Руткиты – вид вредоносных программных средств, которые внедряются в операционную систему (ОС) компьютера и открывают к нему неограниченный доступ злоумышленнику через удаленное соединение.
Изначально (более 20 лет назад) руткиты предназначались для того, чтобы скрывать удаленные манипуляции злоумышленника или следы пребывания вирусов, троянов на компьютере жертвы. Сегодня – руткитами называют любые наборы утилит, которые:
- скрывают свою деятельность или деятельность других процессов;
- манипулируют процессами ОС;
- открывают доступ к средствам ОС через сеть;
- собирают пользовательские данные и отправляют их через сеть.
Виды руткитов
Рассмотрим все виды руткитов.
Виды руткитов
Руткиты уровня пользователя – самые распространенные. Они запускаются с правами текущего пользователя, реже администраторскими. Обычно они проникают на компьютер с целью сделать из него зомби-машину для или чтобы украсть конфиденциальные данные пользователя и переслать их злоумышленнику.
Руткиты уровня ядра – редки. Они запускаются с наивысшими правами, загружаются порой раньше операционной системы. Могут находится на компьютере годами, так как их очень сложно обнаружить, и они имеют наивысшие права в системе (root доступ).
Руткиты изменяющие пути исполнения внедряются в ОС, модифицируя обработчики событий операционной системы и системные файлы.
Руткиты, внедряющиеся в ядро, модифицируют само ядро операционной системы, их компоненты взаимодействуют друг с другом, образуя систему внутри системы. Удалить их можно только переустановив ОС.
Особый вид – это программно-аппаратные руткиты, которые работают на уровне выше чем любая операционная система. Они внедряются в механизм программного обеспечения аппаратной виртуализации.
Программно-аппаратные ракиты
Как попадает на компьютер
Руткиты попадают на компьютер пользователя так же, как и все остальное вредоносное ПО. Источником заражения может быть чужая флешка, письмо с незнакомого E-Mail адреса или случайно нажатая ссылка при серфинге в интернет.
На источнике заражения содержится только минимальный код внедрения. Когда он попадает в компьютер, то закрепится в системе и докачает все остальные компоненты с интернета. Когда он соберется в полном составе, он начнет делать то, для чего разработан – собирать данные и отправлять через интернет, устанавливать удаленный доступ к машине (backdoor – англ. черный ход).
Как бороться
Руткиты, которые внедряются в ядро чрезвычайно трудно обнаружить. Их не обнаруживает ни одно автоматизированное средство. Хорошая новость в том, что их единицы. Для каждого из них предназначено собственное средство, вроде TDSSKiller от лаборатории Касперского.
Средства для борьбы с руткитами уровня пользователя встроены в каждый современный пакет интернет защиты. Например, в Касперском (Kaspersky Internet Security) поиск руткитов по умолчанию включен и проводится каждый день, отключить его стандартными средствами нельзя.
Руткиты в Касперском
Это сделано для того, чтобы руткит не смог отключить защиту антивируса, чтобы проникнуть в систему. Если KIS встретит подозрительную активность в системе или узнает компонент руткита по сигнатурам, он заблокирует его.
В глобальной сети Интернет существует огромное количество вирусов. Одни могут носить шпионский характер, выуживая информацию с ПК, другие - наносить повреждения и убытки. Вредоносные вирусы способны вывести из строя не только установленную на компьютере операционную систему, но и подключенное к нему оборудование. К такого рода вирусам принадлежит руткит. Мы рассмотрим, что такое руткит, какие его виды встречаются. Также узнаем, как избавиться от этого вируса.
Что такое руткит?
Руткит принадлежит к группе вредоносных программ, которые, попадая в операционную систему компьютера, скрытно выполняют определенные функции, заданные разработчиком. Для обычного пользователя работа вируса незаметна. Но при этом вирус руткит полностью контролирует все действия на компьютере. Он может использовать различные вредоносные инструменты, например, передавать данные, вводимые с клавиатуры, сохраненные и вводимые пароли, считывать данные с банковских карт и использоваться для DDoS-атаки с данного компьютера без участия пользователя. Несмотря на то, что rootkit был изначально создан на основе Unix-систем, распространился вирус в ОС Windows в различных версиях. Многие из них недоступны для распознавания антивирусной программой и средствами безопасности системы.
