RootkitRevealer là gì: Cách thức hoạt động, cách sử dụng và dấu hiệu của Rootkit

Informatec Digital » An ninh » RootkitRevealer là gì: Cách thức hoạt động, cách sử dụng và dấu hiệu của Rootkit

RootkitRevealer là một trong những tiện ích huyền thoại mà mọi chuyên gia Windows nên biết; nó được tạo ra bởi nhóm Sysinternals dưới sự dẫn dắt của Mark Russinovich và, mặc dù đã xuất hiện nhiều năm trước, nó vẫn là tài liệu tham khảo để hiểu cách phát hiện sự khác biệt do rootkit gây ra giữa những gì hệ thống hiển thị và những gì thực sự có trên ổ đĩa.

Khác với các phần mềm quét khác, nó không tìm kiếm chữ ký hay mẫu: nó so sánh cái nhìn tổng quan về API của Windows với việc đọc dữ liệu thô ở cấp thấp từ ổ đĩa và Registry. Ý tưởng tưởng chừng đơn giản này giúp phát hiện khi nào phần mềm độc hại cố gắng ẩn các tập tin, khóa hoặc giá trị bằng cách thao túng các lệnh gọi hệ thống.

RootkitRevealer là gì và nó hoạt động trên những hệ thống nào?

Đây là một công cụ tiên tiến để phát hiện các dấu hiệu của rootkit ở cả chế độ người dùng và chế độ nhân hệ điều hành . Ban đầu nó được phát triển cho Windows XP và Windows Server 2003 (32-bit) và thường được liệt kê là phần mềm miễn phí, bằng tiếng Anh, và có dung lượng khoảng 231 KiB; nhiều trang liệt kê cũng cho biết khả năng tương thích của nó với Windows NT/2000/XP/Vista vào thời điểm đó.

Theo thời gian, phiên bản chỉ chạy trên dòng lệnh của nó đã bị loại bỏ vì một số tác giả phần mềm độc hại bắt đầu theo dõi tên của tệp thực thi; để tránh điều này, chương trình được khởi chạy như một dịch vụ từ một bản sao có tên ngẫu nhiên của chính nó, khiến việc phát hiện bằng tên trở nên khó khăn hơn và làm phức tạp việc cung cấp giao diện dòng lệnh hoàn chỉnh.

Rootkit là gì? Các khái niệm chính

Thuật ngữ rootkit đề cập đến các kỹ thuật và cơ chế cho phép phần mềm độc hại (virus, Trojan, phần mềm gián điệp, v.v.) ẩn mình khỏi người dùng và các công cụ bảo mật . Có nhiều loại rootkit khác nhau: rootkit dai dẳng (tồn tại sau khi khởi động lại), rootkit thường trú trong bộ nhớ (biến mất sau khi khởi động lại), rootkit chế độ người dùng và rootkit chế độ nhân hệ điều hành, cùng với các biến thể hiện đại khác.

Rootkit ở chế độ người dùng có thể chặn các chức năng như FindFirstFile/FindNextFile, hoặc các trình liệt kê gốc của hệ thống, để lọc các mục có thể tiết lộ các tệp, tiến trình hoặc khóa Registry đã bị sửa đổi . Điều này ngăn Explorer, dấu nhắc lệnh hoặc trình chỉnh sửa Registry nhìn thấy những gì thực sự tồn tại.

Rootkit chế độ nhân còn tiến xa hơn: ngoài việc chặn API gốc, chúng có thể trực tiếp thao tác các cấu trúc nhân, ví dụ như xóa tiến trình của chúng khỏi danh sách các tiến trình đang hoạt động để nó không xuất hiện trong Trình quản lý tác vụ hoặc Trình khám phá tiến trình ngay cả khi nó đang chạy.

Có nhiều loại bộ nạp khởi động khác nhau, bao gồm: loại lai (một phần dựa trên người dùng và một phần dựa trên nhân hệ điều hành), phần mềm nhúng (BIOS/UEFI và các thành phần khác), bộ nạp khởi động (MBR/UEFI), bộ nạp khởi động ảo (đặt hệ điều hành thực bên trong một máy ảo), và bộ nạp khởi động dựa trên bộ nhớ (không lưu trữ dữ liệu lâu dài). Loại cuối cùng này có thể đặc biệt khó tìm, trong khi phần mềm nhúng và bộ nạp khởi động vẫn tồn tại ngay cả sau khi cài đặt lại hệ điều hành.

