programów. Program współpracuje z systemami Windows NT 4 i nowszymi. Dzięki monitorowaniu list rejestru oraz systemu plików API może on wykryć niezgodności, które wskazują na obecność w systemie intruzów. Aplikacja wykrywa wszystkie "persistent rootkits" opublikowane na stronie http://www.rootkit.com , włączając w to AFX, Vanquish i wspomnianego wcześniej HackerDefender.

Co to Rootkit?

Terminu "rootkit" używa się do opisu mechanizmów i technik, dzięki którym złośliwe oprogramowanie (włączając w to wirusy, aplikacje szpiegowskie i trojany) może ukryć swoją obecność przed narzędziami naprawczymi - antywirusami, blokowaniem i wykrywaniem szpiegów, narzędziami systemowymi, itp. Istnieje kilka rodzajów rootkit, w zależności od tego, czy są one obecne po ponownym uruchomieniu komputera oraz w jaki sposób rezydują w komputerze (user mode lub kernel mode).

Persistent Rootkits

Uruchamia się za każdym razem, gdy ładuje się system operacyjny. Tak jak złośliwe oprogramowanie zawiera kod, który musi być wykonany przy starcie lub logowaniu. Kod musi być przechowywany w miejscu takim jak rejestr lub system plików i tak jest skonfigurowany, aby uruchamiał się bez ingerencji użytkownika.

Memory-Based Rootkits

Ten rodzaj "rootkit" rezyduje w pamięci operacyjnej komputera. Wystarczy zrestartować komputer, aby się go pozbyć.

User-mode Rootkits

Istnieje wiele metod, dzięki którym rootkit unika wykrycia. Ten konkretny typ może przechwycić wszystkie połączenia Windows FindFirstFile/FindNextFile API, które są używane przez narzędzia systemu plików, włączając w to Eksplorator i linię poleceń do numerowania zawartości folderów systemowych. W efekcie antywirus, zamiast znaleźć na wykazie złośliwy program, odczytuje zmienione wpisy przez rootkit i uznaje, że wszystko jest w porządku.

Kernel-mode Rootkits

Kernel-mode Rootkit jest wyjątkowo niebezpieczny, ponieważ może bezpośrednio zmieniać dane w rdzeniu systemu. Powszechną techniką ukrywania złośliwego oprogramowania jest usunięcie go z listy procesów systemowych.

Więcej informacji na ten temat dostępnych jest na stronie www.rootkit.com

Obsługa

Nie każdy alert stanowi zagrożenie, dlatego należy ostrożnie zmieniać ustawienia i wpisy RejestruKliknij, aby powiększyćNie każdy alert stanowi zagrożenie, dlatego należy ostrożnie zmieniać ustawienia i wpisy RejestruProgram RootkitRevealer dostępny jest w dwóch postaciach: z graficznym interfejsem użytkownika oraz linii poleceń. Obie wersje wymagają zalogowania się w systemie przy użyciu konta administratora (domyślnie). Aby skanować system należy uruchomić program i włączyć przycisk Scan. Wszystkie procesy, które wydają się podejrzane są szczegółowo opisane: ścieżka na dysku lub lokalizacja w rejestrze, czas, rozmiar i status. Nie należy oczywiście interpretować ich jednoznacznie jako rootkit, ponieważ wiele wpisów w rejestrze odmawia do siebie dostępu. Podobnie jest z zabezpieczonymi metadanymi na dysku NTFS, takich jak MFT lub Secure.

Jeżeli ustalimy ponad wszelką wątpliwość, że proces jest niebezpieczny pozostaje nam usunięcie z dysku konkretnej aplikacji lub zmodyfikowanie rejestru. Do tego celu szczególnie polecamy darmowy Registry Workshop.

Należy również pamiętać, że producent aplikacji RootkitRevealer nie udziela żadnych gwaracji związanych ze swoim darmowym oprogramowaniem. Przed jakimikolwiek zmianami należy koniecznie wykonać kopię zapasową rejestru i najważniejszych danych.

Więcej informacji dostępnych jest na stronie producenta.
Tagi: rootkit, Persistent Rootkits, Memory-Based Rootkits, User-mode Rootkits, Kernel-mode Rootkits
Ocena:
Twoja ocena:

Komentarze (26)

raffik

06-12-2011 18:22

napewno szkodzi ale na ile to niewiem i nie moge usunac badziewia

Raffik

06-12-2011 16:44

witam antywirus znalazl mi ROOTKITA ale za cholere nie moge go usunac po operacji usuniecia wlacza sie restart i po chwili znow go znajduje

madziaa18

06-12-2011 17:40

mam to samo...czy to bardzo groźne dla komputera? nie znam się na tym, dlatego wole się upewnić...

