Mặc dù có thể ẩn phần mềm độc hại theo cách có thể đánh lừa ngay cả các sản phẩm chống vi-rút / chống phần mềm gián điệp truyền thống, nhưng hầu hết các chương trình phần mềm độc hại đã sử dụng rootkit để ẩn sâu trên PC Windows của bạn … và chúng ngày càng nguy hiểm hơn! Rootkit DL3^(DL3) là một trong những rootkit tiên tiến nhất từng thấy trong tự nhiên . Bộ rootkit ổn định và có thể lây nhiễm sang hệ điều hành Windows 32 bit ; mặc dù quyền quản trị viên là cần thiết để cài đặt sự lây nhiễm trong hệ thống. Nhưng TDL3 hiện đã được cập nhật và bây giờ có thể lây nhiễm sang Windows phiên bản 64-bit^{(even 64-bit versions  Windows)} !

Rootkit là gì

Virus Rootkit là một loại phần mềm độc hại tàng hình  được thiết kế để che giấu sự tồn tại của một số quy trình hoặc chương trình nhất định trên máy tính của bạn khỏi các phương pháp phát hiện thông thường, để cho phép nó hoặc một quy trình độc hại khác có đặc quyền truy cập vào máy tính của bạn.

Rootkit dành cho Windows^{(Rootkits for Windows)} thường được sử dụng để ẩn phần mềm độc hại, chẳng hạn như chương trình chống vi-rút. Nó được sử dụng cho các mục đích độc hại bởi vi-rút, sâu, cửa hậu và phần mềm gián điệp. Virus kết hợp với rootkit tạo ra thứ được gọi là virus ẩn toàn bộ. Rootkit phổ biến hơn trong lĩnh vực phần mềm gián điệp và hiện nay chúng cũng được các tác giả vi rút sử dụng phổ biến hơn.

Hiện nay chúng là một loại Super Spyware mới nổi , ẩn chứa hiệu quả và tác động trực tiếp đến nhân hệ điều hành. Chúng được sử dụng để che giấu sự hiện diện của đối tượng độc hại như trojan hoặc keylogger trên máy tính của bạn. Nếu một mối đe dọa sử dụng công nghệ rootkit để che giấu thì rất khó tìm thấy phần mềm độc hại trên PC của bạn.

Bản thân rootkit không nguy hiểm. Mục đích duy nhất của chúng là che giấu phần mềm và các dấu vết để lại trong hệ điều hành. Cho dù đây là phần mềm bình thường hay các chương trình phần mềm độc hại.

Về cơ bản có ba loại Rootkit khác nhau . Loại đầu tiên, " Kernel Rootkit^{(Kernel Rootkits)} " thường thêm mã riêng của chúng vào các phần của lõi hệ điều hành, trong khi loại thứ hai, " User-mode Rootkit^{(User-mode Rootkits)} " được nhắm mục tiêu đặc biệt cho Windows để khởi động bình thường trong quá trình khởi động hệ thống, hoặc được tiêm vào hệ thống bằng cái gọi là "Dropper". Loại thứ ba là MBR Rootkit hoặc Bootkit^{(MBR Rootkits or Bootkits)} .

Khi bạn phát hiện thấy AntiVirus & AntiSpyware của mình bị lỗi , bạn có thể cần đến sự trợ giúp của Tiện ích Anti-Rootkit tốt^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer từ Microsoft Sysinternals là một tiện ích phát hiện rootkit nâng cao. Đầu ra của nó liệt kê sự khác biệt về API hệ thống tệp và đăng ký^(Registry) có thể cho thấy sự hiện diện của rootkit chế độ người dùng hoặc chế độ hạt nhân.

Báo cáo về mối đe dọa của Trung tâm bảo vệ phần mềm độc hại của Microsoft^{(Microsoft Malware Protection Center Threat Report)} về  Rootkit^(Rootkits)

Trung tâm Bảo vệ Phần mềm độc hại của Microsoft^{(Microsoft Malware Protection Center)} đã có sẵn để tải xuống Báo cáo Đe dọa^{(Threat Report)} trên Rootkit^(Rootkits) . Báo cáo xem xét một trong những loại phần mềm độc hại ngấm ngầm đe dọa các tổ chức và cá nhân ngày nay - rootkit. Báo cáo kiểm tra cách những kẻ tấn công sử dụng rootkit và cách rootkit hoạt động trên các máy tính bị ảnh hưởng. Đây là ý chính của báo cáo, bắt đầu với Rootkit^(Rootkits) là gì - dành cho người mới bắt đầu.

