Какво е RootkitRevealer: Как работи, как да го използвате и признаци на руткитове

Информатек Дигитал » сигурност » Какво е RootkitRevealer: Как работи, как да го използвате и признаци на руткитове

RootkitRevealer е една от онези легендарни помощни програми, които всеки Windows професионалист трябва да знае; тя е създадена от екипа на Sysinternals с Марк Русинович начело и въпреки че се е появила преди години, тя остава ориентир за разбиране как да се откриват несъответствията, причинени от руткитове, между това, което системата показва, и това, което всъщност е на диска.

За разлика от други скенери, той не търси сигнатури или модели: сравнява изглед на високо ниво на Windows API със суров, ниско ниво на четене на диска и системния регистър. Тази на пръв поглед проста идея разкрива кога злонамерен софтуер се опитва да скрие файлове, ключове или стойности чрез манипулиране на системни извиквания.

Какво е RootkitRevealer и на какви системи работи?

Това е усъвършенстван инструмент за откриване на признаци на руткитове както в потребителски, така и в режим на ядрото . Първоначално е разработен за Windows XP и Windows Server 2003 (32-битова версия) и обикновено е обявен за безплатен, на английски език и с размер приблизително 231 KiB; много обяви също така посочват неговата съвместимост с Windows NT/2000/XP/Vista по това време.

С течение на времето, чисто командната версия беше елиминирана, защото някои автори на зловреден софтуер започнаха да следят името на изпълнимия файл; за да се избегне това, програмата се стартира като услуга от произволно наименувано копие на самата нея, което прави откриването по име по-трудно и усложнява осигуряването на 100% конзолен интерфейс.

Какво е руткит? Ключови понятия

Терминът „руткит“ се отнася до техники и механизми, които позволяват на злонамерен софтуер (вируси, троянски коне, шпионски софтуер и др.) да се скрие от потребителя и инструментите за сигурност . Разграничават се няколко семейства: постоянни (оцеляващи след рестартиране), резидентни в паметта (изчезващи при рестартиране), потребителски режим и режим на ядрото, наред с други съвременни варианти.

Руткит в потребителски режим може да прихваща функции като FindFirstFile/FindNextFile или вградените в системата изброители, за да филтрира записи, които биха разкрили модифицираните файлове, процеси или ключове в системния регистър . Това не позволява на Explorer, командния ред или редакторите на системния регистър да видят какво всъщност съществува.

Руткитовете в режим на ядрото отиват по-далеч: освен че прехващат оригиналния API, те могат директно да манипулират структурите на ядрото, например като премахват процеса си от списъка с активни процеси, така че той да не се показва в диспечера на задачите или Process Explorer , въпреки че работи.

Съществуват хибридни (частично базирани на потребителя и частично базирани на ядрото), фърмуер (BIOS/UEFI и други компоненти), bootkit (MBR/UEFI), виртуални (които поставят действителната операционна система във виртуална машина) и базирани на паметта (непостоянни) буутлоудъри. Последните могат да бъдат особено труднодостъпни, докато фърмуерът и буутлоудърите се запазват дори след чисто преинсталиране на операционната система.

Как работи RootkitRevealer

RKR сравнява два снимка: изгледът на високо ниво на Windows API и суровото, ниско ниво на четене на файловете на тома и поддървото на системния регистър (кошери). Ако руткит променя извиквания на високо ниво, за да скрие нещо, тази промяна се разкрива, защото това, което е на диска и в системния регистър, не съответства на това, което API казва, че е там, генерирайки диагностицируеми несъответствия.

Теоретично, руткит може да се опита да се скрие от RootkitRevealer, като прихваща суровите му четения и пренаписва данните в движение. За да постигне това, той ще се нуждае от задълбочени познания за форматите на NTFS, FAT и системния регистър, както и от възможността да променя структури, без да причинява несъответствия или очевидни странични ефекти – изключително сложен технически подвиг , който рядко е наблюдаван. Въпреки това, няма безпогрешен „универсален детектор“: дори зареждането от външна среда (например, използвайки най -добрите Linux дистрибуции ) може да бъде саботирано от особено сложни и устойчиви артефакти . На практика най-надеждният подход е комбинирането на онлайн анализ с офлайн проверка в надеждни среди.

Изисквания, добри практики и изпълнение

За да се изпълни това сканиране, акаунтът се нуждае от правата за „Архивиране на файлове и директории“, „Зареждане на драйвери“ и „Поддръжка на том“ (тези се предоставят по подразбиране на администраторите в Windows XP и по-нови версии). За да се сведат до минимум фалшивите положителни резултати, се препоръчва сканирането да се извършва, когато системата е в покой и без отворени приложения.

