Poate modifica sau intercepta mecanismele folosite pentru a raporta starea sistemului. Rootkit-urile pot opera în spațiul utilizatorului, în kernelul sistemului de operare, în procesul de boot, în firmware sau într-un strat de virtualizare.
Atacatorii implementează de obicei un rootkit după obținerea accesului și a privilegiilor, apoi îl folosesc pentru a ascunde un alt payload sau mecanism de acces. Instrumentele locale pot primi rezultate manipulate, așa că investigatorii compară surse independente și pot avea nevoie de inspecție externă de încredere, offline sau de nivel inferior. Amplasarea afectează opțiunile de recuperare.
Puncte esențiale
DisimulareRootkit-urile pot intercepta interfețe de programare, înlocui utilitare sau biblioteci, modifica componente ale kernelului sau altera căile de boot și firmware pentru a omite sau falsifica artefacte.
DetecțieCăutați discrepanțe între observații, module sau drivere privilegiate neașteptate, modificări de integritate, componente anormale de boot și telemetrie din afara perimetrului suspect.
RăspunsPăstrați dovezile, restricționați accesul atacatorului, identificați compromiterea inițială și payload-ul ascuns și restaurați straturile afectate din surse verificate. Reinstalarea sistemului de operare poate să nu elimine persistența de nivel inferior.
Limitare importantăNumele nu dovedește acces „root” de tip Unix, un anumit strat sau invizibilitate completă. Artefactele lipsă pot rezulta și din defecțiuni, instrumente neacceptate sau lacune de colectare.