ما هو RootkitRevealer: كيف يعمل، وكيفية استخدامه، وعلامات Rootkits

إنفورماتيك ديجيتال » أمن » ما هو RootkitRevealer: كيف يعمل، وكيفية استخدامه، وعلامات Rootkits

يُعد RootkitRevealer أحد تلك الأدوات الأسطورية التي يجب على كل محترف في نظام التشغيل Windows معرفتها؛ فقد تم إنشاؤه بواسطة فريق Sysinternals بقيادة مارك روسينوفيتش، وعلى الرغم من ظهوره منذ سنوات، إلا أنه لا يزال مرجعًا لفهم كيفية اكتشاف التناقضات التي تسببها برامج التجسس بين ما يعرضه النظام وما هو موجود بالفعل على القرص.

بخلاف الماسحات الضوئية الأخرى، لا يبحث هذا البرنامج عن التوقيعات أو الأنماط، بل يقارن عرضًا عالي المستوى لواجهة برمجة تطبيقات ويندوز مع قراءة خامة ومنخفضة المستوى للقرص وسجل النظام. تكشف هذه الفكرة البسيطة ظاهريًا عن محاولات البرامج الضارة لإخفاء الملفات أو المفاتيح أو القيم من خلال التلاعب باستدعاءات النظام.

ما هو RootkitRevealer وما هي الأنظمة التي يعمل عليها؟

هذه أداة متقدمة للكشف عن علامات برامج التجسس الخفية (rootkits) في كل من وضع المستخدم ووضع النواة . طُوّرت في الأصل لنظامي التشغيل ويندوز إكس بي وويندوز سيرفر 2003 (32 بت)، وهي تُعرض عادةً على أنها مجانية، باللغة الإنجليزية، وحجمها حوالي 231 كيلوبايت؛ كما أشارت العديد من قوائمها إلى توافقها مع أنظمة ويندوز إن تي/2000/إكس بي/فيستا في ذلك الوقت.

بمرور الوقت، تم التخلص من إصدار سطر الأوامر الخاص به لأن بعض مؤلفي البرامج الضارة بدأوا في مراقبة اسم الملف التنفيذي؛ لتجنب ذلك، يتم تشغيل البرنامج كخدمة من نسخة تحمل اسمًا عشوائيًا من نفسه، مما يجعل اكتشافه بالاسم أكثر صعوبة ويعقد توفير واجهة سطر أوامر بنسبة 100٪.

ما هو الروتكت؟ المفاهيم الأساسية

يشير مصطلح "روتكيت" إلى التقنيات والآليات التي تسمح للبرامج الضارة (الفيروسات، وأحصنة طروادة، وبرامج التجسس، وما إلى ذلك) بالاختباء من المستخدم وأدوات الأمان . وتُصنّف هذه البرامج إلى عدة أنواع: البرامج المستمرة (التي تبقى بعد إعادة تشغيل الجهاز)، والبرامج المقيمة في الذاكرة (التي تختفي عند إعادة التشغيل)، وبرامج وضع المستخدم، وبرامج وضع النواة، بالإضافة إلى أنواع أخرى حديثة.

يمكن لبرنامج خبيث يعمل في وضع المستخدم اعتراض وظائف مثل FindFirstFile/FindNextFile، أو أدوات تعداد النظام الأصلية، لتصفية الإدخالات التي قد تكشف عن ملفاته أو عملياته أو مفاتيح التسجيل التي قام بتعديلها . وهذا يمنع مستكشف الملفات أو موجه الأوامر أو محررات التسجيل من رؤية ما هو موجود فعليًا.

تتجاوز برامج التجسس التي تعمل في وضع النواة ذلك: فبالإضافة إلى اعتراض واجهة برمجة التطبيقات الأصلية، يمكنها التلاعب مباشرة بهياكل النواة، على سبيل المثال عن طريق إزالة عمليتها من قائمة العمليات النشطة بحيث لا تظهر في إدارة المهام أو مستكشف العمليات على الرغم من أنها قيد التشغيل.

توجد أنواع مختلفة من برامج الإقلاع، منها الهجينة (التي تعتمد جزئيًا على المستخدم وجزئيًا على النواة)، والبرامج الثابتة (التي تجمع بين BIOS/UEFI ومكونات أخرى)، وبرامج الإقلاع (التي تعتمد على سجل التمهيد الرئيسي/UEFI)، والبرامج الافتراضية (التي تضع نظام التشغيل الفعلي داخل جهاز افتراضي)، وبرامج الإقلاع القائمة على الذاكرة (غير الدائمة). ويُعدّ النوع الأخير صعبًا للغاية، بينما تبقى البرامج الثابتة وبرامج الإقلاع حتى بعد إعادة تثبيت نظام التشغيل بشكل كامل.