При ръчно изпълнение, просто натиснете бутона за сканиране. По време на процеса програмата ще предоставя актуализации за напредъка и ще изброява всички несъответствия. Има две подходящи опции: „Скриване на файлове с метаданни на NTFS“ (активирана по подразбиране, за да се избегне показването на стандартни метаданни, скрити от NTFS) и „Регистрационен номер на сканиране“ (активирана по подразбиране; премахването на отметката ще пропусне сканирането на системния регистър на Windows ).

За автоматизация, той поддържа параметри, които ви позволяват да стартирате, влизате и излизате без намеса: rootkitrevealer outputfile]. Опцията -a започва и завършва автоматично; -c изведете резултата в CSV формат; -m показва метаданни на NTFS; и -r деактивира сканирането на системния регистър. Изходният файл трябва да бъде в достъпен локален обем.

Дистанционното изпълнение е възможно с PsExec. Например: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log, с -c, напредъкът не се показва и несъответствията се отпечатват в CSV файл, което улеснява импортирането в бази данни или скриптове.

Интерпретация на резултатите и типични несъответствия

Несъответствията „Скрити от Windows API“ са най-често срещаните, когато руткит крие записи. Ако не сте активирали показването на метаданни на NTFS, ще видите разлики, защото NTFS крие вътрешните си файлове, като например $MFT или $Secure , от API . Някои антивирусни програми също съхраняват данни в алтернативни потоци и ги скриват, което води до подобни грешки.

Това са някои от стандартните метаданни, дефинирани в NTFS (Windows Server 2003): $AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

RKR корелира три източника във файловата система: Windows API, главната файлова таблица (MFT) и индексите на директориите на диска. Могат да се появят комбинации като „Видимо в API, но не и в индекса или MFT“, „Видимо в MFT, но не и в API“ и др., особено ако файлът е създаден или изтрит по време на анализа и това води до временна несъответствие.

Пример за създаване по време на сканиране: C:\newfile.txt, с размер 8 байта, със съобщението „Видимо в API, но не и в индекса или MFT“. Тези случаи не сочат непременно към руткитове, а към едновременни промени докато се преглежда.

Ако се появи „Достъпът е отказан“, нещо не е наред: RootkitRevealer използва механизми за достъп до всеки файл, директория или ключ, така че това съобщение не би трябвало да се появява при нормални условия на работа.

В системния регистър има няколко интересни несъответствия: „Дължината на Windows API е несъвместима със суровите данни“ (възможен опит за скриване на действителното съдържание), „Несъответствие на типа“ (напр. REG_SZ се рекламира, но би трябвало да е REG_BINARY), „Името на ключ съдържа вградени NULL стойности“ (известна техника, която използва разликата между низове, завършващи с NULL, и низове с брой). В последния случай, помощната програма RegDelNull на Sysinternals помага за почистване на ключове с вградени NULL стойности.

„Несъответствие в данните“ може да възникне, ако дадена стойност се промени по време на сканирането (напр. време на работа на SQL Server, като например HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). Трябва да потвърдите, че стойността принадлежи на легитимни компоненти които актуализират данните в реално време.

Илюстративен случай беше руткитът HackerDefender: неговите услуги и драйвери бяха невидими за Windows API, но присъстваха в суровия отчет на системния регистър; същото важеше и за файловете му, които директният анализ на файловата система откри на диска.

Често срещани грешки и проблеми с rootkitrevealer.exe в криминалистични среди

Някои криминалистични комплекти (например WinTaylor) изброяват типични грешки, свързани с rootkitrevealer.exe , като например: „не е валидно Win32 приложение“, „не е намерен“, „грешка в приложението“ или „проблем със стартирането“. Тези съобщения обикновено се появяват по време на инсталиране, стартиране или изключване на системата или поради конфликти с други резидентни приложения.

Най-честите причини включват повредени или липсващи файлове, невалидни записи в системния регистър, инфекции със зловреден софтуер, непълни деинсталации или конфликти с друг софтуер. Източникът може да бъде повреден запис в системния регистър, случайно изтриване от друг инструмент, неуспешно изтегляне или предишна инфекция , която е променила двоичния файл.

