Mikä on RootkitRevealer: Miten se toimii, miten sitä käytetään ja merkkejä rootkit-ohjelmista

Informatec Digital » turvallisuus » Mikä on RootkitRevealer: Miten se toimii, miten sitä käytetään ja merkkejä rootkit-ohjelmista

RootkitRevealer on yksi niistä legendaarisista apuohjelmista, jotka jokaisen Windows-ammattilaisen tulisi tuntea. Sen loi Sysinternals-tiimi Mark Russinovichin johdolla, ja vaikka se ilmestyi vuosia sitten, se on edelleen viitteenä sen ymmärtämiseen, miten havaita rootkit-ohjelmien aiheuttamat eroavaisuudet järjestelmän näyttämän ja levyllä olevan sisällön välillä.

Toisin kuin muut skannerit, se ei etsi allekirjoituksia tai kuvioita: se vertaa Windows API:n yleiskuvaa levyn ja rekisterin raakaan, matalan tason lukutietoon. Tämä näennäisen yksinkertainen idea paljastaa, milloin haittaohjelma yrittää piilottaa tiedostoja, avaimia tai arvoja manipuloimalla järjestelmäkutsuja.

Mikä on RootkitRevealer ja millä järjestelmillä se toimii?

Tämä on edistynyt työkalu rootkit-ohjelmien havaitsemiseen sekä käyttäjä- että ydintilassa . Se kehitettiin alun perin Windows XP:lle ja Windows Server 2003:lle (32-bittinen), ja se on yleisesti listattu ilmaiseksi, englanninkieliseksi ja noin 231 KiB:n kooltaan. Monissa listauksissa mainittiin myös sen yhteensopivaksi Windows NT/2000/XP/Vistan kanssa tuolloin.

Ajan myötä sen puhtaasti komentoriviltä toimiva versio poistettiin, koska jotkut haittaohjelmien tekijät alkoivat seurata suoritettavan tiedoston nimeä. Tämän välttämiseksi ohjelma käynnistetään palveluna satunnaisesti nimetystä kopiosta itsestään, mikä vaikeuttaa nimen perusteella tunnistamista ja monimutkaistaa täysin konsolikäyttöliittymän tarjoamista.

Mikä on rootkit? Keskeiset käsitteet

Termi rootkit viittaa tekniikoihin ja mekanismeihin, jotka mahdollistavat haittaohjelmien (virusten, troijalaisten, vakoiluohjelmien jne.) piiloutumisen käyttäjältä ja tietoturvatyökaluilta . Rootkit-haittaohjelmia on useita: pysyviä (selviää uudelleenkäynnistyksen jälkeen), muistissa olevia (katoaa uudelleenkäynnistyksen yhteydessä), käyttäjätilaisia ​​ja ydintilaisia, muiden nykyaikaisten muunnelmien ohella.

Käyttäjätilan rootkit voi siepata funktioita, kuten FindFirstFile/FindNextFile tai järjestelmän omia luetteloijia, suodattaakseen merkintöjä, jotka paljastaisivat sen muokatut tiedostot, prosessit tai rekisteriavaimet . Tämä estää Resurssienhallintaa, komentokehotetta tai rekisterieditoria näkemästä, mitä todellisuudessa on olemassa.

Ytimen tilan rootkitit menevät pidemmälle: natiivin API:n sieppaamisen lisäksi ne voivat suoraan manipuloida ytimen rakenteita, esimerkiksi poistamalla prosessinsa aktiivisten prosessien luettelosta, jolloin se ei näy Tehtävienhallinnassa tai Prosessienhallinnassa, vaikka se olisi käynnissä.

On olemassa hybridejä (osittain käyttäjäpohjaisia ​​ja osittain kernel-pohjaisia), laiteohjelmistopohjaisia ​​(BIOS/UEFI ja muut komponentit), käynnistys- tai käynnistyskit-pohjaisia ​​(MBR/UEFI), virtuaalisia (jotka sijoittavat varsinaisen käyttöjärjestelmän virtuaalikoneeseen) ja muistipohjaisia ​​(ei-pysyviä) käynnistyslataimia. Jälkimmäiset voivat olla erityisen vaikeasti saatavilla, kun taas laiteohjelmisto ja käynnistyslataimet pysyvät voimassa jopa käyttöjärjestelmän puhtaan uudelleenasennuksen jälkeen.