Виды руткитов
Rootkit бывает двух видов: пользовательский и системный. Что такое руткит пользовательского характера, говорит сам термин. Он работает, как любое приложение, установленное на компьютере. При этом расходуется большой объем оперативной памяти, а всеми запущенными процессами управляет вирус на свое усмотрение. Руткит системного плана внедряется непосредственно в ядро операционной системы, получая максимальный доступ к информации на компьютере. Данная разновидность вирусов наиболее опасна и недоступна для обнаружения различными антивирусными средствами. Такой вирус может самостоятельно управлять действиями установленной антивирусной программы. Недавно появилась разновидность руткитов под ОС Android. Заражают они мобильные телефоны после установки на смартфон зараженных приложений. Еще одна разновидность - bootkit - внедряется в загрузчик ОС и еще до запуска самой системы начинает управлять компьютером.
Как функционирует руткит в операционной системе?
В любом браузере обязательно найдутся «дырки». Наиболее часто rootkit попадает в операционную систему именно через них благодаря плохой защите. Через подобную лазейку вирус внедряется в операционную систему. Далее он распространяется по всей ОС, используя уязвимые места, при этом может устанавливать различные компоненты, необходимые для удаленного управления компьютером без участия пользователя, и производить прочие вредоносные действия. Bootkits могут продолжать активные вредоносные действия, даже если компьютер находится в спящем режиме или непосредственно в процессе запуска ОС.
Как удалить rootkit?
Удалить вирус можно с использованием различных антивирусных программ на базе эвристического анализа компонентов файла. Что такое руткит, антивирусная программа распознает по имеющимся в базе данным. Эти данные ежедневно обновляются создателями антивируса. Антивирусная программа может обнаружить только неактивные руткиты. Удалить уже распространившийся активный вирус очень сложно, порой даже невозможно. Для этого существуют специальные программы для борьбы с руткитами, например, Gmer 1.0, AVG Anti-Rootkit и Rootkit Unhooker. Если руткит удалить все же не удалось или в процессе удаления повредились компоненты операционной системы, потребуется полная переустановка ОС. Не рекомендуется переустанавливать ОС на уже установленную. Перед новой установкой ОС жесткий диск необходимо отформатировать.
Привет друзья, сейчас я Вам на простом примере из жизни объясню что такое руткиты . Один раз, ко мне за помощью обратился мой знакомый, проблема была в том, что ему отказал в обслуживании провайдер интернета за так называемый (broadcast) трафик или простыми словами - флуд. Что интересно, мой приятель и понятия не имел что это такое и как с этим бороться. Оператор провайдера просто сообщил моему товарищу что он распространяет broadcast пакеты всем пользователям сети со скоростью 7000-9000 пакетов в минуту и этим понижает общую пропускную способность сети. Операционная система у моего приятеля была Windows XP.
Что такое broadcast трафик? Это пакеты информации, предназначенные всем компьютерам сети. В обычном режиме один компьютер в сети рассылает в минуту 15 таких пакетов, компьютер же моего друга рассылал 9000 пакетов в минуту и его просто отключили от сети посоветовав переустановить драйвер на сетевой адаптер или полностью операционную систему. И на самом деле, причиной появления таких пакетов является неисправный драйвер сетевого адаптер, сам сетевой адаптер, с ошибками работающая винда или... вирусы!
Переустановка драйвера ничего не дала, также не помогла установка нового сетевого адаптера в разъём PCI, а вот переустановка Windows принесла свои плоды ровно на два дня, затем моего приятеля опять отключили от мира за тот же самый флуд.
Что делать? Первым делом я решил проверить компьютер на вирусы, результат оказался отрицательным и я ничего не нашёл, в конце концов я решил проверить Windows XP с помощью проверенной утилитки RootkitRevealer от Марка Руссиновича, данная утилита не удаляет руткиты, а только обнаруживает их и она нашла несколько руткитов!
Примечание: RootkitRevealer не работает в 64-битных операционных системах, также не советую запускать её в Windows 7, 8, 10, работайте лучше с программами: .
Пришлось отсоединять жёсткий диск моего друга и подсоединять его к своему компьютеру вторым, затем сканировать его диск C: утилитой TDSSKiller, которая и жахнула эти руткиты. Но руткиты сами не распространяют broadcast пакеты, они только скрывают негодяя, который это делает. После проверки жёсткого диска моего приятеля своим антивирусом я нашёл несколько червей, именно они и "долбились" по сети рассылая broadcast или multicast пакеты пытаясь пробить брешь в других компьютерах в сети и заразить их. Чем больше компьютеров заразишь, тем лучше, ведь получится Ботнет - состоящий из множества компьютеров, который можно использовать для DOS-атаки на любой ресурс в сети.
