Kaj je RootkitRevealer: Kako deluje, kako ga uporabljati in znaki rootkitov

Informatec Digital » varnost » Kaj je RootkitRevealer: Kako deluje, kako ga uporabljati in znaki rootkitov

RootkitRevealer je eno tistih legendarnih orodij, ki bi jih moral poznati vsak strokovnjak za Windows; ustvarila ga je ekipa Sysinternals z Markom Russinovichom na čelu in čeprav se je pojavil pred leti, ostaja referenca za razumevanje, kako odkriti neskladja, ki jih povzročajo rootkiti, med tem, kar sistem prikazuje, in tem, kar je dejansko na disku.

Za razliko od drugih skenerjev ne išče podpisov ali vzorcev: primerja pogled na visokonivojski API sistema Windows s surovim, nizkonivojskim branjem diska in registra. Ta na videz preprosta ideja razkrije, kdaj zlonamerna programska oprema poskuša skriti datoteke, ključe ali vrednosti z manipuliranjem sistemskih klicev.

Kaj je RootkitRevealer in na katerih sistemih deluje?

To je napredno orodje za odkrivanje znakov rootkitov tako v uporabniškem kot v jedrnem načinu . Prvotno je bilo razvito za Windows XP in Windows Server 2003 (32-bitni) in je običajno navedeno kot brezplačno, v angleščini in veliko približno 231 KiB; številni oglasi so takrat navajali tudi njegovo združljivost z operacijskimi sistemi Windows NT/2000/XP/Vista.

Sčasoma je bila njegova različica, ki je bila namenjena izključno ukazni vrstici, odpravljena, ker so nekateri avtorji zlonamerne programske opreme začeli spremljati ime izvedljive datoteke; da bi se temu izognili, se program zažene kot storitev iz naključno poimenovane kopije samega sebe, kar otežuje zaznavanje po imenu in zapleta zagotavljanje 100-odstotnega konzolnega vmesnika.

Kaj je rootkit? Ključni koncepti

Izraz rootkit se nanaša na tehnike in mehanizme, ki omogočajo, da se zlonamerna programska oprema (virusi, trojanski konji, vohunska programska oprema itd.) skrije pred uporabnikom in varnostnimi orodji . Razlikujemo več družin: persistentne (preživijo ponovne zagone), pomnilniško-rezidentne (izginejo po ponovnem zagonu), uporabniško-načinne in jedrne-načinne, med drugimi sodobnimi različicami.

Uporabniški rootkit lahko prestreže funkcije, kot sta FindFirstFile/FindNextFile, ali izvorne enumeratorje sistema, da filtrira vnose, ki bi razkrili spremenjene datoteke, procese ali ključe registra . To preprečuje Raziskovalcu, ukaznemu pozivu ali urejevalnikom registra, da bi videli, kaj dejansko obstaja.

Korenski kompleti v jedrnem načinu gredo še dlje: poleg prestrezanja izvornega API-ja lahko neposredno manipulirajo s strukturami jedra, na primer tako, da svoj proces odstranijo s seznama aktivnih procesov, tako da se ne prikaže v upravitelju opravil ali raziskovalcu procesov, čeprav se izvaja.

Obstajajo hibridni (delno uporabniško usmerjeni in delno jedrno usmerjeni), vdelana programska oprema (BIOS/UEFI in druge komponente), zagonski ali bootkit (MBR/UEFI), virtualni (ki namestijo dejanski operacijski sistem v virtualni stroj) in pomnilniško usmerjeni (netrajni) zagonski nalagalniki. Slednji so lahko še posebej izmuzljivi, medtem ko vdelana programska oprema in zagonski nalagalniki ostanejo shranjeni tudi po čisti ponovni namestitvi operacijskega sistema.

Kako deluje RootkitRevealer

RKR primerja dva posnetka: pogled na visoko raven API-ja sistema Windows in surovo, nizkonivojsko branje datotek poddrevesa nosilca in registra (panjev). Če rootkit spreminja klice na visoki ravni, da bi nekaj skril, se ta sprememba razkrije, ker se tisto, kar je na disku in v registru, ne ujema s tem, kar API navaja, kar ustvarja diagnosticirana odstopanja.

