Ce este RootkitRevealer: Cum funcționează, cum se utilizează și semne ale rootkit-urilor

Informatec Digital » Securitate » Ce este RootkitRevealer: Cum funcționează, cum se utilizează și semne ale rootkit-urilor

RootkitRevealer este unul dintre acele utilitare legendare pe care orice profesionist Windows ar trebui să le cunoască; a fost creat de echipa Sysinternals cu Mark Russinovich la cârmă și, deși a apărut cu ani în urmă, rămâne o referință pentru a înțelege cum să detectezi discrepanțele cauzate de rootkit-uri între ceea ce arată sistemul și ceea ce se află de fapt pe disc.

Spre deosebire de alte scanere, acesta nu caută semnături sau modele: compară o vizualizare de nivel înalt a API-ului Windows cu o citire brută, de nivel scăzut, a discului și a Registrului. Această idee aparent simplă dezvăluie momentele în care un malware încearcă să ascundă fișiere, chei sau valori prin manipularea apelurilor de sistem.

Ce este RootkitRevealer și pe ce sisteme funcționează?

Acesta este un instrument avansat pentru detectarea semnelor de rootkit-uri atât în ​​modul utilizator, cât și în modul kernel . A fost dezvoltat inițial pentru Windows XP și Windows Server 2003 (32 de biți) și este de obicei listat ca gratuit, în limba engleză și are o dimensiune de aproximativ 231 KiB; multe listări indicau, de asemenea, compatibilitatea sa cu Windows NT/2000/XP/Vista la momentul respectiv.

În timp, versiunea sa exclusiv din linia de comandă a fost eliminată, deoarece unii autori de programe malware au început să monitorizeze numele executabilului; pentru a evita acest lucru, programul este lansat ca serviciu dintr-o copie denumită aleatoriu a sa, ceea ce face detectarea după nume mai dificilă și complică furnizarea unei interfețe 100% consolă.

Ce este un rootkit? Concepte cheie

Termenul rootkit se referă la tehnici și mecanisme care permit programelor malware (viruși, troieni, spyware etc.) să se ascundă de utilizator și de instrumentele de securitate . Se disting mai multe familii: persistente (care supraviețuiesc repornirilor), rezidente în memorie (care dispar la repornire), în mod utilizator și în mod kernel, printre alte variante moderne.

Un rootkit în mod utilizator poate intercepta funcții precum FindFirstFile/FindNextFile sau enumeratorii nativi ai sistemului, pentru a filtra intrările care ar dezvălui fișierele, procesele sau cheile de registry modificate . Acest lucru împiedică Explorer, promptul de comandă sau editorii de registry să vadă ce există de fapt.

Rootkit-urile în modul kernel merg mai departe: pe lângă interceptarea API-ului nativ, acestea pot manipula direct structurile kernelului, de exemplu prin eliminarea procesului lor din lista de procese active, astfel încât acesta să nu apară în Task Manager sau Process Explorer, chiar dacă rulează.

Există bootloader-e hibride (parțial bazate pe utilizator și parțial bazate pe kernel), firmware (BIOS/UEFI și alte componente), boot sau bootkit (MBR/UEFI), bootloader-e virtuale (care plasează sistemul de operare propriu-zis într-o mașină virtuală) și bootloader-e bazate pe memorie (nepersistente). Acestea din urmă pot fi deosebit de dificil de gestionat, în timp ce firmware-ul și bootloader-ele persistă chiar și după o reinstalare curată a sistemului de operare.

Cum funcționează RootkitRevealer

RKR compară două instantanee: vizualizarea de nivel înalt a API-ului Windows și citirea brută, de nivel scăzut, a fișierelor de volum și subarbore a Registrului (hive). Dacă un rootkit modifică apeluri de nivel înalt pentru a ascunde ceva, această modificare este dezvăluită deoarece ceea ce se află pe disc și în Registru nu corespunde cu ceea ce API-ul spune că se află acolo, generând discrepanțe diagnosticabile.