RootkitRevealer hoạt động như thế nào

RKR so sánh hai ảnh chụp nhanh: cái nhìn tổng quan về API của Windows và việc đọc dữ liệu thô, ở cấp thấp từ các tệp con (hive) của ổ đĩa và Registry. Nếu rootkit can thiệp vào các lệnh gọi cấp cao để che giấu điều gì đó, sự thay đổi này sẽ bị phát hiện vì những gì có trên đĩa và trong Registry không khớp với những gì API cho biết, tạo ra những sai lệch có thể chẩn đoán được.

Về mặt lý thuyết, rootkit cũng có thể cố gắng ẩn mình khỏi RootkitRevealer bằng cách chặn các thao tác đọc dữ liệu thô và ghi đè dữ liệu ngay lập tức. Để đạt được điều này, nó cần có kiến ​​thức sâu rộng về định dạng NTFS, FAT và Registry, và có khả năng sửa đổi cấu trúc mà không gây ra sự không nhất quán hoặc tác dụng phụ rõ ràng — một kỳ tích kỹ thuật cực kỳ phức tạp mà hiếm khi được quan sát thấy. Tuy nhiên, không có "công cụ phát hiện phổ quát" nào là hoàn hảo: ngay cả việc khởi động từ một môi trường bên ngoài (ví dụ: sử dụng các bản phân phối Linux tốt nhất ) cũng có thể bị phá hoại bởi các phần mềm độc hại đặc biệt tinh vi và dai dẳng . Trên thực tế, phương pháp mạnh mẽ nhất là kết hợp phân tích trực tuyến với xác minh ngoại tuyến trong môi trường đáng tin cậy.

Yêu cầu, thực hành tốt và thực hiện

Để chạy quá trình quét này, tài khoản cần có quyền "Sao lưu tập tin và thư mục", "Tải trình điều khiển" và "Bảo trì ổ đĩa" (các quyền này được cấp mặc định cho quản trị viên trong Windows XP trở lên). Để giảm thiểu lỗi sai, nên chạy quá trình quét khi hệ thống ở trạng thái nghỉ và không có ứng dụng nào đang mở.

Ở chế độ thực thi thủ công, chỉ cần nhấn nút quét. Trong quá trình quét, chương trình sẽ cập nhật tiến độ và liệt kê bất kỳ sự khác biệt nào. Có hai tùy chọn liên quan: “Ẩn các tệp siêu dữ liệu NTFS” (được bật theo mặc định, để tránh hiển thị siêu dữ liệu tiêu chuẩn bị ẩn bởi NTFS) và “Nhật ký quét” (được bật theo mặc định; bỏ chọn tùy chọn này sẽ bỏ qua việc quét Registry của Windows ).

Về mặt tự động hóa, nó hỗ trợ các tham số cho phép bạn khởi động, đăng nhập và thoát mà không cần can thiệp: rootkitrevealer outputfile]. Tùy chọn -a bắt đầu và kết thúc tự động; -c xuất kết quả ra dạng CSV; -m hiển thị siêu dữ liệu NTFS; và -r vô hiệu hóa chức năng quét sổ đăng ký. Tệp đầu ra phải ở dạng khối lượng cục bộ có thể truy cập.

Có thể thực hiện từ xa bằng PsExec. Ví dụ: psexec \\remote -c rootkitrevealer.exe -a c:\windows\system32\rootkit.log. Với -c, tiến trình không được hiển thị và các điểm khác biệt được in ra dưới dạng CSV, giúp việc nhập dữ liệu dễ dàng hơn trong cơ sở dữ liệu hoặc tập lệnh.

Diễn giải kết quả và sự khác biệt điển hình

Lỗi "Ẩn khỏi API Windows" là phổ biến nhất khi rootkit đang ẩn các mục nhập. Nếu bạn chưa bật hiển thị siêu dữ liệu NTFS, bạn sẽ thấy sự khác biệt vì NTFS ẩn các tệp nội bộ của nó, chẳng hạn như $MFT hoặc $Secure , khỏi API . Một số chương trình chống virus cũng lưu trữ dữ liệu trong các luồng thay thế và ẩn chúng, dẫn đến các lỗi tương tự.