Teoretično bi se lahko rootkit poskušal skriti pred RootkitRevealerjem tudi tako, da bi prestregel njegove surove podatke in sproti prepisal podatke. Da bi to dosegel, bi potreboval temeljito poznavanje formatov NTFS, FAT in registra ter bi moral biti sposoben spreminjati strukture, ne da bi pri tem povzročal nedoslednosti ali očitne stranske učinke – zelo zapleten tehnični podvig , ki ga redko opazimo. Kljub temu ni nezmotljivega "univerzalnega detektorja": celo zagon iz zunanjega okolja (na primer z uporabo najboljših distribucij Linuxa ) bi lahko sabotirali še posebej sofisticirani in vztrajni artefakti . V praksi je najrobustnejši pristop kombinacija spletne analize s preverjanjem brez povezave v zaupanja vrednih okoljih.

Zahteve, dobre prakse in izvedba

Za zagon tega skeniranja potrebuje račun pravice »Varnostno kopiranje datotek in imenikov«, »Nalaganje gonilnikov« in »Vzdrževanje nosilca« (te pravice so privzeto dodeljene skrbnikom v sistemu Windows XP in novejših različicah). Za zmanjšanje lažno pozitivnih rezultatov je priporočljivo, da skeniranje zaženete, ko je sistem v mirovanju in brez odprtih aplikacij.

Pri ročnem izvajanju preprosto pritisnite gumb za skeniranje. Med postopkom bo program prikazoval posodobitve napredka in navedel morebitna odstopanja. Na voljo sta dve ustrezni možnosti: »Skrij datoteke z metapodatki NTFS« (privzeto omogočeno, da se izognemo prikazu standardnih metapodatkov, ki jih skriva NTFS) in »Dnevnik skeniranja« (privzeto omogočeno; če to možnost prekličete, se skeniranje registra sistema Windows ne bo skeniralo ).

Za avtomatizacijo podpira parametre, ki omogočajo zagon, prijavo in izhod brez posredovanja: rootkitrevealer outputfile]. Možnost -a začne in konča samodejno; -c rezultat izpiši v CSV; -m prikaže metapodatke NTFS; in -r onemogoči skeniranje registra. Izhodna datoteka mora biti v dostopna lokalna glasnost.

Oddaljeno izvajanje je možno s PsExec. Na primer: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log. Z -c, napredek ni prikazan, odstopanja pa so natisnjena v obliki CSV, kar olajša uvoz v podatkovnih bazah ali skriptih.

Interpretacija rezultatov in tipična odstopanja

Razlike »Skrito pred Windows API-jem« so najpogostejše, ko rootkit skriva vnose. Če niste omogočili prikaza metapodatkov NTFS, boste opazili razlike, ker NTFS skriva svoje notranje datoteke, kot sta $MFT ali $Secure , pred API-jem . Nekateri protivirusni programi shranjujejo podatke tudi v alternativnih tokovih in jih skrivajo, kar povzroča podobne napake.

To so nekateri standardni metapodatki, definirani v NTFS (Windows Server 2003): $AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

RKR povezuje tri vire v datotečnem sistemu: Windows API, glavno datotečno tabelo (MFT) in indekse imenikov na disku. Pojavijo se lahko kombinacije, kot so »Vidno v API-ju, vendar ne v indeksu ali MFT-ju«, »Vidno v MFT-ju, vendar ne v API-ju« itd., zlasti če je datoteka med analizo ustvarjena ali izbrisana in povzroči okno začasne nedoslednosti.

Primer ustvarjanja med skeniranjem: C:\newfile.txt, velikosti 8 bajtov, s sporočilom »Vidno v API-ju, vendar ne v indeksu ali MFT-ju«. Ti primeri ne kažejo nujno na rootkite, temveč na sočasne spremembe med pregledom.

Če se prikaže sporočilo »Dostop zavrnjen«, je nekaj narobe: RootkitRevealer uporablja mehanizme za dostop do katere koli datoteke, imenika ali ključa, zato se to sporočilo ne bi smelo pojaviti v normalnih pogojih delovanja.