Teoretic, un rootkit ar putea încerca să se ascundă de RootkitRevealer prin interceptarea datelor brute citite și rescrierea datelor din mers. Pentru a realiza acest lucru, ar avea nevoie de cunoștințe aprofundate despre formatele NTFS, FAT și Registry și ar putea modifica structurile fără a provoca inconsecvențe sau efecte secundare evidente - o realizare tehnică extrem de complexă , rareori observată. Chiar și așa, nu există un „detector universal” infailibil: chiar și pornirea dintr-un mediu extern (de exemplu, folosind cele mai bune distribuții Linux ) ar putea fi sabotată de artefacte deosebit de sofisticate și persistente . În practică, cea mai robustă abordare este combinarea analizei online cu verificarea offline în medii de încredere.

Cerințe, bune practici și execuție

Pentru a rula această scanare, contul are nevoie de privilegiile „Copiere de rezervă fișiere și directoare”, „Încărcare drivere” și „Întreținere volum” (acestea sunt acordate în mod implicit administratorilor în Windows XP și versiuni ulterioare). Pentru a minimiza rezultatele fals pozitive, se recomandă rularea scanării cu sistemul în repaus și fără aplicații deschise.

În execuția manuală, apăsați pur și simplu butonul de scanare. În timpul procesului, programul va oferi actualizări de progres și va lista orice discrepanțe. Există două opțiuni relevante: „Ascundeți fișierele de metadate NTFS” (activată în mod implicit, pentru a evita afișarea metadatelor standard ascunse de NTFS) și „Jurnal de scanare” (activată în mod implicit; deselectarea acesteia va omite scanarea Registrului Windows ).

Pentru automatizare, acceptă parametri care vă permit să porniți, să vă conectați și să ieșiți fără intervenție: rootkitrevealer outputfile]. Optiunea -a începe și se termină automat; -c afișează rezultatul în format CSV; -m afișează metadatele NTFS; și -r dezactivează scanarea registrului. Fișierul de ieșire trebuie să fie într-un volum local accesibil.

Execuția la distanță este posibilă cu PsExec. De exemplu: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log. Cu -c, progresul nu este afișat, iar discrepanțele sunt tipărite în CSV, facilitând importul în baze de date sau scripturi.

Interpretarea rezultatelor și a discrepanțelor tipice

Discrepanțele de tip „Ascuns din API-ul Windows” sunt cele mai frecvente atunci când un rootkit ascunde intrări. Dacă nu ați activat afișarea metadatelor NTFS, veți observa diferențe deoarece NTFS ascunde fișierele sale interne, cum ar fi $MFT sau $Secure , din API . Unele programe antivirus stochează, de asemenea, date în fluxuri alternative și le ascund, rezultând erori similare.

Acestea sunt câteva dintre metadatele standard definite în NTFS (Windows Server 2003): $AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

RKR corelează trei surse din sistemul de fișiere: API-ul Windows, tabelul principal de fișiere (MFT) și indexurile directoarelor de pe disc. Pot apărea combinații precum „Vibil în API, dar nu în index sau MFT”, „Vibil în MFT, dar nu în API” etc., mai ales dacă un fișier este creat sau șters în timpul analizei și produce o fereastră de inconsistență temporară.

Exemplu de creare în timpul scanării: C:\newfile.txt, cu o dimensiune de 8 octeți, cu mesajul „Vizibil în API, dar nu în index sau MFT”. Aceste cazuri nu indică neapărat rootkit-uri, ci modificări concomitente în timp ce este examinat.

Dacă apare mesajul „Acces refuzat”, ceva este în neregulă: RootkitRevealer folosește mecanisme pentru a accesa orice fișier, director sau cheie, astfel încât mesajul respectiv nu ar trebui să apară în condiții normale de funcționare.