Đây là một số siêu dữ liệu tiêu chuẩn được định nghĩa trong NTFS (Windows Server 2003): $AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

RKR đối chiếu ba nguồn trong hệ thống tệp: API của Windows, Bảng Tệp Chính (MFT) và các chỉ mục thư mục trên đĩa. Các tổ hợp như "Hiển thị trong API nhưng không có trong chỉ mục hoặc MFT", "Hiển thị trong MFT nhưng không có trong API", v.v., có thể xuất hiện, đặc biệt nếu một tệp được tạo hoặc xóa trong quá trình phân tích và tạo ra một khoảng thời gian không nhất quán tạm thời.

Ví dụ về việc tạo trong quá trình quét: C:\newfile.txt, kích thước 8 byte, với thông báo "Có thể nhìn thấy trong API, nhưng không có trong chỉ mục hoặc MFT". Những trường hợp này không nhất thiết chỉ ra rootkit, nhưng chỉ ra những thay đổi đồng thời trong khi đang được kiểm tra.

Nếu xuất hiện thông báo "Truy cập bị từ chối", nghĩa là có vấn đề: RootkitRevealer sử dụng các cơ chế để truy cập bất kỳ tệp, thư mục hoặc khóa nào, vì vậy thông báo đó không nên xuất hiện trong điều kiện hoạt động bình thường.

Trong Registry, có một số điểm không nhất quán đáng chú ý: “Độ dài API của Windows không nhất quán với dữ liệu thô” (có thể là nỗ lực che giấu nội dung thực tế), “Không khớp kiểu dữ liệu” (ví dụ: REG_SZ được quảng cáo nhưng đáng lẽ phải là REG_BINARY), “Tên khóa chứa các giá trị NULL nhúng” (một kỹ thuật đã biết khai thác sự khác biệt giữa chuỗi kết thúc bằng NULL và chuỗi có số lượng). Đối với trường hợp cuối cùng này, tiện ích RegDelNull của Sysinternals giúp làm sạch các khóa có chứa NULL nhúng.

“Dữ liệu không khớp” có thể xảy ra nếu giá trị thay đổi trong quá trình quét (ví dụ: thời gian hoạt động của SQL Server như HKLM\SOFTWARE\Microsoft\Microsoft SQL Server\RECOVERYMANAGER\MSSQLServer\uptime_time_utc). Bạn phải xác thực rằng giá trị thuộc về các thành phần hợp pháp cập nhật dữ liệu theo thời gian thực.

Một ví dụ minh họa là rootkit HackerDefender: các dịch vụ và trình điều khiển của nó không hiển thị với API của Windows, nhưng lại hiện diện trong quá trình đọc trực tiếp registry; điều tương tự cũng đúng với các tệp của nó, mà quá trình phân tích trực tiếp hệ thống tệp đã phát hiện được trên ổ đĩa.

Các lỗi và vấn đề thường gặp với rootkitrevealer.exe trong môi trường pháp y

Một số bộ công cụ pháp y (ví dụ: WinTaylor) liệt kê các lỗi điển hình liên quan đến rootkitrevealer.exe , chẳng hạn như: “không phải là ứng dụng Win32 hợp lệ”, “không tìm thấy”, “lỗi ứng dụng” hoặc “sự cố khởi động”. Những thông báo này thường xuất hiện trong quá trình cài đặt, khởi động hoặc tắt máy hệ thống, hoặc do xung đột với các ứng dụng thường trú khác.

Các nguyên nhân thường gặp nhất bao gồm các tập tin bị hỏng hoặc thiếu, các mục nhập Registry không hợp lệ, nhiễm phần mềm độc hại, gỡ cài đặt không hoàn chỉnh hoặc xung đột với phần mềm khác. Nguồn gốc có thể là một mục nhập Registry bị hỏng, xóa nhầm bởi một công cụ khác, tải xuống không thành công hoặc nhiễm trùng trước đó đã làm thay đổi tệp nhị phân.