Näin RootkitRevealer toimii

RKR vertailee kahta tilannekuvaa: Windows API:n yleiskuvaa ja taltio- ja rekisteritiedostojen (rakenneryhmien) raakaa, matalan tason lukua. Jos rootkit peukaloi korkean tason kutsuja piilottaakseen jotakin, tämä muutos paljastuu, koska levyllä ja rekisterissä olevat tiedot eivät vastaa API:n ilmoittamaa tietoa, mikä aiheuttaa diagnosoitavissa olevia eroja.

Teoriassa rootkit voisi myös yrittää piiloutua RootkitRevealerilta sieppaamalla sen raakalukutiedot ja kirjoittamalla tiedot uudelleen lennosta. Tämän saavuttamiseksi sen tarvitsisi perusteellista tietoa NTFS-, FAT- ja rekisteritiedostomuodoista sekä kykyä muokata rakenteita aiheuttamatta epäjohdonmukaisuuksia tai ilmeisiä sivuvaikutuksia – erittäin monimutkainen tekninen saavutus , jota on harvoin havaittu. Silti ei ole olemassa erehtymätöntä "universaalia ilmaisinta": jopa ulkoisesta ympäristöstä (esimerkiksi parhaista Linux-jakeluista ) käynnistys voi joutua erityisen hienostuneiden ja pysyvien artefaktien sabotoimaksi . Käytännössä vankin lähestymistapa on yhdistää online-analyysi offline-vahvistukseen luotettavissa ympäristöissä.

Vaatimukset, hyvät käytännöt ja toteutus

Tämän tarkistuksen suorittamiseksi tilillä on oltava "Varmuuskopioi tiedostot ja hakemistot", "Lataa ohjaimet" ja "Aseman ylläpito" -oikeudet (nämä myönnetään oletusarvoisesti järjestelmänvalvojille Windows XP:ssä ja uudemmissa). Väärien positiivisten tulosten minimoimiseksi on suositeltavaa suorittaa tarkistus järjestelmän ollessa lepotilassa eikä sovelluksia ole auki.

Manuaalisessa suorituksessa paina vain skannauspainiketta. Prosessin aikana ohjelma antaa edistymispäivityksiä ja listaa mahdolliset poikkeamat. Vaihtoehtoja on kaksi: ”Piilota NTFS-metatietotiedostot” (oletusarvoisesti käytössä, jotta NTFS:n piilottamat vakiometatiedot eivät näy) ja ”Skannausloki” (oletusarvoisesti käytössä; valinnan poistaminen ohittaa Windowsin rekisterin skannauksen ).

Automaatiota varten se tukee parametreja, joiden avulla voit käynnistää, kirjautua sisään ja poistua ilman väliintuloa: rootkitrevealer outputfile]. Vaihtoehto -a alkaa ja päättyy automaattisesti; -c tulosta tulos CSV-muodossa; -m näyttää NTFS-metatiedot; ja -r poistaa rekisterin skannauksen käytöstä. Tulostetiedoston on oltava saavutettava paikallinen tilavuus.

Etäsuoritus on mahdollista PsExecillä. Esimerkiksi: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log. kanssa -c, edistymistä ei näytetä ja poikkeamat tulostetaan CSV-tiedostona, mikä helpottaa tuontia tietokannoissa tai skripteissä.

Tulosten tulkinta ja tyypilliset poikkeamat

"Piilotettu Windows API:lta" -virheet ovat yleisimpiä, kun rootkit piilottaa merkintöjä. Jos et ole ottanut NTFS-metatietojen näyttöä käyttöön, näet eroja, koska NTFS piilottaa sisäiset tiedostonsa, kuten $MFT tai $Secure , API:lta . Jotkin virustorjuntaohjelmat tallentavat tietoja myös vaihtoehtoisiin tietovirtoihin ja piilottavat ne, mikä johtaa samankaltaisiin virheisiin.