În Registru, există mai multe discrepanțe interesante: „Lungimea API-ului Windows este inconsistentă cu datele brute” (posibilă încercare de a ascunde conținutul real), „Nepotrivire de tip” (de exemplu, REG_SZ este anunțat, dar ar trebui să fie REG_BINARY), „Numele cheii conține valori NULL încorporate” (o tehnică cunoscută care exploatează diferența dintre șirurile terminate cu NULL și șirurile cu numărătoare). Pentru acest ultim caz, utilitarul RegDelNull de la Sysinternals ajută la curățarea cheilor cu valori NULL încorporate.

„Nepotrivirea datelor” poate apărea dacă o valoare se modifică în timpul scanării (de exemplu, timpii de funcționare a SQL Server, cum ar fi HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). Trebuie să validați că valoarea aparține componente legitime care actualizează datele în timp real.

Un caz ilustrativ a fost rootkitul HackerDefender: serviciile și driverele sale erau invizibile pentru API-ul Windows, dar erau prezente în citirea brută a setului de Registry; același lucru era valabil și pentru fișierele sale, pe care analiza directă a sistemului de fișiere le-a detectat pe disc.

Erori și probleme frecvente cu rootkitrevealer.exe în medii criminalistice

Unele kituri de analiză forensică (de exemplu, WinTaylor) listează erori tipice legate de rootkitrevealer.exe , cum ar fi: „nu este o aplicație Win32 validă”, „nu a fost găsită”, „eroare de aplicație” sau „problemă de pornire”. Aceste mesaje apar de obicei în timpul instalării, pornirii sau opririi sistemului sau din cauza conflictelor cu alte aplicații rezidente.

Cele mai frecvente cauze includ fișiere corupte sau lipsă, intrări de registry nevalide, infecții cu programe malware, dezinstalări incomplete sau conflicte cu alte programe software. Sursa ar putea fi o intrare de registry coruptă, ștergerea accidentală de către un alt instrument, o descărcare eșuată sau o infecție anterioară care a modificat fișierul binar.

Ca o curiozitate a inventarului, unele listări documentează executabilul cu o dimensiune aproximativă de 334.720 octeți și hash-uri precum SHA-1 și MD5 (de exemplu, SHA-1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59, MD5 ee738fe9bcdd605821002cec8c7206db) și CRC32 98b1af0b; se referă și la versiunea 2.1 în aplicația sa container și categoria „Set de instrumente/Sistem de operare pentru investigații criminalistice”.

Metode de detectare și răspuns la rootkit-uri

Detectarea unui rootkit nu este întotdeauna banală. Dincolo de instrumentele specifice, tehnici precum analiza semnăturilor amenințărilor cunoscute, compararea la rece a structurilor, căutările în memorie pentru hook-uri și modificări și revizuirea imaginilor de memorie după blocări sunt combinate pentru a identifica modulele suspecte . De asemenea, este obișnuit să se apeleze la Sisteme de Prevenire a Intruziunilor (IPS) pentru a proteja rețeaua și a reduce vectorii de infecție.

Printre utilitarele specializate se numără GMER (pentru detectarea proceselor ascunse și a modificărilor kernelului), Kaspersky TDSSKiller (în special pentru detectarea bootkit-urilor și a rootkit-urilor kernelului), Malwarebytes Anti-Rootkit, Microsoft Defender Offline (pentru scanarea înainte de pornirea Windows) și RogueKiller. Rularea acestora de pe o unitate USB bootabilă de încredere sau în Safe Mode reduce suprafața de atac.

Pentru amenințările la bootare sau firmware, este recomandabil să utilizați medii de salvare precum Kaspersky Rescue Disk, să restaurați MBR-ul cu bootrec /fixmbr acolo unde este cazul și în cazuri grave, actualizați/instalați BIOS-ul/UEFI-ul la o versiune curată de la producător pentru a elimina persistență de nivel scăzut.

Monitorizarea cu Sysinternals este neprețuită: Process Monitor (ProcMon) pentru activitatea proceselor și fișierelor, Autoruns pentru a verifica ce se încarcă la pornire și RootkitRevealer pentru discrepanțe de nivel înalt/scăzut. Platformele SIEM precum Wazuh și telemetria în mediile enterprise pot descoperi comportamente neașteptate ale rețelei sau modificări de integritate.