V registru je več zanimivih neskladij: »Dolžina Windows API ni skladna s surovimi podatki« (možen poskus skrivanja dejanske vsebine), »Neujemanje tipov« (npr. oglašuje se REG_SZ, vendar bi moral biti REG_BINARY), »Ime ključa vsebuje vdelane vrednosti NULL« (znana tehnika, ki izkorišča razliko med nizi, ki se končajo z NULL, in nizi s števci). V slednjem primeru pripomoček RegDelNull podjetja Sysinternals pomaga očistiti ključe z vdelanimi vrednostmi NULL.

Do »neusklajenosti podatkov« lahko pride, če se vrednost med pregledovanjem spremeni (npr. čas delovanja strežnika SQL Server, kot je HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). Preveriti morate, ali vrednost pripada legitimne komponente ki posodabljajo podatke v realnem času.

Ilustrativen primer je bil korenski komplet HackerDefender: njegove storitve in gonilniki so bili nevidni za API sistema Windows, vendar so bili prisotni v surovem branju registrskega panja; enako je veljalo za njegove datoteke, ki jih je neposredna analiza datotečnega sistema zaznala na disku.

Pogoste napake in težave z rootkitrevealer.exe v forenzičnih okoljih

Nekateri forenzični kompleti (npr. WinTaylor) navajajo tipične napake, povezane z rootkitrevealer.exe , kot so: »ni veljavna aplikacija Win32«, »ni najdena«, »napaka aplikacije« ali »težava pri zagonu«. Ta sporočila se običajno pojavijo med namestitvijo, zagonom ali zaustavitvijo sistema ali zaradi konfliktov z drugimi nameščenimi aplikacijami.

Najpogostejši vzroki vključujejo poškodovane ali manjkajoče datoteke, neveljavne vnose v register, okužbe z zlonamerno programsko opremo, nepopolne odstranitve ali konflikte z drugo programsko opremo. Vir je lahko poškodovan vnos v register, nenamerno brisanje z drugim orodjem, neuspešen prenos ali prejšnja okužba , ki je spremenila binarno datoteko.

Kot zanimivost inventarja nekateri oglasi dokumentirajo izvedljivo datoteko s približno velikostjo 334.720 bajtov in zgoščevalne vrednosti, kot sta SHA-1 in MD5 (npr. SHA‑1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59, MD5 ee738fe9bcdd605821002cec8c7206db) in CRC32 98b1af0b; sklicujejo se tudi na različica 2.1 v svoji aplikaciji zabojnika in kategorija »Forenzična orodja/operacijski sistem«.

Metode za odkrivanje in odzivanje na rootkite

Odkrivanje rootkita ni vedno preprosto. Poleg specifičnih orodij se za prepoznavanje sumljivih modulov kombinirajo tehnike, kot so analiza podpisov znanih groženj, hladna primerjava struktur, iskanje kavljev in sprememb v pomnilniku ter pregled izpisov pomnilnika po zrušitvah. Prav tako se za zaščito omrežja in zmanjšanje vektorjev okužb pogosto zanašamo na sisteme za preprečevanje vdorov (IPS) .

Med specializiranimi pripomočki so GMER (za odkrivanje skritih procesov in sprememb jedra), Kaspersky TDSSKiller (zlasti za odkrivanje zagonskih kompletov in korenskih kompletov jedra), Malwarebytes Anti-Rootkit, Microsoft Defender Offline (za skeniranje pred zagonom sistema Windows) in RogueKiller. Če jih zaženete z zaupanja vrednega zagonskega pogona USB ali v varnem načinu, se zmanjša površina za napad.

Za grožnje zagona ali vdelane programske opreme je priporočljivo uporabiti reševalne medije, kot je Kaspersky Rescue Disk, obnoviti MBR z bootrec /fixmbr kjer je to primerno in v hujših primerih posodobite/naložite BIOS/UEFI na čisto različico proizvajalca, da odpravite težavo nizka raven vztrajnosti.

Spremljanje s Sysinternals je neprecenljivo: Process Monitor (ProcMon) za aktivnost procesov in datotek, Autoruns za preverjanje, kaj se naloži ob zagonu, in RootkitRevealer za visoke/nizke ravni neskladij. Platforme SIEM, kot sta Wazuh in telemetrija v poslovnih okoljih, lahko odkrijejo nepričakovano omrežno vedenje ali spremembe integritete.