Jajo

31-05-2008 19:54

Sorka ze wtrace kilka groszy ale to co przeczytalem (wypowiedz Herektyka) to mnie po prostu rozwalilo. Zrozum idioto ze w informatyce juz od dawien dawna jest podzial na tych dobrych (hackerow) i zlych (crackerow). Hackerzy znajduja dziury w systemach po to zeby pomagac je naprawiac a crackerzy wykorzystuja owe dziury do swoich atakow (w celu przechwycenia przeroznych kont [w tym bankowych] itp.). Co do Linux-a to gowno wiecie zabezpieczenia ma lepsze co jest prawda ale obsluguje tez znacznie wieksza ilosc programow (dla niewtajemniczonych wirus to tez program). Wiec nie da sie powiedziec co bedzie bezpieczniejsze. Najlepiej korzystac z zapor,antyvirow,aktualizacji,programow wykrywajacych spam i programow wykrywajacych przestawione w tym artykule rootkity a wasze bezpieczenstwo w sieci bedzie naprawde minimalne.

Nie lubie wirusów.

11-02-2007 14:13

Mam dziwnego wirusa. Do kazdego dokumentu HTML w kodzie tego dokumentu dopisuje byle jakie znaki. Antywirus nie wykrywa tego, wiec to chyba rootkit.

ehhh

09-02-2007 14:51

drogie zj*by nie pier****** o linuksie bo artykuł jest o rootkitach w syst. windows NT/XP!!!!! Mam jakiegoś rootkita, i tak: - aktywny skaner antywirusowy nic nie wykrył w pliku który uruchomiłem - wirus (rootkit?) wyłączył antywirusa i usunął mu pliki - nie pozwala zainstalować żadnego programu antywirusowego... Chyba jedyną metodą pozbycia się tego g**** będzie format :/

jacobs

28-10-2006 13:50

Nie rozumiem po co to ten reveler rootkit. Przecież jeśli we flashu biosa zagnieździ sie busy np. to żaden czyściciel go nie wykryje wtedy format nie pomóze tylko płyta główna do wymiany. Po winda mam easy cleanera i nie narzekam.

kto¶

16-01-2006 22:45

dobre, linux jast mało elstyczny ;P Ci, którzy siedzą w linuksie twierdza, że jest dużo bardziej konfigurowalny niż winda. Pozostaje wierzyć im na słowo, albo sprawdić samemu. A programów bez wad nie ma i nie będzie. Są tlyko takie, które jest łatwiej i tródniej shackować, oraz bardziej i mniej popularne. Patrząc z punktu widzenia hackera- nie opłaca się pisac wirusów pod linuxa, bo mało ludzi z niego kożysta. Jak bym pisał wirusa, to wolałbym zainfekowac 1000 komputerów, niż 1. Poza tmy jak coś jest nietypowe, to nie wiadomo czego się po tym spodziewać. Linuxów jest od huja i trochę, a każdy może mieć swoją wersję jaja. A w przypadku progsów ukrywających się w systemie wystarzczy zmienić 1 linijkę w jaju, żeby program zdechł. Tylko trzeba wiedziec, gdzie. ps: doskonałych proramów nie ma i nie będzie

netcon

21-12-2005 13:49

tak, uzylem tego softu, odlanazl kilka "podejrzanych" wpisow do rejestru, ale ta akurat byly OK, czyli poprawne. Ale u znajomego dorwalem chyba rootkita, skubany, przy skanowaniu jego dysku podlaczonego jako drugi do mojego kompa (Norton AV) nie wykryl nic , owszem powywalal kilka robakow i koniec. Ale przy starcie systemu z JEGO DYSKU - wirusek sie uaktywnia, czyli moze to byc tzw. Persistent rootkit. skubany musi sie odpalac razem z jakims procesem systemowym, na dysku wtedy pojawia sie pliczek identyfikowany jednoznacznie jsko wirus, ale z racji tego ze jest to odpalane jako proces systemowy - nie mozna go usunac, a procesu nie da sie zabic. Tak samo dzieje sie przy uruchamianiu Windy w trybie awaryjnym. Bede to sprawdzal Rootkit Revealerem, bo tak naprawde nie jhestem w stanie dojsc gdzie wirusek siedzi, podejrzewam ze podmienil jakis prik systemowy, ktory oprocz tego ze nadal wykonuje swoje standardowe zadania, to jeszcze wykonuje dodatkowe procesy, okreslone przez autora wiruska. A ja knie da rady - to tylko format c: ;-((((

jaro

08-11-2005 16:48

A może ktoś mądry powie czy są programy do wykrywania rootkitów w windows 98se bo się z takimi programami nie spotkałem a może windows 98 se ich nie posiada bo te proramy przedstawiane nie są pod win 98 se

microust

02-03-2005 08:57

a tak poz tym kto glupszy, kto mniej lamer, winda czy lin. uzyl ktos tego softu - bo z Waszych komentarzy nie bardzo wynika cos konstruktywnego.