Như một sự tò mò về hàng tồn kho, một số danh sách ghi lại tệp thực thi có kích thước xấp xỉ 334.720 byte và các hàm băm như SHA‑1 và MD5 (ví dụ: SHA‑1 d39e8a3fe92adc7d7fbc5293edf8a7b965484a59, MD5 ee738fe9bcdd605821002cec8c7206db) và CRC32 98b1af0b; họ cũng đề cập đến phiên bản 2.1 trong ứng dụng chứa của nó và danh mục “Bộ công cụ pháp y/Hệ điều hành”.

Phương pháp phát hiện và ứng phó với Rootkit

Việc phát hiện rootkit không phải lúc nào cũng dễ dàng. Bên cạnh các công cụ chuyên dụng, các kỹ thuật như phân tích chữ ký của các mối đe dọa đã biết, so sánh cấu trúc, tìm kiếm các hook và thay đổi trong bộ nhớ, và xem xét các bản ghi bộ nhớ sau khi hệ thống gặp sự cố được kết hợp để xác định các mô-đun đáng ngờ . Việc dựa vào Hệ thống Ngăn chặn Xâm nhập (IPS) để bảo vệ mạng và giảm thiểu các vectơ lây nhiễm cũng rất phổ biến .

Các tiện ích chuyên dụng bao gồm GMER (để phát hiện các tiến trình ẩn và các thay đổi nhân hệ điều hành), Kaspersky TDSSKiller (đặc biệt để phát hiện bootkit và rootkit nhân hệ điều hành), Malwarebytes Anti-Rootkit, Microsoft Defender Offline (để quét trước khi Windows khởi động) và RogueKiller. Chạy các chương trình này từ ổ USB khởi động đáng tin cậy hoặc ở Chế độ An toàn sẽ giảm thiểu bề mặt tấn công.

Đối với các mối đe dọa khởi động hoặc chương trình cơ sở, nên sử dụng phương tiện cứu hộ như Kaspersky Rescue Disk, khôi phục MBR bằng bootrec /fixmbr khi cần thiết và trong trường hợp nghiêm trọng, hãy cập nhật/flash BIOS/UEFI lên phiên bản sạch từ nhà sản xuất để loại bỏ sự kiên trì ở mức độ thấp.

Việc giám sát bằng Sysinternals là vô cùng quan trọng: Process Monitor (ProcMon) để theo dõi hoạt động của tiến trình và tập tin, Autoruns để kiểm tra những chương trình được tải khi khởi động, và RootkitRevealer để phát hiện các sai lệch ở cấp độ cao/thấp. Các nền tảng SIEM như Wazuh và dữ liệu đo từ xa trong môi trường doanh nghiệp có thể phát hiện các hành vi mạng bất thường hoặc những thay đổi về tính toàn vẹn dữ liệu.

Nếu xác nhận bị nhiễm virus, trình tự hợp lý cần thực hiện là: ngắt kết nối máy khỏi mạng, quét từ môi trường bên ngoài, đánh giá tính toàn vẹn của hệ thống khởi động/firmware và, nếu không có gì đảm bảo, sao lưu dữ liệu, làm sạch hoàn toàn ổ đĩa (các công cụ như DBAN) và cài đặt lại từ phương tiện đã được xác minh, sau đó kích hoạt các biện pháp như Secure Boot và TPM.

Phòng ngừa: Bảo vệ hợp lý chống lại rootkit

Phòng ngừa là chìa khóa. Hãy luôn cập nhật hệ thống, vá lỗi cho phần mềm của bên thứ ba, tránh tải các tập tin thực thi từ các nguồn không rõ ràng và không sử dụng các phần mềm bẻ khóa hoặc tạo mã: chúng là phương thức ưa thích để đóng gói các phần mềm phát tán và tải rootkit .

Vô hiệu hóa tính năng tự động chạy của USB, quét các ổ đĩa ngoài trước khi mở chúng, và trong môi trường doanh nghiệp, giới hạn hoặc chặn các cổng và áp dụng tường lửa khi cần thiết. Làm việc với các tài khoản người dùng không có đặc quyền, áp dụng nguyên tắc quyền hạn tối thiểu và yêu cầu thông tin đăng nhập quản trị viên đối với các thay đổi quan trọng, giảm khả năng leo thang quyền truy cập âm thầm.