كيف يعمل RootkitRevealer

يُقارن برنامج RKR بين لقطتين: نظرة عامة على واجهة برمجة تطبيقات ويندوز، وقراءة أولية منخفضة المستوى لملفات شجرة فرعية من وحدة التخزين والسجل (الخلايا). إذا عبث برنامج خبيث (روتكيت) بالاستدعاءات عالية المستوى لإخفاء شيء ما، فسيتم كشف هذا التغيير لأن ما هو موجود على القرص وفي السجل لا يتطابق مع ما تُشير إليه واجهة برمجة التطبيقات، مما يُولّد اختلافات قابلة للتشخيص.

نظريًا، يمكن لبرنامج خبيث من نوع "روتكيت" أن يحاول التخفي عن برنامج "روتكيت ريفيلر" عن طريق اعتراض قراءاته الأولية وإعادة كتابة البيانات أثناء التشغيل. ولتحقيق ذلك، يحتاج إلى معرفة دقيقة بأنظمة الملفات NTFS وFAT وسجل النظام، وأن يكون قادرًا على تعديل البنى دون التسبب في تناقضات أو آثار جانبية واضحة - وهو إنجاز تقني بالغ التعقيد نادرًا ما يُشاهد. ومع ذلك، لا يوجد "كاشف عالمي" معصوم من الخطأ: فحتى عملية الإقلاع من بيئة خارجية (على سبيل المثال، باستخدام أفضل توزيعات لينكس ) يمكن تخريبها بواسطة أدوات متطورة ومستمرة . عمليًا، يُعدّ الجمع بين التحليل الفوري والتحقق غير المتصل بالإنترنت في بيئات موثوقة هو النهج الأمثل.

المتطلبات والممارسات الجيدة والتنفيذ

لإجراء هذا الفحص، يحتاج الحساب إلى صلاحيات "نسخ الملفات والمجلدات احتياطيًا" و"تحميل برامج التشغيل" و"صيانة وحدة التخزين" (وهي صلاحيات تُمنح افتراضيًا للمسؤولين في نظام التشغيل Windows XP والإصدارات الأحدث). ولتقليل النتائج الإيجابية الخاطئة، يُنصح بإجراء الفحص عندما يكون النظام في وضع السكون ودون تشغيل أي تطبيقات.

في التشغيل اليدوي، ما عليك سوى الضغط على زر الفحص. أثناء العملية، سيُقدّم البرنامج تحديثات عن التقدم المُحرز ويُدرج أي اختلافات. هناك خياران مهمان: "إخفاء ملفات بيانات تعريف NTFS" (مُفعّل افتراضيًا، لتجنب عرض بيانات التعريف القياسية المخفية بواسطة NTFS) و"فحص السجل" (مُفعّل افتراضيًا؛ إلغاء تحديده سيتخطى فحص سجل ويندوز ).

بالنسبة للأتمتة، فهو يدعم المعلمات التي تسمح لك بالبدء وتسجيل الدخول والخروج دون تدخل: rootkitrevealer outputfile]. الخيار -a يبدأ وينتهي تلقائيًا؛ -c إخراج النتيجة بصيغة CSV؛ -m يعرض بيانات تعريف NTFS؛ و -r يعطل فحص السجل. يجب أن يكون ملف الإخراج بتنسيق حجم محلي يمكن الوصول إليه.

التنفيذ عن بُعد ممكن باستخدام PsExec. على سبيل المثال: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log. مع -cلا يتم عرض التقدم ويتم طباعة التناقضات في ملف CSV، مما يجعل الاستيراد أسهل في قواعد البيانات أو البرامج النصية.

تفسير النتائج والتناقضات النموذجية

تُعدّ حالات عدم وضوح البيانات عند إخفاء ملفات نظام الملفات (NTFS) من واجهة برمجة تطبيقات ويندوز (Windows API) الأكثر شيوعًا عندما يقوم برنامج خبيث بإخفاء بعض الملفات. إذا لم تُفعّل عرض بيانات تعريف نظام الملفات NTFS، فستلاحظ اختلافات لأن NTFS يُخفي ملفاته الداخلية، مثل $MFT أو $Secure ، عن واجهة برمجة التطبيقات . كما تقوم بعض برامج مكافحة الفيروسات بتخزين البيانات في مسارات بديلة وإخفائها، مما يؤدي إلى ظهور أخطاء مماثلة.