Позже мы установили как именно попали руткиты на компьютер моего друга - через взломанную компьютерную игрушку, которую мой приятель скачал на открытом ресурсе.
Что такое руткиты
Согласно классификации некоторых разработчиков антивирусных программных продуктов, руткиты (rootkits) не являются отдельным типом вредоносного ПО, а представляют собой более совершенствованный тип . В то же время, если трояны, как правило, маскируются под полезные программы, то руткиты прячутся более профессионально – с глубоким внедрением в систему.
Существуют даже руткиты уровня ядра, они заменяют часть кода ядра операционной системы, внедрённый руткитом модифицируемый код скрывает в себе программу способную удалённо управлять заражённым компьютером.
Другие руткиты добавляют свой код к распространённым библиотекам или драйверам, но не нарушают их основной функции.
Современные версии руткитов умеют прятать от пользователя папки, файлы, параметры системного реестра, работающие процессы приложений, системные службы, драйвера, сетевые соединения. Принцип их работы базируется на модификации данных и программного кода в памяти системы. Для чего всё это делается ?
Основные цели руткитов
Руткит (rootkit) сам по себе не опасен, и, опять же, сам по себе не является вредоносной программой – он не размножается, как , как они же, не уничтожает пользовательские данные и компьютерную технику. Руткиты не стремятся заразить через сеть другие компьютер, проникнув в один из них, как это делают . Задача руткита – скрыть действия другой вредоносной программы, которая орудует на компьютере. Руткит – это такой себе пособник преступника. А вот действия уже преступника – самой вредоносной программы, например, вируса, трояна или – могут иметь последствия различной степени опасности. Это может быть и предоставление мошеннику доступа к компьютеру, и слежка за действиями пользователя, и кража его конфиденциальных данных, и прочие весьма неприятные вещи, на которые способно вредоносное ПО.
Например руткит может послужить вспомогательным инструментом для внедрения в операционную систему трояна Backdoor (чёрный ход), основная задача которого – скрытное и полное управление заражённым компьютером превращающимся в настоящее "зомби", такой компьютер абсолютно не служит своему хозяину, а работает только на злоумышленников участвуя в различных DOS - атаках на определённые сетевые ресурсы.
Руткиты не всегда внедряются в систему не санкционировано. Разработчики иногда легально внедряют руткиты в полезные программы, не забыв при этом «побеспокоиться» о том, чтобы пользователь разрешил их установку вместе с основной программой.
Ещё одним отличием руткитов от прочего типа вредоносного ПО является возможность внедрения не только в Windows, но также и в Linux, которая считается безопасной операционной системой отчасти по той простой причине, что пока массово разработчики вирусов и троянов не особо заинтересованы в её пользовательской аудитории. Правда, руткиту внедриться в Linux намного сложнее, нежели в Windows.
Признаки наличия в системе руткита
Внедрённый в систему руткит может быть причиной подвисания маломощного компьютера. Но это, акцентирую, только теоретическая возможность того, что в компьютер проник руткит, ведь причин слабеньких устройств может быть очень много.
Другой признак возможного наличия в системе руткита – это отправка данных по сети при условии, что все программы и системные службы, взаимодействующие с сетью, не активны. Опять же, это не самый надёжный способ диагностики, поскольку руткиты, как правило, работают очень аккуратно, и в момент отправки им данных с компьютера ещё нужно суметь попасть.
Очевидных каких-то признаков, характерных именно для руткитов, увы, нет. о наличии в компьютере руткитов скажут гораздо больше, нежели внешние признаки.
Как избавиться от руткитов?
Друзья, лучший способ обнаружить руткит, это сканировать антивирусом жёсткий диск с заражённой Windows из другой операционной системы, например снять винчестер и подсоединить его к другому компьютеру вторым устройством (как сделал я) или использовать антивирусный загрузочный диск. Подробно о том, как избавиться от руткитов,
Вирусы становятся все более изощренными. На смену вредоносному ПО, которое просто портило данные, давно уже пришли средства для предоставления злоумышленникам контроля над вашим ПК. Из таких зараженных компьютеров давно уже составляются целые сети, которые выполняют различные задачи (рассылка спама, организация DDOS-атак). Однако для того чтобы получить доступ к управлению удаленным компьютером необходимо сначала внедрить в него какое-то управляющее ПО. Этим и занимаются вирусы. Вы спросите: «Как же они обходят антивирусные программы?» Способов придумано довольно много. Один из них - использование так называемых руткитов.
