Může měnit nebo zachytávat mechanismy používané k hlášení stavu systému. Rootkity mohou působit v uživatelském prostoru, jádru operačního systému, bootovacím procesu, firmwaru nebo virtualizační vrstvě.
Útočníci obvykle rootkit nasazují po získání přístupu a oprávnění, poté jej používají ke skrytí dalšího payloadu nebo přístupového mechanismu. Lokální nástroje mohou dostávat manipulované výsledky, takže vyšetřovatelé porovnávají nezávislé zdroje a mohou potřebovat důvěryhodnou externí, offline nebo nižší úrovně inspekci. Umístění ovlivňuje možnosti obnovy.
Klíčové body
ZakrýváníRootkity mohou zahazovat aplikační programová rozhraní, nahrazovat utility či knihovny, modifikovat komponenty jádra nebo manipulovat s bootovacími a firmwarovými cestami, aby vynechaly či zfalšovaly artefakty.
DetekceHledejte nesrovnalosti mezi pozorováními, neočekávané privilegované moduly či ovladače, změny integrity, abnormální bootovací komponenty a telemetrii mimo podezřelou hranici.
ReakceZachovejte důkazy, omezte přístup útočníka, identifikujte počáteční kompromitaci a skrytý payload a obnovte dotčené vrstvy z ověřených zdrojů. Přeinstalace operačního systému nemusí odstranit perzistenci na nižší vrstvě.
Důležité omezeníNázev nedokazuje unixový přístup „root", konkrétní vrstvu ani úplnou neviditelnost. Chybějící artefakty mohou také vyplývat z vad, nepodporovaných nástrojů nebo mezer ve sběru.