هذه بعض البيانات الوصفية القياسية المحددة في NTFS (Windows Server 2003): $AttrDef، $BadClus، $BadClus:$Bad، $BitMap، $Boot، $LogFile، $Mft، $MftMirr، $Secure، $UpCase، $Volume، $Extend، $Extend\$Reparse، $Extend\$ObjId، $Extend\$UsnJrnl، $Extend\$UsnJrnl:$Max، $Extend\$Quota.

يربط برنامج RKR ثلاثة مصادر في نظام الملفات: واجهة برمجة تطبيقات ويندوز (Windows API)، وجدول الملفات الرئيسي (MFT)، وفهارس الدليل على القرص. وقد تظهر حالات مثل "مرئي في واجهة برمجة التطبيقات ولكنه غير مرئي في الفهرس أو جدول الملفات الرئيسي"، أو "مرئي في جدول الملفات الرئيسي ولكنه غير مرئي في واجهة برمجة التطبيقات"، وما إلى ذلك، خاصةً إذا تم إنشاء ملف أو حذفه أثناء التحليل، مما ينتج عنه فترة من عدم الاتساق المؤقت.

مثال على الإنشاء أثناء المسح: C:\newfile.txt، بحجم 8 بايت، مع رسالة "مرئية في واجهة برمجة التطبيقات، ولكن ليس في الفهرس أو MFT". لا تشير هذه الحالات بالضرورة إلى برامج روتكيت، بل إلى التغييرات المتزامنة أثناء فحصه.

إذا ظهرت عبارة "تم رفض الوصول"، فهناك خطأ ما: يستخدم RootkitRevealer آليات للوصول إلى أي ملف أو دليل أو مفتاح، لذلك لا ينبغي أن تظهر هذه الرسالة في ظل ظروف التشغيل العادية.

يوجد في سجل النظام عدة اختلافات جديرة بالاهتمام: "طول واجهة برمجة تطبيقات ويندوز غير متوافق مع البيانات الأولية" (محاولة محتملة لإخفاء المحتوى الفعلي)، و"عدم تطابق النوع" (على سبيل المثال، يتم الإعلان عن REG_SZ بينما يجب أن يكون REG_BINARY)، و"اسم المفتاح يحتوي على قيم NULL مضمنة" (تقنية معروفة تستغل الفرق بين السلاسل النصية المنتهية بـ NULL والسلاسل النصية التي تحتوي على عدد). في هذه الحالة الأخيرة، تساعد أداة RegDelNull من Sysinternals في تنظيف المفاتيح التي تحتوي على قيم NULL مضمنة.

يمكن أن يحدث "عدم تطابق البيانات" إذا تغيرت القيمة أثناء الفحص (على سبيل المثال، أوقات تشغيل SQL Server مثل HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). يجب عليك التحقق من أن القيمة تنتمي إلى المكونات المشروعة التي تقوم بتحديث البيانات في الوقت الحقيقي.

كان مثال HackerDefender rootkit مثالاً توضيحياً: كانت خدماته وبرامج تشغيله غير مرئية لواجهة برمجة تطبيقات Windows، ولكنها كانت موجودة في القراءة الخام لـ Registry hive؛ وينطبق الشيء نفسه على ملفاته، والتي اكتشفها التحليل المباشر لنظام الملفات على القرص.

الأخطاء والمشاكل الشائعة مع rootkitrevealer.exe في بيئات الطب الشرعي

تُدرج بعض أدوات التحليل الجنائي (مثل WinTaylor) الأخطاء الشائعة المتعلقة بـ rootkitrevealer.exe ، مثل: "ليس تطبيق Win32 صالحًا"، أو "غير موجود"، أو "خطأ في التطبيق"، أو "مشكلة في بدء التشغيل". عادةً ما تظهر هذه الرسائل أثناء تثبيت النظام أو بدء تشغيله أو إيقاف تشغيله، أو بسبب تعارضات مع تطبيقات أخرى موجودة في النظام.

تشمل الأسباب الأكثر شيوعًا الملفات التالفة أو المفقودة، وإدخالات سجل النظام غير الصالحة، والإصابة بالبرامج الضارة، وعمليات إلغاء التثبيت غير المكتملة، أو التعارضات مع برامج أخرى. قد يكون السبب إدخالًا تالفًا في سجل النظام، أو حذفًا عرضيًا بواسطة أداة أخرى، أو فشلًا في التنزيل، أو إصابة سابقة أدت إلى تغيير الملف التنفيذي.