Tässä on joitakin NTFS:ssä (Windows Server 2003) määriteltyjä vakiometatietoja: $AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

RKR korreloi tiedostojärjestelmässä kolmea lähdettä: Windows API:n, Master File Table (MFT) ja levyllä olevat hakemistoindeksit. Yhdistelmiä, kuten "Näkyvissä API:ssa, mutta ei indeksissä tai MFT:ssä", "Näkyvissä MFT:ssä, mutta ei API:ssa" jne., voi esiintyä, varsinkin jos tiedosto luodaan tai poistetaan analyysin aikana ja se aiheuttaa tilapäisen epäjohdonmukaisuuden ikkunan.

Esimerkki luomisesta skannauksen aikana: C:\newfile.txt, 8 tavua kokoinen, viestillä ”Näkyy API:ssa, mutta ei indeksissä tai MFT:ssä”. Nämä tapaukset eivät välttämättä viittaa rootkit-hyökkäyksiin, vaan samanaikaiset muutokset samalla kun sitä tutkitaan.

Jos näkyviin tulee "Pääsy evätty", jokin on vialla: RootkitRevealer käyttää mekanismeja minkä tahansa tiedoston, kansion tai avaimen käyttämiseen, joten viestin ei pitäisi tulla näkyviin normaaleissa käyttöolosuhteissa.

Rekisterissä on useita mielenkiintoisia ristiriitaisuuksia: ”Windows API:n pituus on ristiriidassa raakadatan kanssa” (mahdollisesti yritetty piilottaa varsinainen sisältö), ”Tyyppi ei täsmää” (esim. REG_SZ mainostetaan, mutta sen pitäisi olla REG_BINARY), ”Avaimen nimi sisältää upotettuja NULL-arvoja” (tunnettu tekniikka, joka hyödyntää NULL-päätteisten merkkijonojen ja lukumäärien sisältävien merkkijonojen välistä eroa). Tässä viimeksi mainitussa tapauksessa Sysinternalsin RegDelNull- apuohjelma auttaa puhdistamaan upotettuja NULL-arvoja sisältävät avaimet.

”Tietojen ristiriita” voi ilmetä, jos arvo muuttuu skannauksen aikana (esim. SQL Serverin käyttöajat, kuten HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). Sinun on vahvistettava, että arvo kuuluu lailliset komponentit jotka päivittävät dataa reaaliajassa.

Havainnollistava tapaus oli HackerDefender-rootkit: sen palvelut ja ajurit olivat näkymättömiä Windows API:lle, mutta ne olivat läsnä rekisterirakenteen raakadatassa; sama päti sen tiedostoihin, jotka tiedostojärjestelmän suora analyysi havaitsi levyllä.

Yleisiä rootkitrevealer.exe-tiedoston virheitä ja ongelmia rikosteknisissä ympäristöissä

Jotkin rikostekniset paketit (esimerkiksi WinTaylor) listaavat tyypillisiä rootkitrevealer.exe- tiedostoon liittyviä virheitä , kuten: ”ei kelvollinen Win32-sovellus”, ”ei löytynyt”, ”sovellusvirhe” tai ”käynnistysongelma”. Nämä viestit näkyvät yleensä järjestelmän asennuksen, käynnistyksen tai sammutuksen aikana tai ristiriitojen vuoksi muiden järjestelmään kuuluvien sovellusten kanssa.

Yleisimpiä syitä ovat vioittuneet tai puuttuvat tiedostot, virheelliset rekisterimerkinnät, haittaohjelmatartunnat, epätäydelliset asennuksen poistot tai ristiriidat muiden ohjelmistojen kanssa. Lähde voi olla vioittunut rekisterimerkintä, vahingossa poistettu tiedosto toisen työkalun avulla, epäonnistunut lataus tai aiempi tartunta , joka on muuttanut binääritiedostoa.