Dacă se confirmă infecția, secvența rezonabilă este: deconectarea mașinii de la rețea, scanarea dintr-un mediu extern, evaluarea integrității bootării/firmware-ului și, dacă nu există garanții, copierea de rezervă a datelor, curățarea completă a discului (instrumente precum DBAN) și reinstalarea de pe un suport verificat, apoi activarea unor măsuri precum Secure Boot și TPM.

Prevenire: Protecție rezonabilă împotriva rootkit-urilor

Prevenirea este esențială. Mențineți sistemul actualizat, aplicați patch-uri la software-ul terț, evitați executabilele din surse dubioase și nu utilizați crack-uri sau keygen-uri: acestea sunt un vector preferat pentru încărcarea programelor de tip dropper și loader de rootkit-uri .

Dezactivați pornirea automată USB, scanați unitățile externe înainte de a le deschide și, în mediile de întreprindere, limitați sau blocați porturile și aplicați firewall-uri acolo unde este cazul. Lucrați cu conturi de utilizator neprivilegiate, aplicați principiul privilegiilor minime și solicitați acreditări de administrator pentru modificările critice, reducând probabilitatea escaladărilor silențioase.

Pe hardware-ul compatibil, activați Secure Boot și TPM din UEFI pentru a proteja lanțul de bootare și sigilarea cheilor. Mențineți copii de rezervă offline sau imuabile regulate și utilizați instantanee/puncte de restaurare pentru a scurta timpul de recuperare dacă ceva nu merge bine.

Cum se instalează rootkit-urile: dropper-e, loader-e și vector-e

Atacatorii distribuie de obicei rootkit-uri ca amenințări combinate: un „dropper” care livrează pachetul și un „loader” care exploatează vulnerabilitățile (cum ar fi buffer overflow-urile) pentru a plasa implantul acolo unde nu ar trebui. Acest lucru este deghizat în e-mailuri de phishing , programe de instalare false sau actualizări frauduloase.

Vectorii clasici includ deturnarea clienților de mesagerie pentru a răspândi linkuri rău intenționate, troienirea software-ului pe portalurile de descărcare, utilizarea altor programe malware ca purtători și încorporarea în documente cu conținut bogat (de exemplu, anumite PDF-uri) care, atunci când sunt deschise, declanșează automat dropper-ul.

Semne de atac și indicii de detectare

Scopul unui rootkit este să rămână nedetectat. Chiar și așa, este posibil să observați modificări de configurație fără intervenția utilizatorului, întreruperi neobișnuite ale rețelei din cauza traficului ascuns, procese necunoscute, servicii care nu pot fi închise și instrumente de securitate dezactivate fără explicații.

Un alt indiciu îl reprezintă informațiile contradictorii dintre utilitarele care listează fișiere, procese sau chei de registry folosind căi diferite (API versus citire brută). Aici ies în evidență abordările precum RootkitRevealer: același obiect care „este” pe disc, dar „nu este” conform API-ului indică o manipulare.

Principalele tipuri de rootkit-uri

Mod utilizator: Acestea funcționează la nivel de proces și bibliotecă. Sunt mai stabile și relativ mai ușor de detectat, deși pot ascunde fișiere, procese și chei. Un exemplu istoric clasic este HackerDefender.

Modul kernel: Acești viruși se află în kernel, având control complet și o mare ascundere; sunt dificil de eradicat și tind să provoace instabilități dacă sunt proiectați necorespunzător. Exemple ale acestei familii: TDL/Alureon în evoluția sa.

Hibrizi: combină componente ale utilizatorului și ale kernelului pentru a echilibra ascunderea și stabilitatea, rezultând popularitate în rândul atacatorilor datorită versatilității lor practice.

