Rootkit - Rootkit

A rootkit to'plamidir kompyuter dasturlari, odatda zararli, kompyuterga yoki uning dasturiy ta'minotining boshqa yo'l qo'yilmaydigan sohasiga (masalan, ruxsatsiz foydalanuvchiga) kirishni ta'minlash uchun mo'ljallangan va ko'pincha uning mavjudligini yoki boshqa dasturlarning mavjudligini yashiradi.[1] Atama rootkit a birikma dan "ildiz "(imtiyozli hisobning an'anaviy nomi Unixga o'xshash operatsion tizimlar) va "to'plam" so'zi (bu vositani amalga oshiradigan dasturiy ta'minot qismlariga tegishli). "Rootkit" atamasi bilan assotsiatsiya orqali salbiy ma'no mavjud zararli dastur.[1]

Rootkitni o'rnatish avtomatlashtirilgan bo'lishi mumkin yoki tajovuzkor root yoki Administrator ruxsatidan so'ng uni o'rnatishi mumkin. Ushbu kirishni olish tizimga to'g'ridan-to'g'ri hujum qilish natijasidir, ya'ni ma'lum zaiflikdan foydalanish (masalan.) imtiyozlarning kuchayishi ) yoki a parol (tomonidan olingan yorilish yoki ijtimoiy muhandislik kabi taktikafishing O'rnatilgandan so'ng, kirishni yashirish va imtiyozli kirishni saqlab qolish mumkin bo'ladi. Tizim ustidan to'liq boshqarish mavjud dasturiy ta'minotni, shu jumladan uni aniqlash yoki chetlab o'tish uchun ishlatilishi mumkin bo'lgan dasturlarni o'zgartirish mumkinligini anglatadi.

Rootkitni aniqlash qiyin, chunki rootkit uni topishga mo'ljallangan dasturni o'zgartirishi mumkin. Aniqlash usullari muqobil va ishonchli foydalanishni o'z ichiga oladi operatsion tizim, xulq-atvorga asoslangan usullar, imzolarni skanerlash, farqlarni skanerlash va xotira tashlanishi tahlil. Olib tashlash murakkab yoki amalda imkonsiz bo'lishi mumkin, ayniqsa rootkit-ning ichida joylashgan holatlarda yadro; operatsion tizimni qayta o'rnatish muammoning yagona echimi bo'lishi mumkin.[2] Muomala qilishda proshivka rootkitlar, o'chirishni talab qilishi mumkin apparat almashtirish yoki ixtisoslashtirilgan uskunalar.

Tarix

Atama rootkit yoki ildiz to'plami dastlab zararli ravishda o'zgartirilgan ma'muriy vositalar to'plamiga murojaat qilgan Unixga o'xshash operatsion tizim berilgan "ildiz "kirish.[3] Agar tajovuzkor tizimdagi standart ma'muriy vositalarni rootkit bilan almashtira olsa, tajovuzkor ushbu faoliyatni qonuniy ravishda yashirgan holda tizim orqali ildizga kirish huquqiga ega bo'lishi mumkin. tizim ma'muri. Ushbu birinchi avlod rootkitlari kabi vositalar yordamida aniqlash juda ahamiyatsiz edi Tripwire bir xil ma'lumotlarga kirish uchun xavf tug'dirmagan.[4][5] Leyn Devis va Stiven Deyk 1990 yilda ma'lum bo'lgan eng qadimgi rootkitni yozishgan Quyosh mikrosistemalari ' SunOS UNIX operatsion tizimi.[6] Ma'ruzada u ma'ruzani olganidan keyin o'qidi Turing mukofoti 1983 yilda, Ken Tompson ning Bell laboratoriyalari, yaratuvchilardan biri Unix, subverting haqida nazariya C kompilyatori Unix tarqatishida va ekspluatatsiya masalasini muhokama qildi. O'zgartirilgan kompilyator Unix-ni kompilyatsiya qilishga urinishlarni aniqlaydi tizimga kirish buyruq bering va nafaqat foydalanuvchining to'g'ri parolini, balki qo'shimcha kodni qabul qiladigan o'zgartirilgan kodni yarating "orqa eshik "tajovuzkorga ma'lum bo'lgan parol. Bundan tashqari, kompilyator kompilyatorning yangi versiyasini kompilyatsiya qilishga urinishlarni aniqlaydi va xuddi shu ekspluatatsiyani yangi kompilyatorga kiritadi. uchun manba kodini ko'rib chiqish tizimga kirish buyrug'i yoki yangilangan kompilyator zararli kodni aniqlamaydi.[7] Ushbu ekspluatatsiya rootkitga teng edi.