Inventaarion kuriositeettina jotkut listaukset dokumentoivat suoritettavan tiedoston olevan noin 334 720 tavua kokoinen ja tiivisteet, kuten SHA-1 ja MD5 (esim. SHA-1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59, MD5 ee738fe9bcdd605821002cec8c7206db) ja CRC32 98b1af0b; ne viittaavat myös siihen, versio 2.1 sen konttisovelluksessa ja ”Forensic Toolkit/Käyttöjärjestelmä” -luokka.

Rootkit-havainto- ja torjuntamenetelmät

Rootkitin havaitseminen ei ole aina helppoa. Erityisten työkalujen lisäksi epäilyttävien moduulien tunnistamiseksi yhdistetään tekniikoita, kuten tunnettujen uhkien allekirjoitusanalyysi, rakenteiden kylmävertailu, muistihaut koukkujen ja muutosten varalta sekä muistivedosten tarkastelu kaatumisten jälkeen . On myös yleistä turvautua tunkeutumisen estojärjestelmiin (IPS) verkon suojaamiseksi ja tartuntavektoreiden vähentämiseksi.

Erikoistuneisiin apuohjelmiin kuuluvat GMER (piilotettujen prosessien ja ytimen muutosten havaitsemiseen), Kaspersky TDSSKiller (erityisesti käynnistyspakettien ja ytimen rootkittien havaitsemiseen), Malwarebytes Anti-Rootkit, Microsoft Defender Offline (skannaukseen ennen Windowsin käynnistystä) ja RogueKiller. Näiden suorittaminen luotettavalta käynnistettävältä USB -asemalta tai vikasietotilassa pienentää hyökkäyspinta-alaa.

Käynnistys- tai laiteohjelmistouhkien varalta on suositeltavaa käyttää pelastusmediaa, kuten Kaspersky Rescue Diskiä, ​​palauttaa MBR:n bootrec /fixmbr tarvittaessa ja vakavissa tapauksissa päivitä/flashaa BIOS/UEFI valmistajan puhtaaseen versioon poistaaksesi matalan tason pysyvyys.

Sysinternalsin avulla tapahtuva valvonta on korvaamatonta: Process Monitor (ProcMon) prosessien ja tiedostojen toimintaan, Autoruns tarkistaa käynnistyksen yhteydessä latautuvat tiedostot ja RootkitRevealer korkean/matalan tason eroavaisuuksiin. SIEM-alustat, kuten Wazuh , ja telemetria yritysympäristöissä voivat paljastaa odottamattomia verkon käyttäytymismalleja tai eheysmuutoksia.

Jos tartunta vahvistetaan, järkevä toimintajärjestys on seuraava: irrota kone verkosta, skannaa ulkoisesta ympäristöstä, arvioi käynnistyksen/laiteohjelmiston eheys ja, jos takeita ei ole, varmuuskopioi tiedot, puhdista levy kokonaan (työkaluilla, kuten DBAN) ja asenna se uudelleen varmennetulta tallennusvälineeltä, minkä jälkeen ota käyttöön toimenpiteitä, kuten Secure Boot ja TPM.

Ennaltaehkäisy: Kohtuullinen suoja rootkit-ohjelmia vastaan

Ennaltaehkäisy on avainasemassa. Pidä järjestelmäsi ajan tasalla, asenna korjauksia kolmannen osapuolen ohjelmistoihin, vältä epäilyttävistä lähteistä tulevia suoritettavia tiedostoja äläkä käytä krakkeja tai avainten generaattoreita: ne ovat suosittuja rootkit -poisto- ja latausohjelmien pakkaamiseen.

Poista USB-laitteiden automaattinen käynnistys käytöstä, tarkista ulkoiset asemat ennen niiden avaamista ja yritysympäristöissä rajoita tai estä portteja ja käytä palomuureja tarvittaessa. Työskentele etuoikeudettomien käyttäjätilien kanssa, noudata pienimpien oikeuksien periaatetta ja vaadi järjestelmänvalvojan tunnistetiedot kriittisiin muutoksiin, mikä vähentää hiljaisten eskalointien todennäköisyyttä.