كفضول للمخزون، توثق بعض القوائم الملف القابل للتنفيذ بحجم تقريبي يبلغ 334.720 بايت و التجزئات مثل SHA‑1 وMD5 (على سبيل المثال SHA‑1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59، MD5 ee738fe9bcdd605821002cec8c7206db) و CRC32 98b1af0b؛ كما أنها تشير إلى الإصدار 2.1 في تطبيق الحاوية الخاص به وفئة "مجموعة أدوات الطب الشرعي/نظام التشغيل".

طرق الكشف عن الجذور الخفية والاستجابة لها

لا يُعدّ اكتشاف برامج التجسس الخبيثة (Rootkit) أمرًا سهلاً دائمًا. فإلى جانب الأدوات المتخصصة، تُستخدم تقنياتٌ عديدة لتحديد الوحدات البرمجية المشبوهة ، مثل تحليل توقيعات التهديدات المعروفة، والمقارنة الباردة للهياكل، والبحث في الذاكرة عن نقاط الضعف والتعديلات، ومراجعة ملفات تفريغ الذاكرة بعد الأعطال . كما يُعتمد عادةً على أنظمة منع الاختراق (IPS) لحماية الشبكة والحدّ من مصادر العدوى.

تتضمن الأدوات المتخصصة GMER (لاكتشاف العمليات المخفية وتعديلات النواة)، وKaspersky TDSSKiller (خاصةً لاكتشاف برامج التجسس التي تُشغّل النظام وبرامج التجسس التي تُثبّت النواة)، وMalwarebytes Anti-Rootkit، وMicrosoft Defender Offline (للفحص قبل بدء تشغيل Windows)، وRogueKiller. يُقلّل تشغيل هذه الأدوات من قرص USB قابل للتشغيل موثوق به أو في الوضع الآمن من مساحة الهجوم.

بالنسبة لتهديدات التمهيد أو البرامج الثابتة، يُنصح باستخدام وسائط الإنقاذ مثل Kaspersky Rescue Disk، واستعادة MBR باستخدام bootrec /fixmbr عند الاقتضاء وفي الحالات الشديدة، قم بتحديث/تحديث BIOS/UEFI إلى إصدار نظيف من الشركة المصنعة للقضاء على استمرارية منخفضة المستوى.

تُعدّ المراقبة باستخدام أدوات Sysinternals بالغة الأهمية: فبرنامج مراقبة العمليات (ProcMon) يُستخدم لمراقبة نشاط العمليات والملفات، وبرنامج التشغيل التلقائي (Autoruns) للتحقق من البرامج التي يتم تحميلها عند بدء التشغيل، وبرنامج RootkitRevealer للكشف عن التناقضات على المستويين العالي والمنخفض. كما يمكن لمنصات إدارة معلومات الأمان والأحداث (SIEM) مثل Wazuh، بالإضافة إلى بيانات القياس عن بُعد في بيئات المؤسسات، الكشف عن سلوكيات الشبكة غير المتوقعة أو التغييرات في سلامة النظام.

في حالة تأكيد الإصابة، يكون التسلسل المعقول هو: فصل الجهاز عن الشبكة، والفحص من بيئة خارجية، وتقييم سلامة التمهيد/البرامج الثابتة، وإذا لم تكن هناك ضمانات، فقم بعمل نسخة احتياطية من البيانات، وتنظيف القرص بالكامل (باستخدام أدوات مثل DBAN) وإعادة التثبيت من وسائط تم التحقق منها، ثم تمكين إجراءات مثل التمهيد الآمن وTPM.

الوقاية: حماية معقولة ضد برامج الروتكت

الوقاية هي الأساس. حافظ على تحديث نظامك، وقم بتطبيق التصحيحات على برامج الطرف الثالث، وتجنب الملفات التنفيذية من مصادر مشبوهة، ولا تستخدم برامج كسر الحماية أو مولدات المفاتيح: فهي وسيلة مفضلة لتغليف برامج التجسس الخبيثة.

عطّل خاصية التشغيل التلقائي لبرامج USB، وافحص محركات الأقراص الخارجية قبل فتحها، وفي بيئات المؤسسات، حدّد أو احظر المنافذ، وفعّل جدران الحماية عند الحاجة. استخدم حسابات المستخدمين غير المصرح لهم، وطبّق مبدأ أقل الصلاحيات، واطلب بيانات اعتماد المسؤول لإجراء التغييرات الهامة، مما يقلل من احتمالية حدوث تصعيدات خفية.