Če je okužba potrjena, je razumen postopek naslednji: odklop računalnika iz omrežja, skeniranje iz zunanjega okolja, ocena celovitosti zagona/vdelane programske opreme in, če ni zagotovil, varnostno kopiranje podatkov, popolno čiščenje diska (orodja, kot je DBAN) in ponovna namestitev s preverjenega medija, nato pa omogočanje ukrepov, kot sta Secure Boot in TPM.

Preprečevanje: Razumna zaščita pred rootkiti

Preprečevanje je ključnega pomena. Poskrbite za posodabljanje sistema, nameščajte popravke za programsko opremo drugih proizvajalcev, izogibajte se izvedljivim datotekam iz dvomljivih virov in ne uporabljajte razpok ali generatorjev ključev: so priljubljen vektor za pakiranje shranjevalnikov in nalagalnikov rootkitov .

Onemogočite samodejni zagon USB-ja, pred odpiranjem skenirajte zunanje pogone, v poslovnih okoljih pa omejite ali blokirajte vrata in po potrebi uporabite požarne zidove . Delajte z neprivilegiranimi uporabniškimi računi, uporabite načelo najmanjših privilegijev in za kritične spremembe zahtevajte skrbniške poverilnice, s čimer zmanjšate verjetnost tihih eskalacij.

Na združljivi strojni opremi omogočite Secure Boot in TPM iz UEFI, da zaščitite zagonsko verigo in tesnjenje ključev. Redno vzdržujte varnostne kopije brez povezave ali nespremenljive varnostne kopije ter uporabljajte posnetke/obnovitvene točke, da skrajšate čas obnovitve, če gre kaj narobe.

Kako se nameščajo rootkiti: droperji, nalagalniki in vektorji

Napadalci običajno distribuirajo rootkite kot kombinirane grožnje: »dropper«, ki dostavi paket, in »nalagalnik«, ki izkorišča ranljivosti (kot so prelivanja medpomnilnika), da vsadek namesti tja, kjer ne bi smel. To je prikrito kot lažna e-poštna sporočila , lažne namestitvene programe ali goljufive posodobitve.

Klasični vektorji vključujejo ugrabitev odjemalcev za sporočanje za širjenje zlonamernih povezav, trojansko programsko opremo na portalih za prenos, uporabo druge zlonamerne programske opreme kot nosilcev in vdelavo v dokumente z bogato vsebino (npr. nekatere PDF-je), ki ob odprtju samodejno sprožijo spuščanje.

Znaki napada in namigi za odkrivanje

Cilj rootkita je, da ostane neopažen. Kljub temu lahko opazite spremembe konfiguracije brez posredovanja uporabnika, nenavadne prekinitve omrežja zaradi skritega prometa, neznane procese, storitve, ki jih ni mogoče zapreti, in varnostna orodja, ki so onemogočena brez pojasnila.

Drug namig so nasprotujoče si informacije med orodji, ki navajajo datoteke, procese ali ključe registra z uporabo različnih poti (API v primerjavi s surovim branjem). Tukaj se izkažejo pristopi, kot je RootkitRevealer: isti objekt, ki "je" na disku, vendar "ni" glede na API, kaže na manipulacijo.

Glavne vrste rootkitov

Uporabniški način: Ti delujejo na ravni procesov in knjižnic. So bolj stabilni in jih je relativno lažje zaznati, čeprav lahko skrijejo datoteke, procese in ključe. Klasični zgodovinski primer je HackerDefender.

Jedrni način: Ti virusi se nahajajo v jedru, s popolnim nadzorom in veliko prikritostjo; težko jih je izkoreniniti in ponavadi povzročajo nestabilnosti, če so slabo zasnovani. Primeri te družine: TDL/Alureon v svojem razvoju.

Hibridi: združujejo uporabniške in jedrne komponente za uravnoteženje prikritosti in stabilnosti, zaradi česar so priljubljeni med napadalci zaradi svoje praktične vsestranskosti.