Руткит - способ сокрытия факта заражения
Руткит - это вовсе не вирус, как считают некоторые. Сам он никакого вреда не приносит. Руткит - это всего лишь программа или набор программных средств для сокрытия ряда объектов или определенного вида активности в системе. Такой маскировке, как правило, подвергаются ключи реестра, отвечающие за автоматический запуск вредоносного кода; файлы, содержащие вирусные сигнатуры или тело вируса; сетевые соединения вируса; активные процессы в зараженной системе, а также иные проявления вредоносной активности. Таким образом, руткиты продлевают время работы вредоносного кода до обнаружения его антивирусами или внимательным пользователем, путем затруднения обнаружения.
На самом деле, ситуация-то достаточно типичная. ПК, вроде бы в порядке. Антивирус молчит, в списке автозапуска чистота и порядок, лишних процессов нет. Однако в это самое время ваш компьютер может тихонечко рассылать спам, участвовать в атаке на сайты и т.п. «милые шалости». Такая ситуация может продолжаться долгое время. Даже годами!
Сам термин «руткит» (английский вариант - rootkit) сформировался в среде пользователей операционных систем UNIX. Так называли набор утилит или даже специальный модуль ядра системы, которые устанавливались на взломанной системе после получения хакером прав root (суперпользователя). Такой «джентельменский» набор позволял и далее держать взломанную систему под незаметным контролем. Именно для этого в состав rootkit входили утилиты для маскировки самого факта вторжения в систему.
Спите спокойно, жители Багдада, или как же маскируются руткиты?
Большинство современных антивирусных программ распознают вредоносное программное обеспечение по так называемым «сигнатурам». Они представляют собой характерные специфические цепочки кода, содержащиеся в теле вируса. Именно из таких сигнатур состоят, в большинстве своем, базы данных антивирусов, которые мы скачиваем с сайтов производителя. Такие цепочки кода - особые приметы вирусов, троянов и т.п. гадости, по которым антивирусная программа может опознать зловреда для того, чтобы его уничтожить.
Хорошие антивирусы также имеют блок так называемого «эвристического» анализа, который может распознать вредоносное программное обеспечение по ряду особенностей его поведения. Список таких «характерных» действий довольно велик и включает в себя диапазон от простейших удалений файлов какого-либо вида до хитрых изменений в ядре системы или подмены важных системных файлов или путей. Чем изощреннее становятся вирусы, тем более разветвленные алгоритмы приходится строить для эвристического анализа программистам, занимающимся разработкой антивирусных средств.
Как же может руткит обмануть такую многоуровневую защиту? Для этого они манипулируют процессами обмена данных между приложениями. Руткиты попросту удаляют сведения о себе и о вредоносном софте, который они «опекают» из этих процессов. Антивирусная программа в таком случае получает заведомо ложную информацию о полном благополучии в системе. Ни в блок сравнивающий сигнатуры, ни в блок эвристики просто не поступает данных, способных привести к тревоге.
Как руткиты попадают на компьютер?
Вариантов распространения такого рода программ огромное множество. Руткит может попасть в компьютер через вложенный в электронное письмо файл, может быть принесен на флешке ничего не подозревающим другом в виде зараженного или фальшивого документа DOC или PDF, может быть скачан из интернета вместе с бесплатной игрой или иным софтом (особенно часто это бывает, когда программы скачиваются не с сайта разработчика или известных надёжных софт-архивов, а с разных «пиратских» сайтов). Общим для этих способов является одно - пользователь сам запускает руткит на компьютере, не осознавая, что он делает. Кстати, пока руткит не запущен и лежит в латентном состоянии в виде документа, он становится легкой добычей для большинства антивирусов. Однако после запуска он тут же перехватывает системные процессы и отловить его становится довольно проблематично.
Еще один весьма нередкий путь распространения руткитов - различные интернет-сайты. Это могут быть и вполне приличные сайты, чьи хозяева и не подозревают, что их детище взломано и распространяет заразу, а могут быть и специально созданные сайты для распространения руткитов. В этом случае пользователю достаточно открыть веб-страницу сайта, после чего руткит попадает в его ПК. Это возможно благодаря наличию «дыр» в системе безопасности ряда браузеров. Особенно часто такое бывает, когда браузер не обновляется регулярно.