Firmware/Bootkit-uri: Acestea infectează BIOS-ul/UEFI-ul sau sectorul de boot (MBR/UEFI) pentru a se încărca înaintea sistemului de operare. Tehnologii precum Secure Boot au făcut ca multe bootkit-uri clasice să devină învechite, dar au apărut implanturi UEFI moderne.

Virtuale și bazate pe memorie: VMBR-urile încarcă un hipervizor sub sistemul de operare și îl virtualizează; cele bazate pe memorie se află doar în RAM și dispar la repornire, fiind foarte utile pentru operațiuni efemere.

Exemple și cronologie evidențiată

Primele rootkit-uri pentru SunOS au fost dezvoltate în anii 90; în 1999, Greg Hoglund a descris NTRootkit (Windows, mod kernel), iar în 2003 a apărut HackerDefender (Windows 2000/XP, mod utilizator), ceea ce a determinat o „luptă de mâna a doua” cu instrumente precum RootkitRevealer.

În 2004, așa-numitul „Watergate grecesc” a folosit un rootkit pentru a pirata peste 100 de telefoane dintr-o rețea GSM; în 2005 s-a descoperit că Sony BMG a inclus un rootkit anti-piraterie în unele CD-uri, declanșând o controversă uriașă în materie de securitate.

Din 2008, bootkit-uri precum TDL (TDL-1 până la TDL-4) au evoluat; în 2009, „Machiavelli” a dovedit că nici macOS (pe atunci Mac OS X) nu era imun; în 2010, Stuxnet a folosit componente rootkit pentru a sabota sistemele industriale iraniene.

În 2012, a apărut Flame , un malware modular masiv ; în 2018, LoJax a devenit primul rootkit UEFI detectat; iar în 2019, Scranos a combinat furtul de acreditări și generarea ascunsă de venituri cu ferme de clicuri prin intermediul browserelor compromise în masă.

Resurse și lecturi recomandate

Investigația lui Mark Russinovich asupra cazului Sony și articolul său „Unearthing Rootkits” din Windows IT Pro ajută la înțelegerea fenomenului și a tehnicii din spatele RKR; cartea „Rootkits: Subverting the Windows Kernel” de Greg Hoglund și Jamie Butler este cel mai aprofundat tratat pe această temă.

Arhiva Phrack, „Arta cercetării și apărării împotriva virușilor informatici” de Peter Szor, „Malware: Fighting Malicious Code” de Ed Skoudis și Lenny Zeltser și seria „Windows Internals” (ediția a 4-a încoace) sunt materiale esențiale pentru oricine dorește să aprofundeze arhitectura și contramăsurile serioase.

RootkitRevealer în ecosistemul Sysinternals

RKR coexistă cu alte utilitare Sysinternals utile în cercetare: AccessChk și AccessEnum (permisiuni efective), Autoruns (tot ce începe cu sistemul), Process Explorer (cine a deschis ce și cu ce DLL), PsExec/PsTools (execuție și administrare la distanță), PsLogList și PsLoggedOn (evenimente și sesiuni), Sigcheck (semnături digitale), SDelete (ștergere securizată), ShareEnum (resurse partajate) și Sysmon (telemetrie avansată în jurnalul de evenimente).

Este obișnuit să găsești referințe la „Download 1.71” în depozitele istorice, precum și la „Run now” prin Sysinternals Live. Deși proiectul este unul veteran, mentalitatea sa - compararea abordărilor de nivel înalt cu cele de nivel scăzut - rămâne esențială pentru vânătoarea de rootkit-uri.

RootkitRevealer este, mai presus de toate, o lecție de inginerie defensivă: dacă ceva manipulează ceea ce returnează API-ul, trebuie să te uiți mai jos și să compari acel lucru cu ceea ce există de fapt pe disc și în Registru; cu bune practici, instrumente adecvate și verificare offline atunci când este necesar, este posibil să descoperi ce încearcă să se ascundă acolo unde credem că nimeni nu va căuta.

Articol asociat:

Cele mai bune distribuții Linux pentru a vă proteja securitatea și confidențialitatea