Birinchisi hujjatlashtirilgan kompyuter virusi nishonga olish shaxsiy kompyuter, 1986 yilda kashf etilgan, ishlatilgan plash o'zini yashirish texnikasi: Miya virusi o'qishga urinishlar to'xtatildi yuklash sektori va ularni asl yuklash sektorining nusxasi saqlanadigan diskning boshqa joyiga yo'naltirdi.[1]Vaqt o'tishi bilan, DOS -virusni yashirish usullari zamonaviylashdi, ilg'or texnika, shu jumladan ilmoq past darajadagi disk INT 13H BIOS uzmoq fayllarga ruxsatsiz o'zgartirishlarni yashirish uchun qo'ng'iroqlar.[1]

Uchun birinchi zararli rootkit Windows NT operatsion tizim 1999 yilda paydo bo'lgan: troyan deb nomlangan NTRootkit tomonidan yaratilgan Greg Xoglund.[8] Uning ortidan HackerDefender 2003 yilda.[1] Birinchi rootkitga yo'naltirish Mac OS X 2009 yilda paydo bo'lgan,[9] esa Stuxnet birinchi bo'lib qurt nishonga olgan dasturlashtiriladigan mantiqiy tekshirgichlar (PLC).[10]

Sony BMG nusxasini himoya qilish rootkit mojarosi

Skrinshot RootkitRevealer bilan yashiringan fayllarni ko'rsatib Nusxalashni kengaytirilgan himoyasi rootkit
Asosiy maqola: Sony BMG nusxasini himoya qilish rootkit mojarosi

2005 yilda, Sony BMG nashr etilgan CD-lar bilan nusxalarni himoya qilish va raqamli huquqlarni boshqarish dasturiy ta'minot deb nomlangan Nusxalashni kengaytirilgan himoyasi, First 4 Internet dasturiy ta'minot kompaniyasi tomonidan yaratilgan. Dastur tarkibiga musiqa pleyeri kiritilgan, ammo jimgina rootkit o'rnatgan, bu foydalanuvchining CD ga kirish imkoniyatini cheklagan.[11] Dastur muhandisi Mark Russinovich rootkitni aniqlash vositasini yaratgan RootkitRevealer, kompyuterlaridan birida rootkitni topdi.[1] Keyingi mojaro jamoatchilikning rootkitlar to'g'risida xabardorligini oshirdi.[12] Yashirinish uchun rootkit foydalanuvchidan "$ sys $" dan boshlangan har qanday faylni yashirdi. Russinovichning hisobotidan ko'p o'tmay, ta'sirlangan tizimlarning zaifligidan foydalangan zararli dastur paydo bo'ldi.[1] Bittasi BBC tahlilchi buni "jamoat bilan aloqa dahshat. "[13] Sony BMG chiqarildi yamalar ga olib tashlash rootkit, ammo u foydalanuvchilarni yanada jiddiy zaiflikka duch keldi.[14] Oxir-oqibat kompaniya kompakt-disklarni qaytarib oldi. Qo'shma Shtatlarda a sud jarayoni Sony BMGga qarshi olib kelingan.[15]

Yunonistonning telefonlarni tinglash ishi 2004-05

Asosiy maqola: Yunonistonning telefonlarni tinglash ishi 2004-05

Yunonistonning 2004-2005 yillardagi telefonlarni tinglash ishi, shuningdek, yunon Watergate deb nomlangan,[16] noqonuniy aralashgan telefonni tinglash 100 dan ortiqmobil telefonlar ustida Vodafone Gretsiya asosan a'zolariga tegishli tarmoq Yunoncha davlat va yuqori lavozimli davlat xizmatchilari. Musluklar 2004 yil avgust oyi boshida boshlangan va jinoyatchilarning shaxsi aniqlanmasdan 2005 yil mart oyida olib tashlangan. Bosqinchilar Ericsson's-ga mo'ljallangan rootkitni o'rnatdilar AX telefon stantsiyasi. Ga binoan IEEE Spektri, bu "birinchi marta rootkit maxsus maqsadli tizimda kuzatilgan, bu holda Ericsson telefon kaliti."[17] Rootkit birjaning ishlayotgan vaqtidagi xotirasini tuzatish uchun ishlab chiqilgan edi telefonni tinglash auditorlik jurnallarini o'chirib qo'yishda, faol jarayonlar va faol ma'lumotlar bloklarini ro'yxatlaydigan buyruqlarni tuzating va ma'lumotlar blokini o'zgartiring summa tekshirish buyrug'i. "Orqa eshik" operatorga ruxsat berdi sysadmin birjaning tranzaktsiyalar jurnalini, signalizatsiya signallarini va kuzatuv imkoniyati bilan bog'liq kirish buyruqlarini o'chirish holati.[17] Rootkit buzg'unchilar noto'g'ri yangilanishni o'rnatgandan so'ng aniqlandi, buning sababi SMS matnlar yuborilmasligi kerak, bu esa avtomatlashtirilgan xato haqida hisobot tuzilishiga olib keladi. Nosozlikni tekshirish uchun Ericsson muhandislari jalb qilingan va rootkit va noqonuniy monitoring dasturi bilan birga kuzatilayotgan telefon raqamlari ro'yxatini o'z ichiga olgan maxfiy ma'lumotlar bloklarini aniqladilar.

