Może zmieniać lub przechwytywać mechanizmy raportujące stan systemu. Rootkity mogą działać w przestrzeni użytkownika, jądrze systemu operacyjnego, procesie rozruchu, firmware lub warstwie wirtualizacji.
Atakujący zwykle wdrażają rootkit po uzyskaniu dostępu i uprawnień, a potem używają go do ukrycia innego ładunku lub mechanizmu dostępu. Narzędzia lokalne mogą otrzymywać zmanipulowane wyniki, więc badacze porównują niezależne źródła i mogą potrzebować zaufanej inspekcji zewnętrznej, offline lub niższego poziomu. Umiejscowienie wpływa na opcje odtwarzania.
Najważniejsze punkty
UkrywanieRootkity mogą przechwytywać interfejsy programistyczne (API), podmieniać narzędzia lub biblioteki, modyfikować komponenty jądra albo manipulować ścieżkami rozruchu i firmware, by pomijać lub fałszować artefakty.
WykrywanieSzukaj rozbieżności między obserwacjami, nieoczekiwanych uprzywilejowanych modułów lub sterowników, zmian integralności, nietypowych komponentów rozruchowych i telemetrii spoza podejrzanego obszaru.
ReakcjaZachowaj dowody, ogranicz dostęp atakującego, zidentyfikuj pierwotną kompromitację i ukryty ładunek oraz odtwórz dotknięte warstwy ze zweryfikowanych źródeł. Ponowna instalacja systemu operacyjnego może nie usunąć utrwalenia na niższym poziomie.
Istotne ograniczenieNazwa nie dowodzi dostępu „root" w Unixie, konkretnej warstwy ani pełnej niewidzialności. Brakujące artefakty mogą też wynikać z usterek, niewspieranych narzędzi lub luk w zbieraniu danych.