Rootkit là một bộ công cụ mà kẻ tấn công hoặc người tạo phần mềm độc hại sử dụng để giành quyền kiểm soát bất kỳ hệ thống bị lộ / không bảo mật nào thường được dành cho quản trị viên hệ thống. Trong những năm gần đây, thuật ngữ 'ROOTKIT' hoặc 'ROOTKIT FUNCTIONICAL' đã được thay thế bằng MALWARE - một chương trình được thiết kế để gây ra các tác dụng không mong muốn trên một máy tính khỏe mạnh. Chức năng chính của phần mềm độc hại là rút dữ liệu có giá trị và các tài nguyên khác từ máy tính của người dùng một cách bí mật và cung cấp cho kẻ tấn công, do đó cho phép hắn kiểm soát hoàn toàn máy tính bị xâm nhập. Hơn nữa, chúng rất khó phát hiện và loại bỏ và có thể ẩn trong thời gian dài, có thể là nhiều năm, nếu không được chú ý.

Vì vậy, một cách tự nhiên, các triệu chứng của một máy tính bị xâm nhập cần phải được che giấu và xem xét trước khi kết quả chứng minh là gây tử vong. Đặc biệt, các biện pháp an ninh nghiêm ngặt hơn cần được thực hiện để phát hiện ra cuộc tấn công. Tuy nhiên, như đã đề cập, khi các rootkit / phần mềm độc hại này được cài đặt, khả năng ẩn của nó sẽ khiến việc xóa nó và các thành phần mà nó có thể tải xuống rất khó khăn. Vì lý do này, Microsoft đã tạo một báo cáo về ROOTKITS .

Báo cáo dài 16 trang phác thảo cách kẻ tấn công sử dụng rootkit và cách các rootkit này hoạt động trên các máy tính bị ảnh hưởng.

Mục đích duy nhất của báo cáo là xác định và kiểm tra chặt chẽ phần mềm độc hại có khả năng đe dọa nhiều tổ chức, người dùng máy tính nói riêng. Nó cũng đề cập đến một số họ phần mềm độc hại phổ biến và làm sáng tỏ phương pháp mà những kẻ tấn công sử dụng để cài đặt các rootkit này cho các mục đích ích kỷ của chúng trên các hệ thống lành mạnh. Trong phần còn lại của báo cáo, bạn sẽ thấy các chuyên gia đưa ra một số khuyến nghị để giúp người dùng giảm thiểu mối đe dọa từ rootkit.

Các loại Rootkit

Có nhiều nơi phần mềm độc hại có thể tự cài đặt vào hệ điều hành. Vì vậy, hầu hết loại rootkit được xác định bởi vị trí của nó nơi nó thực hiện lật ngược đường dẫn thực thi. Điêu nay bao gôm:

1. Chế độ người dùng Rootkit
2. Bộ công cụ gốc ở chế độ hạt nhân
3. MBR Rootkit / bootkit

Ảnh hưởng có thể có của sự xâm phạm rootkit ở chế độ nhân được minh họa qua ảnh chụp màn hình bên dưới.

Loại thứ ba, sửa đổi Master Boot Record để giành quyền kiểm soát hệ thống và bắt đầu quá trình tải điểm sớm nhất có thể trong trình tự khởi động3. Nó ẩn các tệp, sửa đổi sổ đăng ký, bằng chứng về các kết nối mạng cũng như các chỉ báo có thể có khác có thể chỉ ra sự hiện diện của nó.

Các họ phần mềm độc hại^(Malware) đáng chú ý sử dụng chức năng Rootkit

• Win32/Sinowal 13 - Một họ phần mềm độc hại gồm nhiều thành phần cố gắng lấy cắp dữ liệu nhạy cảm như tên người dùng và mật khẩu cho các hệ thống khác nhau. Điều này bao gồm việc cố gắng đánh cắp chi tiết xác thực cho nhiều tài khoản FTP , HTTP và email, cũng như thông tin đăng nhập được sử dụng cho ngân hàng trực tuyến và các giao dịch tài chính khác.
• Win32/Cutwail 15 - Một loại Trojan tải xuống và thực thi các tệp tùy ý. Các tệp đã tải xuống có thể được thực thi từ đĩa hoặc được đưa trực tiếp vào các quy trình khác. Mặc dù chức năng của các tệp đã tải xuống có thể thay đổi, nhưng Cutwail thường tải xuống các thành phần khác gửi thư rác. Nó sử dụng bộ rootkit chế độ hạt nhân và cài đặt một số trình điều khiển thiết bị để ẩn các thành phần của nó khỏi những người dùng bị ảnh hưởng.
• Win32/Rustock  - Một họ Trojan cửa hậu hỗ trợ rootkit ban^(Trojans) đầu được phát triển để hỗ trợ việc phát tán email “thư rác” thông qua mạng botnet^(botnet) . Mạng botnet là một mạng lưới máy tính bị tấn công lớn do kẻ tấn công kiểm soát.