Vdelana programska oprema/zagonski kompleti: Ti okužijo BIOS/UEFI ali zagonski sektor (MBR/UEFI) in se naložijo pred operacijskim sistemom. Tehnologije, kot je Secure Boot, so številne klasične zagonske komplete naredile zastarele, vendar so se pojavili sodobni vsadki UEFI.

Virtualni in pomnilniško usmerjeni: VMBR-ji naložijo hipervizor pod operacijskim sistemom in ga virtualizirajo; pomnilniško usmerjeni se nahajajo le v RAM-u in izginejo po ponovnem zagonu, kar je zelo uporabno za kratkotrajne operacije.

Primeri in poudarjena kronologija

Prvi rootkiti za SunOS so bili razviti v devetdesetih letih prejšnjega stoletja; leta 1999 je Greg Hoglund opisal NTRootkit (Windows, način jedra), leta 2003 pa se je pojavil HackerDefender (Windows 2000/XP, uporabniški način), kar je sprožilo "vleko vrvi" z orodji, kot je RootkitRevealer.

Leta 2004 je tako imenovani "grški Watergate" s pomočjo rootkita vdrl v več kot 100 telefonov v omrežju GSM; leta 2005 je bilo odkrito, da je Sony BMG v nekatere CD-je vključil protipiratski rootkit, kar je sprožilo veliko varnostno polemiko.

Od leta 2008 so se razvili bootkiti, kot je TDL (od TDL-1 do TDL-4); leta 2009 je »Machiavelli« dokazal, da tudi macOS (takrat Mac OS X) ni imun; leta 2010 je Stuxnet uporabil komponente rootkita za sabotažo iranskih industrijskih sistemov.

Leta 2012 se je pojavil Flame , ogromna modularna zlonamerna programska oprema ; leta 2018 je LoJax postal prvi UEFI rootkit, odkrit v naravi; leta 2019 pa je Scranos združil krajo poverilnic in skrito ustvarjanje prihodkov s klikovnimi farmami prek množično ogroženih brskalnikov.

Viri in priporočeno branje

Preiskava primera Sony, ki jo je izvedel Mark Russinovich, in njegov članek »Unearthing Rootkits« v reviji Windows IT Pro pomagata razumeti pojav in tehniko, ki stoji za RKR; knjiga »Rootkits: Subverting the Windows Kernel« avtorjev Grega Hoglunda in Jamieja Butlerja je najbolj poglobljena razprava o tej temi.

Phrack Archive, knjiga Petra Szorja "Umetnost raziskovanja in obrambe pred računalniškimi virusi", knjiga Eda Skoudisa in Lennyja Zeltserja "Zlonamerna programska oprema: boj proti zlonamerni kodi" ter serija "Windows Internals" (od 4. izdaje naprej) so bistvena gradiva za vse, ki se želijo poglobiti v arhitekturo in resne protiukrepe.

RootkitRevealer v ekosistemu Sysinternals

RKR sobiva z drugimi pripomočki Sysinternals, ki so uporabni pri raziskavah: AccessChk in AccessEnum (učinkovita dovoljenja), Autoruns (vse, kar se zažene s sistemom), Process Explorer (kdo je kaj odprl in s katero DLL), PsExec/PsTools (oddaljeno izvajanje in upravljanje), PsLogList in PsLoggedOn (dogodki in seje), Sigcheck (digitalni podpisi), SDelete (varno brisanje), ShareEnum (skupni viri) in Sysmon (napredna telemetrija v dnevniku dogodkov).

V zgodovinskih repozitorijih je pogosto mogoče najti omembe »Prenesi 1.71«, pa tudi »Zaženi zdaj« prek Sysinternals Live. Čeprav je projekt že dolgo izkušen, ostaja njegov način razmišljanja – primerjava visokonivojskih in nizkonivojskih pristopov – ključnega pomena za lov na rootkite.

RootkitRevealer je predvsem lekcija obrambnega inženiringa: če nekaj manipulira s tem, kar vrne API, morate pogledati pod to podlago in to primerjati s tem, kar dejansko obstaja na disku in v registru; z dobrimi praksami, ustreznimi orodji in po potrebi preverjanjem brez povezave je mogoče odkriti, kaj se skriva tam, kjer mislimo, da nihče ne bo pogledal.