cham i prostak

01-03-2005 21:36

Kot_cośtam, a kto niby twierdzi że windowsy są bez wad? I wyp***** z tym swoim blogiem. Jak chcesz go reklamować, to dodaj do katalogu stron PCWORLDa. Bossot - to, że niektóre aplikacje są bez wad to nie tylko wynik dużych nakładów finansowych, ale też małej elastyczności. One nie muszą obsługiwać sprzętu, ani być "przyjazne" w obsłudze. Gdyby linux był tak popularny jak winzgroza, to musiałby być bardziej elastyczny i prostszy, a to by pociągnęło za sobą większą liczbę dziur.

Kot_Tip_Top

01-03-2005 18:50

HEHE, NO TAK, WINLAMY JUŻ OD DAWNA NIE MAJOM ARGUMENTÓW, WIĘC TWIERDZĄ, ŻE WINDOWS JEST BEZ WAD, A JEST KRYTYKOWANY, BO TAK JEST COOL- LOL!!! INFO DLA WAS: WINDOWS TO SZAJS, SZCZELNY JAK SITO, ISTNA KARMA DLA INTERNETOWYCH ROBALI. W PRZYSZŁOŚCI TYLKO LINUKS BĘDZIE SIĘ LICZYŁ, SMUTNE, ALE PRAWDA. >>KOTTIPTOP.BLOGSPOT.COM<<<

Shrek

01-03-2005 11:46

mój przedmówca dobrze prawi... Niestety jest ogólna moda: all krytyje - ja też - jestem cooll ( a później po cichu pytanie, a o czym my właściwie rozmiawiamy ??? (takie pytanie postawi tylko 10% coolowców - ta mądrzejsza część)... Może to i dobrze bo jakby nie było tych pseudoinformatyków połowa nas przeszłaby na bezrobocie, a tak pracy jest zawsze do bólu ;)................. Niom a teram można mi juz nawtykać

bossot

01-03-2005 11:15

w linuksie są błedy jak najbardziej ale jest ich po prostu mniej, a te krytyczne (nie każdy bład oznacza od razu zwis/możliwość włamania sie do kompa) są dużo szybciej łatane, najpózniej pare dni po ukazaniu sie informacji o bugu a w przypadku windows jest to pare(naście albo i dziesiąt) miesęcy co daje twórcom wirósów mase czasu..... ale przejdzmy do rzeczy jądro linuksa zostało przebadane pod wzgledem błedów i wyszlo że na tysiąc lini kodu przypada 5x mniej błedów niż w oprogramowaniu komercyjnym (przy czym chodzi to o te wersje co są w sklepie do kupienia a nie żadne bety czy inne testowe) windowsa niestety nieudało sie przebadać (a szkoda było by ciekawe porównanie). wiec niech wszystkie koty i inne oszołomy wbiją sobie do tych pustych głów ze każdy bardziej skomplikowany program (a system operacyjny jest nawet bardzo skomplikowanym programem) zawiera błedy i bezpieczenstwo zależy glównie od ich ilości oraz czasu łatania. są oczywiscie wyjątki niemal pozbawione błedów ale są to specialistyczne programy kosztujący przynajmiej 10x tyle co komputer na którym je odpalono i stosowane np w sprzecie ratującym życie albo elektkrowniach atomowych do sterowania reaktorami...... ogólnie wszedzie tam gdzie niezawodnośc i działanie "chocby sie paliło i waliło" są ważniejsze od kosztów. zresztą w takich zastosowaniach nie wykorzystuje sie windows ani linuksa tylko systemy czasu rzeczywistego np qnx.

Heretyk

01-03-2005 08:30

User: g**** wiesz a gadasz...nie ma podziału kto się skąd wywodzi...a jeśli już, to napewno nie z linuxa, tylko unixa, ale ty pewnie powiesz, że to jest to samo...i kto Ci powiedział, że hackerzy nie atakuja linuxów - oczywiście, że atakują, tylko jest znacznie mniej udanych prób...i jacy crackerzy baranie ? może phreakerzy, hahaha.... komentarz edytowany przez moderatora

user

01-03-2005 08:18

Linux ma to do siebie że nikt nie chce włamywać się do niego,bo crackerzy atakują windowsa, a nie linuxa, z którego się najczęściej sami wywodzą - można się z tym zgadzać lub nie, ale to prawda

Zdihu Hemracek

28-02-2005 23:47

Coś tu śmierdzi.