على الأجهزة المتوافقة، فعّل خاصية التمهيد الآمن ووحدة TPM من خلال واجهة UEFI لحماية سلسلة التمهيد وتأمين المفاتيح. حافظ على نسخ احتياطية منتظمة غير متصلة بالإنترنت أو غير قابلة للتغيير، واستخدم اللقطات/نقاط الاستعادة لتقليل وقت الاسترداد في حال حدوث أي مشكلة.

كيفية تثبيت أدوات الجذر: القطارات، والمحملات، والمتجهات

عادةً ما ينشر المهاجمون برامج التجسس الخبيثة على شكل تهديدات مركبة: برنامج "التحميل" الذي يُسلّم الحزمة، وبرنامج "التثبيت" الذي يستغل الثغرات الأمنية (مثل تجاوز سعة المخزن المؤقت) لزرع البرنامج في أماكن غير مخصصة له. ويتم ذلك من خلال التمويه على هيئة رسائل بريد إلكتروني تصيدية ، أو برامج تثبيت مزيفة، أو تحديثات احتيالية.

تشمل الأساليب الكلاسيكية اختطاف عملاء المراسلة لنشر الروابط الضارة، وتثبيت برامج التجسس على بوابات التنزيل، واستخدام برامج ضارة أخرى كناقلات، والتضمين في مستندات ذات محتوى غني (مثل بعض ملفات PDF) والتي عند فتحها، تقوم بتشغيل برنامج التثبيت تلقائيًا.

علامات الهجوم ودلائل الكشف

يهدف برنامج التجسس الخفي (Rootkit) إلى البقاء غير مكتشف. ومع ذلك، قد تلاحظ تغييرات في الإعدادات دون تدخل المستخدم، وانقطاعات غير معتادة في الشبكة بسبب حركة مرور خفية، وعمليات غير معروفة، وخدمات لا يمكن إغلاقها، وتعطيل أدوات الأمان دون تفسير.

ومن الأدلة الأخرى وجود معلومات متضاربة بين الأدوات التي تعرض الملفات أو العمليات أو مفاتيح التسجيل باستخدام مسارات مختلفة (واجهة برمجة التطبيقات مقابل القراءة المباشرة). وهنا تبرز أهمية أساليب مثل RootkitRevealer: فالكائن نفسه الموجود على القرص ولكنه غير موجود وفقًا لواجهة برمجة التطبيقات يشير إلى التلاعب به.

الأنواع الرئيسية من الروتكت

وضع المستخدم: تعمل هذه الأوضاع على مستوى العمليات والمكتبات. وهي أكثر استقرارًا وأسهل نسبيًا في الكشف، على الرغم من قدرتها على إخفاء الملفات والعمليات والمفاتيح. ومن الأمثلة التاريخية الكلاسيكية على ذلك برنامج HackerDefender.

نمط النواة: تتواجد هذه الفيروسات داخل نواة النظام، وتتمتع بتحكم كامل وقدرة عالية على التخفي؛ يصعب القضاء عليها، وتميل إلى التسبب في عدم استقرار النظام إذا صُممت بشكل سيئ. من أمثلة هذه العائلة: فيروس TDL/Alureon في مراحل تطوره.

الأنظمة الهجينة: تجمع بين مكونات المستخدم ومكونات النواة لتحقيق التوازن بين الإخفاء والاستقرار، مما أدى إلى شعبيتها بين المهاجمين نظرًا لتعدد استخداماتها العملية.

البرامج الثابتة/برامج الإقلاع الخبيثة: تُصيب هذه البرامج نظام BIOS/UEFI أو قطاع الإقلاع (MBR/UEFI) ليتم تحميلها قبل نظام التشغيل. وقد جعلت تقنيات مثل الإقلاع الآمن العديد من برامج الإقلاع الخبيثة التقليدية قديمة، ولكن ظهرت برامج UEFI حديثة.

الافتراضي والقائم على الذاكرة: تقوم سجلات VMBR بتحميل برنامج مراقبة الأجهزة الافتراضية أسفل نظام التشغيل وتجعله افتراضيًا؛ أما تلك القائمة على الذاكرة فتوجد فقط في ذاكرة الوصول العشوائي وتختفي عند إعادة التشغيل، وهي مفيدة جدًا للعمليات المؤقتة.