Yhteensopivissa laitteistoissa ota käyttöön UEFI:n Secure Boot ja TPM suojataksesi käynnistysketjua ja avainten sinetöintiä. Pidä säännöllisesti offline- tai muuttumattomia varmuuskopioita ja käytä tilannevedoksia/palautuspisteitä lyhentääksesi palautusaikaa, jos jokin menee pieleen.

Kuinka rootkitit asennetaan: dropperit, lataajat ja vektorit

Hyökkääjät levittävät rootkit-ohjelmia tyypillisesti yhdistettyinä uhkina: "dropper", joka toimittaa paketin, ja "loader", joka hyödyntää haavoittuvuuksia (kuten puskurin ylivuotoja) asentaakseen implantin vääriin paikkoihin. Tämä naamioidaan tietojenkalasteluviesteiksi , väärennetyiksi asennusohjelmiksi tai vilpillisiksi päivityksiksi.

Klassisia hyökkäysvektoreita ovat viestiohjelmien kaappaaminen haitallisten linkkien levittämiseksi, troijalaisten ohjelmistojen levittäminen latausportaaleissa, muiden haittaohjelmien käyttäminen tartuntavälineinä ja sellaisten tiedostojen upottaminen rich content -dokumentteihin (esim. tiettyihin PDF-tiedostoihin), jotka avattaessa käynnistävät automaattisesti pudottimen.

Hyökkäyksen merkit ja havaitsemisvihjeet

Rootkitin tavoitteena on pysyä huomaamattomana. Silti saatat havaita kokoonpanomuutoksia ilman käyttäjän toimia, epätavallisia verkon keskeytyksiä piilotetun liikenteen vuoksi, tuntemattomia prosesseja, palveluita, joita ei voida sulkea, ja tietoturvatyökaluja, jotka on poistettu käytöstä ilman selitystä.

Toinen vihje on ristiriitaiset tiedot apuohjelmien välillä, jotka listaavat tiedostoja, prosesseja tai rekisteriavaimia eri polkuja käyttäen (API vs. raakaluku). Tässä kohtaa lähestymistavat, kuten RootkitRevealer, loistavat: sama objekti, joka "on" levyllä, mutta "ei" API:n mukaan viittaa manipulointiin.

Pääasialliset rootkit-tyypit

Käyttäjätila: Nämä toimivat prosessi- ja kirjastotasolla. Ne ovat vakaampia ja suhteellisen helpompia havaita, vaikkakin ne voivat piilottaa tiedostoja, prosesseja ja avaimia. Klassinen historiallinen esimerkki on HackerDefender.

Ytimen tila: Nämä virukset sijaitsevat ytimessä, ja niitä hallitaan täysin ja ne ovat erittäin huomaamattomia. Niitä on vaikea hävittää, ja huonosti suunniteltuina ne aiheuttavat usein epävakautta. Esimerkkejä tästä perheestä: TDL/Alureon kehityksessään.

Hybridit: yhdistävät käyttäjä- ja ydinkomponentteja tasapainottaakseen piilottamista ja vakautta, mikä johtaa hyökkääjien suosioon niiden käytännön monipuolisuuden ansiosta.

Laiteohjelmisto/käynnistyspaketit: Nämä tartuttavat BIOSin/UEFI:n tai käynnistyssektorin (MBR/UEFI) latautuakseen ennen käyttöjärjestelmää. Teknologiat, kuten Secure Boot, ovat tehneet monista klassisista käynnistyspaketeista vanhentuneita, mutta nykyaikaisia ​​UEFI-implantteja on ilmaantunut.

Virtuaaliset ja muistipohjaiset: Virtuaaliset virtuaalibrokerit lataavat hypervisorin käyttöjärjestelmän alle ja virtualisoivat sen; muistipohjaiset sijaitsevat vain RAM-muistissa ja katoavat uudelleenkäynnistyksen yhteydessä, mikä on erittäin hyödyllistä lyhytaikaisissa toiminnoissa.