PanAntoni/Cybersamce

28-02-2005 23:45

Wszyscy ponizej macie ultra niska znajomosc dzialania systemow operacyjnych. Tym bardziej tych ktorych uzywacie. Posze wiec skonczcie ta 'dyskusje', gdyz jedyne co w tej chwili robicie to sie osmieszacie.

BNowak

28-02-2005 23:03

Czy zrozumienie tego artykułu przekracza możliwości linux-owego Kota, a do tego jeszcze Tip-topa?

Kot_Tip_Top

28-02-2005 22:38

@CHAM I PROSTAK: TAK, TAK, CO I RAZ SIĘ SŁYSZY O KOLEJNYM ROBAKU WYKORZYSTUJĄCYM JEDNĄ Z NIEZLICZONYCH DZIUR LINUXA... A NIE, TO O WINDOWSIE. JAKOŚ TE "TYLE SAMO DZIUR" W ŻADEN REALNY SPOSÓB NIE PRZEKŁADA SIE NA POWSTAWANIE ZAGROŻEŃ DLA ZWYKŁYCH USERÓW. A KWESTIE TWOJEJ SŁABEJ WYOBRAŹNI TO JUŻ NIE MÓJ PROBLEM. >>KOTTIPTOP.BLOGSPOT.COM<<<

cham i prostak

28-02-2005 22:31

Kot_Tip_Top - przerzucam się na linuxa i co dalej? A dalej same problemy. Zwłaszcza, że na linuxa znajdują tyle samo dziur co na windowsa, a szczerze wątpię, że instalacja łatek odbywa się w tak samo prosty i przyjemny sposób jak w windowsie. Jeżeli ktoś znający się na rzeczy będzie próbował włamać się na mój system, to nie ma różnicy czy będę używał windowsa, linuxa, beosa czy czegokolwiek, bo i tak zrobi swoje. Potwierdzenie moich słów jest w powyższym artykule. Skończ już te żenujące próby udowodnienia wyższości linuxa nad windowsem, bo pomimo iż ten pierwszy jest niezaprzeczalnie lepszy, to nie wyobrażam sobie np. grafika który by musiał pracować w Gimpie i zapomnieć o PaintShopie czy Photoshopie...

Daniel K.

28-02-2005 19:37

Zapominasz że przed sporą częśćą virusów można sie uchronić łatając Windows używając antyvira i zapory ogniowej więc w ostatecznie jak ktoś chce to może żyć w miare spokojnie. Jesli czytałeś choćby wstęp tego artykułu to powinieneś się zorientować że przed virusami opisanymi w tym artykule nie uratujesz się nawet używając Linuksa więc niewiele da zmiana systemu. Takie virusy i tak cię dorwą.:-)

pb2004

28-02-2005 19:03

Co ma rootkit do bezpieczeństwa Windows. Przecież rootkity były i są także w systemax Unix i podobnych. Zresztą wystarczy wpisać w google linux rootkit i dużo tego znajduje. Sama nazwa rootkit też nie pochodzi z systemów Windows.

Zybeks

28-02-2005 18:24

Ty tak masz, czy to tylko choroba przejsciowa ?

Kot_Tip_Top

28-02-2005 17:15

I DLA ODMIANY WIADOMOŚĆ O DZIURZE W WINDOWS. WINDA TO EWENEMENT W SKALI ŚWIATOWEJ- LICZBA WIRUSÓW, TROJANÓW I ROBALI JEST 100 RAZY WIĘKSZA NIŻ PROGRAMÓW I GIER NA TE PLATFORME. CZY JESZCZE KTOŚ MA WĄTPLIWOŚCI, ŻE CZAS PRZEŻUCIĆ SIĘ NA LINUXA?

Polecane

Kariera w IT 2012

Kariera w IT 2012
Uczelnie, rynek pracy, rekrutacja, pracodawcy, rozwój zawodowy - czyli wszystko, co chcielibyście wiedzieć o pracy specjalistów IT w Polsce. Piszemy jakie uczelnie wybrać, dlaczego warto studiować informatykę i kierunki techniczne, jak wygląda proces rekrutacji i jak dobrze wypaść przed pracodawcą, opisujemy pracodawców - firmy IT - i możliwe ścieżki kariery.

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »