Rootkit (руткит, от
англ.
root kit,
то есть «набор для получения прав root») — программа или
набор программ для скрытого взятия под контроль взломанной системы.Термин
Rootkit исторически пришёл из мира UNIX, и под этим термином понимается
набор утилит или специальный модуль ядра, которые взломщик устанавливает на
взломанной им компьютерной системе после получения первоначального доступа.
Этот набор, как правило, включает в себя разнообразные утилиты для получения
прав суперпользователя root (отсюда и название), для «заметания следов»
вторжения в систему, сниферы, сканеры, регистраторы нажатия клавиатуры или
кейлоггер (от английского keylogger), троянские программы, замещающие
основные утилиты UNIX (в случае неядерного руткита). Rootkit позволяет
взломщику закрепиться во взломанной системе и скрыть следы своей
деятельности путём сокрытия файлов, процессов а также самого присутсвия
руткита в системе. В общем случае существует 3 основных разновидности UNIX
руткитов:
- реализуемые подменой основных системных утилит
- реализованные в виде модуля ядра и основанные на патчинге VFS или
перехвате таблицы системных вызовов (sys_call_table)
- основанные на модификации физической памяти ядра
В системах Windows под
rootkit принято подразумевать программу, которая внедряется в систему и
перехватывает системные функции (Windows
API). Перехват и модификация низкоуровневых API-функций, в первую очередь,
позволяет такой программе достаточно качественно маскировать своё
присутствие в системе. Кроме того, как правило, rootkit может маскировать
присутствие в системе любых описанных в его конфигурации процессов,
каталогов и файлов на диске, ключей в реестре. Многие rootkit устанавливают
в систему свои драйверы и службы (они, естественно, также являются
,,невидимыми").
Лучшая защита от руткитов
– предупредительные меры. Хорошей
мерой защиты является адекватно обновленное антивирусное решение, которое
способно блокировать проникновение большинства руткитов. Межсетевые экраны
также исключительно полезны, так как могут помешать руткитам проникнуть
сквозь незащищенные порты и остановить их активность, если они уже
установились на
компьютер
