Ein Rootkit verbirgt Software auf einem System, indem es Dateien, Prozesse oder andere Zeichen versteckt, die Bedienende sonst prüfen.
Das Verbergen kann in Nutzerprogrammen oder tiefer im System sitzen, sodass gewöhnliche Werkzeuge einen sauberen Rechner melden, der nicht sauber ist.
So funktioniert es
Das Ziel ist Dauer mit Stille: die Komponente bleibt über Neustarts hinweg und lügt über ihre Anwesenheit.
Andere unerwünschte Programme stützen sich manchmal auf diese Verschleierung, damit ihre Dateien bei einer flüchtigen Suche fehlen.
Erkennung ist schwer, weil der Melder selbst der Lügner sein kann.
Vertrauenswürdige externe Prüfungen, bekannte gute Starts und Vergleiche von außerhalb des verdächtigen Systems wiegen mehr als ein einzelnes lokales Statusfenster.
Konkrete Beispiele
- Eine Prozessliste eines Servers zeigt nie eine Komponente, die trotzdem auf einem versteckten Kanal antwortet.
- Dateilisten überspringen einen Ordner, den ein Start von sauberen Medien auf derselben Platte sehen kann.
- Sicherheitswerkzeuge auf dem Rechner bleiben still, während ein externer Sensor unerwarteten Verkehr von diesem Rechner sieht.
Schutzmaßnahmen
- Starten Sie verdächtige Maschinen von bekannt sauberen Medien, wenn Sie eine Sicht brauchen, die das installierte System nicht fälschen kann.
- Vergleichen Sie Dateiverzeichnisse und Autostart Einträge mit einer vertrauenswürdigen Basis von vor dem Vorfall.
- Bevorzugen Sie die Neuinstallation kritischer Rechner, wenn Verschleierung bestätigt ist, weil eine lokale Säuberung belogen werden kann.
- Sammeln Sie Protokolle auf einem getrennten System, damit eine verbergende Komponente nicht die einzige Beweiskopie ändert.