Rootkit
Da Wikipedia, l'enciclopedia libera.
 |
Questa voce sull'argomento informatica è solo un abbozzo. Contribuisci a migliorarla secondo le convenzioni di Wikipedia.
|
 |
Un rootkit, (in ambiente Unix per "root" access si intende accesso di livello amministrativo, quindi letteralmente si potrebbe intendere equipaggiamento da amministratore) è un programma software creato per avere il controllo completo sul sistema senza bisogno di autorizzazione da parte di utente o amministratore. Recentemente alcuni virus informatici si sono avvantaggiati della possibilità di agire come rootkit (processo, file, chiave di registro, porta di rete) all'interno del sistema operativo.
Se è vero che questa tecnologia è fondamentale per il buon funzionamento del sistema operativo, negli anni sono stati creati cavalli di Troia e altri programmi maligni in grado di ottenere il controllo di un computer da locale o da remoto in maniera nascosta, ossia non rilevabile dai più comuni strumenti di amministrazione e controllo. I rootkit vengono tipicamente usati per nascondere delle backdoor. Negli ultimi anni, tuttavia, s'è molto diffusa la pratica, tra i creatori di malware, di utilizzare rootkit per rendere più difficile la rilevazione di particolari trojan e spyware, indipendentemente dalla presenza in essi di funzioni di backdoor, proprio grazie alla possibilità di occultarne i processi principali. Grazie all'alto livello di priorità con la quale sono in esecuzione, i rootkit sono molto difficili da rilevare e da rimuovere con i normali software Antivirus.
I rootkit vengono usati anche per trovare le informazioni personali presenti in un computer e inviarle al mittente del malware ed essere poi utilizzate da esso per scopi personali, come per esempio un keylogger (a livello kernel) che memorizza tutti i tasti premuti direttamente dal driver per il controllo della tastiera.
I più comuni rootkit fanno uso di moduli del kernel o librerie su sistemi Unix, e DLL e driver per quelli Windows.
I rootkit di tipo Kernel driver sono la categoria più forte e difficile da trovare, perché possono prendere il controllo di una qualsiasi funzione del sistema direttamente al livello più privilegiato (IOPL = 0). Solitamente essi adottano varie tecniche:
- 1) Modifica dei vettori della tabella dei descrittori dei servizi di systema (SSDT)
- 2) intercettazione delle system call invocate dall'istruzione SYSENTER
- 3) Infiltrazione nello stack dei drivers lungo una richiesta IRP
Tra i più noti si possono annoverare FU e NT Rootkit.
[modifica] Voci correlate
[modifica] Collegamenti esterni
- (EN) La prima segnalazione del rootkit contenuto in alcuni CD audio della Sony.
