RutkitRootkit

Opis

Obeležja rutkita su istrajnost i nevidljivost. Napadaču omogućava privilegovan pristup uz prikrivanje malicioznih procesa, fajlova i konekcija od bezbednosnih alata. Što je više ugnežđen, to ga je teže izbaciti: rutkit u firmveru ili boot fazi preživljava i reinstalaciju operativnog sistema, jer obitava u dubljem sloju izvršavanja.

Pošto ne funkcionišu u istom sloju, klasičan antivirus mu je slab protivnik. Može da se detektuje, ali uklanjanje ide dosta teže. Otkriva se poređenjem sa pouzdanom referencom, proverom integriteta boot procesa, ponašanjem sistema koje ne odgovara onome što alati prijavljuju. Kad se posumnja na rutkit, jedino pouzdano čišćenje je hard reset na fabrička podešavanja, a kod težih slučajeva i zamena hardvera.

Primeri

• Sony BMG je 2005. na muzičkim diskovima ostavljao rutkit koji se sam instalirao i krio od korisnika. Uloga mu je bila zaštita od kopiranja, ali je malo trebalo da ga napadači namirišu i iskoriste u maliciozne svrhe.
• LoJax je prvi rutkit u praksi koji se ugnezdio u UEFI firmver — preživeo bi i zamenu diska i reinstalaciju sistema.
• Kernel rutkit krije procese i mrežne konekcije napadača, pa administrator gleda čist sistem dok malver operiše ispod bezbednosnih alata.

Napomene

• Rutkit se od zadnjih vrata razlikuje po tome što aktivno krije svoje prisustvo i radi iz sloja kojem redovna zaštita uglavnom nema pristup.
• Ako je rutkit u firmveru ili boot fazi, reinstalacijom sistema se ništa ne postiže. Ponekad se tek sa zamenom hardvera vraća poverenje u mašinu.