Trên phần cứng tương thích, hãy bật Secure Boot và TPM từ UEFI để bảo vệ chuỗi khởi động và niêm phong khóa. Duy trì các bản sao lưu ngoại tuyến hoặc bất biến thường xuyên và sử dụng ảnh chụp nhanh/điểm khôi phục để rút ngắn thời gian phục hồi nếu có sự cố xảy ra.

Rootkit được cài đặt như thế nào: dropper, loader và vector

Kẻ tấn công thường phát tán rootkit dưới dạng các mối đe dọa kết hợp: một "dropper" (phần mềm thả) để phân phối gói phần mềm và một "loader" (phần mềm tải) để khai thác các lỗ hổng (như tràn bộ đệm) nhằm cài đặt phần mềm độc hại vào nơi không được phép. Điều này được ngụy trang dưới dạng email lừa đảo , trình cài đặt giả mạo hoặc các bản cập nhật gian lận.

Các phương thức lây nhiễm cổ điển bao gồm chiếm quyền điều khiển các ứng dụng nhắn tin để phát tán các liên kết độc hại, cài đặt phần mềm Trojan trên các cổng tải xuống, sử dụng các phần mềm độc hại khác làm vật trung gian và nhúng chúng vào các tài liệu có nội dung phong phú (ví dụ: một số tệp PDF) mà khi được mở ra sẽ tự động kích hoạt trình phát tán.

Dấu hiệu tấn công và manh mối phát hiện

Mục tiêu của rootkit là không bị phát hiện. Mặc dù vậy, bạn vẫn có thể quan sát thấy các thay đổi cấu hình mà không cần sự can thiệp của người dùng, sự gián đoạn mạng bất thường do lưu lượng truy cập ẩn, các tiến trình không xác định, các dịch vụ không thể đóng và các công cụ bảo mật bị vô hiệu hóa mà không có lời giải thích.

Một manh mối khác là thông tin mâu thuẫn giữa các tiện ích liệt kê tệp, tiến trình hoặc khóa Registry bằng cách sử dụng các đường dẫn khác nhau (API so với đọc trực tiếp). Đây là nơi các phương pháp như RootkitRevealer phát huy tác dụng: cùng một đối tượng "có" trên ổ đĩa nhưng "không có" theo API cho thấy có sự thao túng.

Các loại rootkit chính

Chế độ người dùng: Chế độ này hoạt động ở cấp độ tiến trình và thư viện. Chúng ổn định hơn và tương đối dễ phát hiện hơn, mặc dù chúng có thể che giấu các tập tin, tiến trình và khóa. Một ví dụ kinh điển trong lịch sử là HackerDefender.

Chế độ nhân hệ điều hành: Các virus này cư trú trong nhân hệ điều hành, có quyền kiểm soát hoàn toàn và khả năng ẩn mình tuyệt vời; chúng rất khó diệt trừ và có xu hướng gây ra sự bất ổn nếu được thiết kế kém. Ví dụ về họ virus này: TDL/Alureon trong quá trình tiến hóa của nó.

Các hệ thống lai: kết hợp các thành phần người dùng và nhân hệ điều hành để cân bằng giữa khả năng che giấu và tính ổn định, do đó được giới tấn công ưa chuộng vì tính linh hoạt thực tiễn của chúng.

Phần mềm độc hại/Bộ công cụ khởi động (Bootkit): Chúng lây nhiễm vào BIOS/UEFI hoặc khu vực khởi động (MBR/UEFI) để tải trước hệ điều hành. Các công nghệ như Secure Boot đã làm cho nhiều bộ công cụ khởi động cổ điển trở nên lỗi thời, nhưng các phần mềm cấy ghép UEFI hiện đại đã xuất hiện.

VMBR (Virtual Business Registry) và dựa trên bộ nhớ: VMBR tải một hypervisor bên dưới hệ điều hành và ảo hóa nó; còn VMBR dựa trên bộ nhớ chỉ nằm trong RAM và biến mất khi khởi động lại, rất hữu ích cho các thao tác tạm thời.