Като любопитство, някои обяви документират изпълнимия файл с приблизителен размер от 334 720 байта и хешове като SHA‑1 и MD5 (напр. SHA‑1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59, MD5 ee738fe9bcdd605821002cec8c7206db) и CRC32 98b1af0b; те също се отнасят до версия 2.1 в своето контейнерно приложение и категория „Набор от инструменти/операционна система за съдебна експертиза“.

Методи за откриване и реагиране на руткитове

Откриването на руткит не винаги е тривиално. Освен специфични инструменти, за идентифициране на подозрителни модули се комбинират техники като анализ на сигнатури на известни заплахи, сравнение на структури, търсене в паметта за куки и промени, както и преглед на дъмпове на паметта след сривове . Също така е обичайно да се разчита на системи за предотвратяване на прониквания (IPS) за защита на мрежата и намаляване на векторите на инфекция.

Специализираните помощни програми включват GMER (за откриване на скрити процеси и промени в ядрото), Kaspersky TDSSKiller (особено за откриване на буткитове и руткитове на ядрото), Malwarebytes Anti-Rootkit, Microsoft Defender Offline (за сканиране преди стартиране на Windows) и RogueKiller. Стартирането им от надеждно стартиращо USB устройство или в безопасен режим намалява повърхността за атака.

При заплахи при зареждане или фърмуер е препоръчително да използвате спасителни носители като Kaspersky Rescue Disk, да възстановите MBR с bootrec /fixmbr където е уместно и в тежки случаи, актуализирайте/флашнете BIOS/UEFI до чиста версия от производителя, за да премахнете проблема. ниско ниво на персистентност.

Мониторингът със Sysinternals е безценен: Process Monitor (ProcMon) за активност на процесите и файловете, Autoruns за проверка на това, което се зарежда при стартиране, и RootkitRevealer за несъответствия на високо/ниско ниво. SIEM платформи като Wazuh и телеметрия в корпоративни среди могат да разкрият неочаквано мрежово поведение или промени в целостта.

Ако инфекцията се потвърди, разумната последователност е: изключване на машината от мрежата, сканиране от външна среда, оценка на целостта на зареждането/фърмуера и, ако няма гаранции, архивиране на данните, пълно почистване на диска (инструменти като DBAN) и преинсталиране от проверен носител, след което активиране на мерки като Secure Boot и TPM.

Превенция: Разумна защита срещу руткитове

Превенцията е ключова. Поддържайте системата си актуална, прилагайте корекции към софтуер на трети страни, избягвайте изпълними файлове от съмнителни източници и не използвайте crack-ове или keygen-и: те са любим вектор за пакетиране на rootkit droppers и loaders .

Деактивирайте автоматичното стартиране на USB, сканирайте външни устройства, преди да ги отворите, а в корпоративни среди ограничете или блокирайте портовете и прилагайте защитни стени, където е уместно. Работете с непривилегировани потребителски акаунти, прилагайте принципа на най-малките привилегии и изисквайте администраторски идентификационни данни за критични промени, намалявайки вероятността от тихи ескалации.

На съвместим хардуер активирайте Secure Boot и TPM от UEFI, за да защитите веригата за зареждане и запечатването на ключа. Поддържайте редовни офлайн или непроменяеми резервни копия и използвайте моментни снимки/точки за възстановяване, за да съкратите времето за възстановяване, ако нещо се обърка.

Как се инсталират руткитове: дропери, зареждащи програми и вектори

Атакуващите обикновено разпространяват руткитове като комбинирани заплахи: „дропър“, който доставя пакета, и „лоудър“, който използва уязвимости (като препълване на буфера), за да постави импланта там, където не би трябвало. Това е прикрито като фишинг имейли , фалшиви инсталатори или измамни актуализации.

Класическите вектори включват отвличане на клиенти за съобщения за разпространение на злонамерени връзки, троянски софтуер на портали за изтегляне, използване на друг зловреден софтуер като носители и вграждане в документи с богато съдържание (напр. определени PDF файлове), които при отваряне автоматично задействат капкача.

Признаци за атака и улики за откриване

Целта на руткита е да остане незабелязан. Въпреки това, може да наблюдавате промени в конфигурацията без намесата на потребителя, необичайни прекъсвания на мрежата поради скрит трафик, неизвестни процеси, услуги, които не могат да бъдат затворени, и инструменти за сигурност, деактивирани без обяснение.

Друга улика е противоречивата информация между помощните програми, които изброяват файлове, процеси или ключове в системния регистър, използвайки различни пътища (API срещу четене чрез сурово четене). Тук подходи като RootkitRevealer блестят: един и същ обект, който „е“ на диска, но „не е“ според API, сочи към манипулация.