Esimerkkejä ja korostettu aikajärjestys

Ensimmäiset SunOS:n rootkit-ohjelmat kehitettiin 90-luvulla; vuonna 1999 Greg Hoglund kuvaili NTRootkitin (Windows, ydintila), ja vuonna 2003 ilmestyi HackerDefender (Windows 2000/XP, käyttäjätila), mikä johti "köydenvetoon" työkalujen, kuten RootkitRevealerin, kanssa.

Vuonna 2004 niin kutsuttu "kreikkalainen Watergate" käytti rootkit-hyökkäystä hakkeroidakseen yli 100 puhelinta GSM-verkossa; vuonna 2005 havaittiin, että Sony BMG oli sisällyttänyt piratismin vastaisen rootkitin joillekin CD-levyille, mikä aiheutti valtavan tietoturvakiistan.

Vuodesta 2008 lähtien TDL:n (TDL-1:stä TDL-4:ään) kaltaiset käynnistyspaketit ovat kehittyneet; vuonna 2009 ”Machiavelli” todisti, ettei macOS (silloinen Mac OS X)kaan ollut immuuni; vuonna 2010 Stuxnet käytti rootkit-komponentteja sabotoidakseen Iranin teollisuusjärjestelmiä.

Vuonna 2012 ilmestyi Flame , massiivinen modulaarinen haittaohjelma ; vuonna 2018 LoJaxista tuli ensimmäinen luonnossa havaittu UEFI-rootkit; ja vuonna 2019 Scranos yhdisti tunnistetietojen varastamisen ja piilotetun tulonhankinnan klikkausfarmeihin massavaarattujen selainten kautta.

Resurssit ja suositellut lukemistot

Mark Russinovichin tutkimus Sonyn tapauksesta ja hänen artikkelinsa "Unearthing Rootkits" Windows IT Prossa auttavat ymmärtämään RKR:n ilmiötä ja sen taustalla olevaa tekniikkaa; Greg Hoglundin ja Jamie Butlerin kirja "Rootkits: Subverting the Windows Kernel" on perusteellisin tutkielma aiheesta.

Phrack Archive, Peter Szorin "The Art of Computer Virus Research and Defense", Ed Skoudisin ja Lenny Zeltserin "Malware: Fighting Malicious Code" sekä "Windows Internals" -sarja (4. painoksesta alkaen) ovat välttämättömiä materiaaleja kaikille, jotka haluavat perehtyä syvällisemmin arkkitehtuuriin ja vakaviin vastatoimiin.

RootkitRevealer Sysinternals-ekosysteemissä

RKR toimii rinnakkain muiden tutkimuksessa hyödyllisten Sysinternals-apuohjelmien kanssa: AccessChk ja AccessEnum (voimassa olevat käyttöoikeudet), Autoruns (kaikki järjestelmän käynnistys), Process Explorer (kuka avasi mitä ja millä DLL-tiedostolla), PsExec/PsTools (etäsuoritus ja -hallinta), PsLogList ja PsLoggedOn (tapahtumat ja istunnot), Sigcheck (digitaaliset allekirjoitukset), SDelete (suojattu poisto), ShareEnum (jaetut resurssit) ja Sysmon (kehittynyt telemetria tapahtumalokissa).

Historiallisista arkistoista löytyy usein viittauksia "Lataa 1.71" sekä "Suorita nyt" Sysinternals Liven kautta. Vaikka projekti onkin kokenut, sen ajattelutapa – korkean ja matalan tason lähestymistapojen vertaileminen – on edelleen avainasemassa rootkit-metsästyksessä.

RootkitRevealer on ennen kaikkea oppitunti puolustussuunnittelusta: jos jokin manipuloi API:n palauttamia tietoja, sinun on katsottava sen alle ja verrattava niitä levyllä ja rekisterissä olevaan todelliseen tietoon. Hyvien käytäntöjen, asianmukaisten työkalujen ja tarvittaessa offline-vahvistuksen avulla on mahdollista paljastaa, mikä yrittää piiloutua paikasta, jonka luulemme olevan poissa.