Ví dụ và niên đại nổi bật

Các rootkit đầu tiên dành cho SunOS được phát triển vào những năm 90; năm 1999, Greg Hoglund mô tả NTRootkit (Windows, chế độ kernel), và năm 2003 HackerDefender (Windows 2000/XP, chế độ người dùng) xuất hiện, dẫn đến một cuộc "đấu tranh" với các công cụ như RootkitRevealer.

Năm 2004, vụ bê bối được gọi là "Watergate Hy Lạp" đã sử dụng rootkit để tấn công hơn 100 điện thoại trên mạng GSM; năm 2005, người ta phát hiện ra rằng Sony BMG đã cài đặt rootkit chống vi phạm bản quyền vào một số đĩa CD, gây ra một cuộc tranh cãi lớn về an ninh mạng.

Từ năm 2008, các bootkit như TDL (TDL-1 đến TDL-4) đã phát triển; năm 2009, “Machiavelli” chứng minh rằng macOS (khi đó là Mac OS X) cũng không miễn nhiễm; năm 2010, Stuxnet đã sử dụng các thành phần rootkit để phá hoại các hệ thống công nghiệp của Iran.

Năm 2012, Flame , một phần mềm độc hại dạng mô-đun quy mô lớn, xuất hiện ; năm 2018, LoJax trở thành rootkit UEFI đầu tiên được phát hiện trong thực tế; và năm 2019, Scranos kết hợp việc đánh cắp thông tin đăng nhập và tạo doanh thu ngầm bằng các trang trại nhấp chuột thông qua các trình duyệt bị xâm nhập hàng loạt.

Tài nguyên và tài liệu đọc được đề xuất

Cuộc điều tra của Mark Russinovich về vụ Sony và bài viết "Khám phá Rootkit" của ông trên Windows IT Pro giúp hiểu rõ hiện tượng và kỹ thuật đằng sau RKR; cuốn sách "Rootkits: Phá hoại nhân Windows" của Greg Hoglund và Jamie Butler là chuyên luận chuyên sâu nhất về chủ đề này.

Kho lưu trữ Phrack, cuốn "Nghệ thuật nghiên cứu và phòng chống virus máy tính" của Peter Szor, "Phần mềm độc hại: Chống lại mã độc" của Ed Skoudis và Lenny Zeltser, và loạt sách "Windows Internals" (từ ấn bản thứ 4 trở đi) là những tài liệu thiết yếu cho bất kỳ ai muốn tìm hiểu sâu hơn về kiến ​​trúc và các biện pháp đối phó nghiêm túc.

RootkitRevealer trong hệ sinh thái Sysinternals

RKR cùng tồn tại với các tiện ích Sysinternals khác hữu ích trong nghiên cứu: AccessChk và AccessEnum (quyền truy cập hiệu quả), Autoruns (mọi thứ khởi chạy cùng hệ thống), Process Explorer (ai đã mở cái gì và bằng DLL nào), PsExec/PsTools (thực thi và quản trị từ xa), PsLogList và PsLoggedOn (sự kiện và phiên), Sigcheck (chữ ký số), SDelete (xóa an toàn), ShareEnum (tài nguyên được chia sẻ) và Sysmon (thông tin đo lường nâng cao trong nhật ký sự kiện).

Thường thấy các tham chiếu đến "Tải xuống 1.71" trong các kho lưu trữ cũ, cũng như "Chạy ngay" thông qua Sysinternals Live. Mặc dù dự án đã có nhiều năm kinh nghiệm, nhưng tư duy của nó—so sánh các phương pháp cấp cao và cấp thấp—vẫn là chìa khóa để săn lùng rootkit.

Trên hết, RootkitRevealer là một bài học về kỹ thuật phòng thủ: nếu có thứ gì đó đang thao túng những gì API trả về, bạn phải xem xét kỹ hơn và so sánh nó với những gì thực sự tồn tại trên ổ đĩa và trong Registry; với các phương pháp tốt, các công cụ phù hợp và xác minh ngoại tuyến khi cần thiết, có thể phát hiện ra những gì đang cố gắng che giấu ở những nơi mà chúng ta nghĩ rằng không ai sẽ tìm thấy.