Основни видове руткитове

Потребителски режим: Те работят на ниво процес и библиотека. Те са по-стабилни и сравнително по-лесни за откриване, въпреки че могат да скрият файлове, процеси и ключове. Класически исторически пример е HackerDefender.

Режим на ядрото: Тези вируси се намират в ядрото, с пълен контрол и голяма скритост; те са трудни за унищожаване и са склонни да причиняват нестабилност, ако са лошо проектирани. Примери за това семейство: TDL/Alureon в неговата еволюция.

Хибриди: комбинират потребителски и ядрени компоненти, за да балансират скритостта и стабилността, което води до популярност сред нападателите поради практическата им гъвкавост.

Фърмуер/Буткитове: Те заразяват BIOS/UEFI или boot сектора (MBR/UEFI), за да се заредят преди операционната система. Технологии като Secure Boot са направили много класически буткитове остарели, но са се появили съвременни UEFI импланти.

Виртуални и базирани на памет: VMBR зареждат хипервизор под операционната система и го виртуализират; базираните на памет се намират само в RAM паметта и изчезват при рестартиране, което е много полезно за краткотрайни операции.

Примери и подчертана хронология

Първите руткитове за SunOS са разработени през 90-те години на миналия век; през 1999 г. Грег Хоглунд описва NTRootkit (Windows, режим на ядрото), а през 2003 г. се появява HackerDefender (Windows 2000/XP, потребителски режим), което предизвиква „дърпане на въже“ с инструменти като RootkitRevealer.

През 2004 г. така нареченият „гръцки Уотъргейт“ използва руткит, за да хакне повече от 100 телефона в GSM мрежа; през 2005 г. беше открито, че Sony BMG е включила руткит против пиратство в някои компактдискове, което предизвика огромен спор относно сигурността.

От 2008 г. насам, буткитове като TDL (от TDL-1 до TDL-4) са еволюирали; през 2009 г. „Макиавели“ доказа, че macOS (тогава Mac OS X) също не е имунизиран; през 2010 г. Stuxnet използва руткит компоненти, за да саботира иранските индустриални системи.

През 2012 г. се появи Flame , масивен модулен зловреден софтуер ; през 2018 г. LoJax стана първият UEFI руткит, открит в реално време; а през 2019 г. Scranos комбинира кражба на идентификационни данни и скрито генериране на приходи с кликферми чрез масово компрометирани браузъри.

Ресурси и препоръчителна литература

Разследването на Марк Русинович по случая със Sony и статията му „Разкриване на руткитове“ в Windows IT Pro помагат да се разбере феноменът и техниката зад RKR; книгата „Руткитове: Подриване на ядрото на Windows“ от Грег Хоглунд и Джейми Бътлър е най- задълбоченият трактат по темата.

Архивът на Phrack, „Изкуството на изследването и защитата от компютърни вируси“ на Питър Сзор, „Зловреден софтуер: Борба със злонамерен код“ на Ед Скоудис и Лени Зелцер и поредицата „Windows Internals“ (след 4-то издание) са основни материали за всеки, който иска да се задълбочи в архитектурата и сериозните контрамерки.

RootkitRevealer в екосистемата на Sysinternals

RKR съществува едновременно с други полезни за изследвания помощни програми на Sysinternals: AccessChk и AccessEnum (ефективни разрешения), Autoruns (всичко, което стартира със системата), Process Explorer (кой какво е отворил и с коя DLL), PsExec/PsTools (отдалечено изпълнение и администриране), PsLogList и PsLoggedOn (събития и сесии), Sigcheck (цифрови подписи), SDelete (сигурно изтриване), ShareEnum (споделени ресурси) и Sysmon (разширена телеметрия в дневника на събитията).

Често срещано е да се намерят препратки към „Изтегляне на 1.71“ в исторически хранилища, както и „Стартирай сега“ чрез Sysinternals Live. Въпреки че проектът е ветеран, неговият начин на мислене – сравняване на подходи от високо ниво с подходи от ниско ниво – остава ключов за лова на руткитове.

RootkitRevealer е преди всичко урок по защитно инженерство: ако нещо манипулира това, което API връща, трябва да погледнете отдолу и да го сравните с това, което действително съществува на диска и в системния регистър; с добри практики, подходящи инструменти и офлайн проверка, когато е необходимо, е възможно да се разкрие какво се опитва да се скрие там, където си мислим, че никой няма да погледне.