أمثلة وتسلسل زمني مميز

تم تطوير أولى برامج التجسس الجذرية لنظام التشغيل SunOS في التسعينيات؛ في عام 1999، وصف جريج هوجلوند برنامج NTRootkit (ويندوز، وضع النواة)، وفي عام 2003 ظهر برنامج HackerDefender (ويندوز 2000/XP، وضع المستخدم)، مما أدى إلى "شد وجذب" مع أدوات مثل RootkitRevealer.

في عام 2004، استخدمت ما يسمى بـ "فضيحة ووترغيت اليونانية" برنامجًا خبيثًا لاختراق أكثر من 100 هاتف على شبكة GSM؛ وفي عام 2005 تم اكتشاف أن شركة Sony BMG قد أدرجت برنامجًا خبيثًا لمكافحة القرصنة في بعض الأقراص المدمجة، مما أثار جدلاً أمنيًا ضخمًا.

منذ عام 2008، تطورت برامج التمهيد مثل TDL (من TDL-1 إلى TDL-4)؛ وفي عام 2009، أثبت "ميكافيلي" أن نظام macOS (الذي كان يُعرف آنذاك باسم Mac OS X) لم يكن محصنًا أيضًا؛ وفي عام 2010، استخدم Stuxnet مكونات rootkit لتخريب الأنظمة الصناعية الإيرانية.

في عام 2012، ظهر برنامج Flame ، وهو برنامج خبيث معياري ضخم ؛ وفي عام 2018، أصبح LoJax أول برنامج UEFI rootkit يتم اكتشافه في البرية؛ وفي عام 2019، جمع Scranos بين سرقة بيانات الاعتماد وتوليد الإيرادات الخفية مع مزارع النقرات من خلال متصفحات مخترقة على نطاق واسع.

المصادر والقراءات الموصى بها

يساعد تحقيق مارك روسينوفيتش في قضية سوني ومقالته "الكشف عن برامج التجسس الخفية" في مجلة Windows IT Pro على فهم الظاهرة والتقنية الكامنة وراء RKR؛ كتاب "برامج التجسس الخفية: تخريب نواة ويندوز" من تأليف جريج هوجلوند وجيمي بتلر هو أكثر الدراسات تعمقًا في هذا الموضوع.

يُعد كل من أرشيف Phrack، وكتاب بيتر زور "فن البحث عن فيروسات الكمبيوتر والدفاع عنها"، وكتاب إد سكوديس وليني زيلتسر "البرمجيات الخبيثة: مكافحة التعليمات البرمجية الخبيثة"، وسلسلة "Windows Internals" (من الطبعة الرابعة فصاعدًا) مواد أساسية لأي شخص يرغب في التعمق أكثر في الهندسة المعمارية والتدابير المضادة الجادة.

RootkitRevealer في نظام Sysinternals البيئي

يتعايش RKR مع أدوات Sysinternals الأخرى المفيدة في البحث: AccessChk و AccessEnum (الأذونات الفعالة)، Autoruns (كل شيء يبدأ مع النظام)، Process Explorer (من فتح ماذا وبأي DLL)، PsExec/PsTools (التنفيذ والإدارة عن بعد)، PsLogList و PsLoggedOn (الأحداث والجلسات)، Sigcheck (التوقيعات الرقمية)، SDelete (الحذف الآمن)، ShareEnum (الموارد المشتركة) و Sysmon (القياس عن بعد المتقدم في سجل الأحداث).

من الشائع العثور على إشارات إلى "تنزيل الإصدار 1.71" في المستودعات القديمة، وكذلك "تشغيل الآن" عبر Sysinternals Live. على الرغم من أن المشروع قديم، إلا أن منهجه - الذي يقارن بين الأساليب عالية المستوى والأساليب منخفضة المستوى - لا يزال أساسيًا في البحث عن برامج التجسس الخبيثة.

يُعد RootkitRevealer، قبل كل شيء، درسًا في الهندسة الدفاعية: إذا كان هناك شيء ما يتلاعب بما تُرجعه واجهة برمجة التطبيقات، فعليك أن تنظر في الأسفل وتقارنه بما هو موجود بالفعل على القرص وفي سجل النظام؛ مع الممارسات الجيدة والأدوات المناسبة والتحقق دون اتصال بالإنترنت عند الضرورة، من الممكن الكشف عما يحاول الاختباء حيث نعتقد أنه لن ينظر أحد.