Bảo vệ chống lại rootkit

Ngăn chặn việc cài đặt rootkit là phương pháp hiệu quả nhất để tránh bị rootkit lây nhiễm. Đối với điều này, cần phải đầu tư vào các công nghệ bảo vệ như các sản phẩm chống vi-rút và tường lửa. Các sản phẩm như vậy nên thực hiện một cách tiếp cận toàn diện để bảo vệ bằng cách sử dụng phát hiện dựa trên chữ ký truyền thống, phát hiện theo kinh nghiệm, khả năng chữ ký động và đáp ứng và giám sát hành vi.

Tất cả các bộ chữ ký này phải được cập nhật bằng cơ chế cập nhật tự động. Các giải pháp chống vi-rút của Microsoft^(Microsoft) bao gồm một số công nghệ được thiết kế đặc biệt để giảm thiểu rootkit, bao gồm giám sát hành vi hạt nhân trực tiếp để phát hiện và báo cáo về nỗ lực sửa đổi hạt nhân của hệ thống bị ảnh hưởng và phân tích cú pháp hệ thống tệp trực tiếp để tạo điều kiện xác định và loại bỏ các trình điều khiển ẩn.

Nếu hệ thống bị phát hiện bị xâm phạm thì một công cụ bổ sung cho phép bạn khởi động vào một môi trường tốt hoặc đáng tin cậy đã biết có thể tỏ ra hữu ích vì nó có thể đề xuất một số biện pháp khắc phục thích hợp.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Trong hoàn cảnh như vậy,

1. Công cụ quét hệ thống độc lập^{(Standalone System Sweeper)} (một phần của Bộ công cụ phục hồi^{(Recovery Toolset)} và chẩn đoán ^{(Diagnostics)}Microsoft ( DaRT )
2. Bộ bảo vệ^{(Defender Offline)} Windows Ngoại tuyến có thể hữu ích.

Để biết thêm thông tin, bạn có thể tải xuống báo cáo PDF từ ^(PDF)Trung tâm Tải xuống của Microsoft.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While іt is possible to hide malware in a way that will fool eνen the traditional antivirus/antispyware products, most malwаre programs are already using rootkits to hide deep on your Windows PC … and they are getting more dangerous! The DL3 rootkit is one of the most advanced rootkits еνer seen in thе wild. The rootkit was stablе and could infect 32 bit Windows operating systemѕ; although administrator rightѕ were needed to install the infectіon in the system. But TDL3 has now been updated and is now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Làm thế nào để Tránh Phishing Scams and Attacks?

• Access Trojan từ xa là gì? Phòng ngừa, Detection & Removal

• Remove virus Từ USB Flash Drive bằng Command Prompt or Batch File

• Rogue Security Software or Scareware: Làm thế nào để kiểm tra, ngăn chặn, loại bỏ?

• Win32: BogEnt là gì và làm thế nào để loại bỏ nó?

• Cryptojacking browser mining threat mới bạn cần biết về

• IObit Malware Fighter Free review & download

• Làm thế nào để Hủy bỏ Malware từ máy tính của bạn trong Windows 10

• Programs or Applications có khả năng không mong muốn; Avoid cài đặt PUP/PUA

• Sống ngoài cuộc tấn công Land là gì? Làm thế nào để giữ an toàn?

• Mẹo để bảo vệ máy tính của bạn chống lại Thunderspy attack

• Các trình quét vi-rút & phần mềm độc hại tốt nhất được đảm bảo chống lại bất kỳ loại vi-rút nào

• Tải xuống Prevent Drive-by và các cuộc tấn công phần mềm độc hại liên quan

• Backdoor attack là gì? Meaning, Examples, Definitions

• Từ xa Administration Tools: Rủi ro, Threats, Prevention

• Làm thế nào để sử dụng Malwarebytes Anti-Malware để loại bỏ Malware

• Crystal Security là Malware Detection Tool dựa trên Cloud miễn phí cho PC

• Idp.generic virus là gì và làm thế nào để loại bỏ nó?

• IDP.Generic and How để loại bỏ một cách an toàn nó từ Windows là gì?

• Cyber Attacks - Định nghĩa, Types, phòng chống