Как избавиться от руткитов?
А вот об этом мы поговорим с вами в следующей статье, которая так и будет называться « ».
Руткит (англ. rootkit) - это специальная программа или набор программ, которые предназначены для скрытия следов злоумышленника или вредоносной программы в системе. Заполучив такое "добро" на свой компьютер, вы предоставляете хакеру возможность подключаться к нему. Он получает доступ к управлению вашим компьютером и дальнейшие действия "вредителя" зависят только от его фантазии.
К тому же, все усугубляется тем, что руткиты активно препятствуют своему обнаружению и сделать это с помощью стандартных антивирусов порой бывает достаточно трудно. Проще говоря - вы даете доступ к своему компьютеру даже не зная этого и злоумышленник пользуется вашими данными незаметно от вас.
План урока представлен ниже:
Как удалить руткит программой TDSSKiller.
Так как от простых антивирусных программ руткиты в основном умеют прятаться, то на помощь в их удалении обычно приходят специальные программы. Первой на очереди у нас идет программа от лаборатории Касперского, которая подарила нам замечательный антивирус. Скачать утилиту можно на официальном сайте Касперского в разделе "Поддержка" по . Открываем спойлер "Как вылечить зараженную систему" и переходим по ссылке для закачки.
Ждем, пока программа просканирует и, при необходимости, вылечит операционную систему. К счастью, на моем компьютере угроз обнаружено не было.
При нахождении угроз они автоматически нейтрализуются. Примечательно то, что для лечения даже не требуется перезагрузки.
Как удалить руткит программой RootkitBuster.
Вторая программа, которую мы рассмотри, называется RootkitBuster и скачать ее можно с официального сайта . Преимуществом программы является то, что она не требует установки на компьютер.
На следующей странице выбираем для какой версии Windows необходимо скачать программу. О том как узнать разрядность операционной системы я говорил в своем уроке про . Далее в окне щелкаем по кнопке "Use HTTP Download" и сохраняем файл к себе на компьютер.
После закачки щелкаем по файлу правой клавишей мыши и выбираем пункт "Запуск от имени администратора". Необходимо будет немного подождать. Откроется новое окно, в котором необходимо поставить галочку на принятии лицензионного соглашения и нажать кнопку "Next".
Вы попадете в главное окно программы, где для сканирования нужно будет нажать кнопку "Scan Now", при этом нужно оставить галочку на всех пунктах в левой колонке, кроме "File Streams" (на 64 разрядных системах количество настроек может быть меньше).
После сканирования вы получите уведомления об обнаруженных подозрительных файлах. Эти файлы можно выделить галочками и внизу нажать кнопку "Fix Now". В процессе удаления руткитов, в может быть предложено перезагрузить компьютер, обязательно соглашайтесь.
Как удалить руткит программой Sophos Anti-Rootkit
Ну и напоследок давайте разберем еще одну утилиту, которая помогает избавиться от руткитов. Она пригодится вам в том случае, если первые два оказались нерабочими или вам пришлись не по душе.
Запускаем программу, в настройках сканирования оставляем все галочки и нажимаем кнопку "Start scan".
Поиск руткитов может продолжаться достаточно долго. В конце вы получите полный отчет по найденным проблемам в виде списка. Замечу, что здесь есть одна особенность. Когда вы выбираете найденный файл в списке после сканирования, в окне ниже появляется его описание. Если в строке "Removable" стоит значение "Yes (but clean up not recommended for this file)", то это файл удалять не рекомендуется, так как он является системным и его удаление может повлиять на работу всей операционной системы.
Все остальные записи, у которых нет указанной выше строки, вы можете смело выделить галочками и удалить с помощью кнопки "Clean up checked items". В моем примере я не стал дожидаться окончания сканирования и на скриншоте ниже показал процесс удаления лишь для примера.
Вот такие три способа можно использовать для удаления руткитов с вашего компьютера. Программы все очень легкие и не требуют каких-то особенных знаний. Выбирайте тот способ, который считаете самым удобным. Также, в некоторых антивирусах уже начали встраивать подобную защиту, поэтому при выборе антивирусного решения ориентируйтесь и на встроенную защиту от руткитов.
Статья будет посвящена программе под названием AdwCleaner. Совместима она со всеми версиями операционной системы Windows и позволяет очистить ваш компьютер от таких зараз как рекламные объявления, потенциально опасные программы, разнообразные рекламные тулбары и замены домашней страницы браузера.