Foydalanadi

Zamonaviy rootkitlar kirish imkoniyatini oshirmaydi,[3] aksincha yashirin qobiliyatlarni qo'shish orqali boshqa dasturiy ta'minot yukini aniqlab bo'lmaydigan qilish uchun ishlatiladi.[8] Ko'pgina rootkitlar quyidagicha tasniflanadi zararli dastur, chunki ular bilan birgalikda foydali yuklar zararli hisoblanadi. Masalan, foydali yuk foydalanuvchini yashirincha o'g'irlashi mumkin parollar, kredit karta axborot, hisoblash resurslari yoki boshqa ruxsatsiz faoliyatni amalga oshirish. Rootkitlarning oz sonini ularning foydalanuvchilari kommunal dastur deb hisoblashlari mumkin: masalan, rootkit CD-ROM - ruxsat beruvchi haydovchi video O'YIN mag'lub qilish uchun foydalanuvchilar qaroqchilikka qarshi kurash Dasturiy ta'minotning qonuniy ravishda sotib olinganligini tekshirish uchun asl o'rnatish vositasini fizikaviy optik haydovchiga kiritishni talab qiluvchi choralar.

Rootkitlar va ularning foydali yuklari juda ko'p foydalanishga ega:

  • Hujumchiga a orqali to'liq kirish huquqini taqdim eting orqa eshik, masalan, hujjatlarni o'g'irlash yoki qalbakilashtirishga ruxsatsiz kirishga ruxsat berish. Buni amalga oshirish usullaridan biri bu / bin / login dasturini yoqish kabi kirish mexanizmini bekor qilishdir Unixga o'xshash tizimlar yoki GINA Windows-da. O'zgartirish odatdagidek ishlaydi, shuningdek, tizimga tajovuzkorga ma'muriy imtiyozlar bilan to'g'ridan-to'g'ri kirish huquqini beruvchi standartni chetlab o'tishga imkon beruvchi maxfiy kirish kombinatsiyasini qabul qiladi. autentifikatsiya va ruxsat mexanizmlar.
  • Boshqasini yashirish zararli dastur, ayniqsa parolni o'g'irlash asosiy loggerlar va kompyuter viruslari.[18]
  • Buzilgan mashinani a zombi kompyuter boshqa kompyuterlarga qilingan hujumlar uchun. (Hujum tajovuzkor tizimining o'rniga buzilgan tizimdan yoki tarmoqdan kelib chiqadi.) "Zombie" kompyuterlari odatda katta botnetlar mumkin - boshqa narsalar qatori - ishga tushirish xizmatni rad etish xurujlari, tarqatish elektron pochta Spam va xulq-atvor firibgarlikni bosing.

Ba'zi hollarda rootkitlar kerakli funktsiyalarni ta'minlaydi va kompyuter foydalanuvchisi nomidan qasddan o'rnatilishi mumkin:

Turlari

Qo'shimcha ma'lumotlar: Ring (kompyuter xavfsizligi)

Dasturiy ta'minotning eng past darajasidan (eng yuqori imtiyozlarga ega) tortib, eng kam foydalanuvchiga asoslangan variantlarga qadar ishlaydigan rootkitning kamida beshta turi mavjud. Ring 3. Ularning gibrid kombinatsiyalari, masalan, foydalanuvchi rejimi va yadro rejimini o'z ichiga olishi mumkin.[24]

Foydalanuvchi rejimi

Kompyuter xavfsizligi jiringlaydi (E'tibor bering Ring -1 ko'rsatilmagan)

Foydalanuvchi rejimidagi rootkitlar ishlaydi Ring 3, past darajadagi tizim jarayonlari o'rniga, boshqa dasturlar bilan bir qatorda foydalanuvchi sifatida.[25] Ularda dasturiy interfeyslarning (API) interfeysini ushlab turish va o'zgartirish uchun bir qator mumkin bo'lgan o'rnatish vektorlari mavjud. Ba'zilar a dinamik ravishda bog'langan kutubxona (masalan .DLL Windows-dagi yoki .dylib-dagi fayl Mac OS X ) boshqa jarayonlarda va shu bilan uni buzish uchun har qanday maqsadli jarayonda bajarishga qodir; boshqalar etarli imtiyozlarga ega bo'lib, maqsadli dastur xotirasini yozib qo'yishadi. Qarshi mexanizmlariga quyidagilar kiradi:[25]

  • Sotuvchi tomonidan taqdim etilgan dastur kengaytmalaridan foydalanish. Masalan, Windows Explorer uchinchi tomonlarga o'z funksiyalarini kengaytirishga imkon beradigan umumiy interfeyslarga ega.
  • Ushlash xabarlar.
  • Xatolarni tuzatuvchilar.
  • Ekspluatatsiya xavfsizlik zaifliklari.
  • Funktsiya ilmoq yoki tez-tez ishlatib turadigan API-larni yamoqlash, masalan, ishlaydigan tizimni yoki fayl tizimida joylashgan faylni yashirish uchun.[26]

... foydalanuvchi rejimidagi dasturlarning barchasi o'zlarining xotira maydonlarida ishlayotganligi sababli, rootkit ushbu tuzatishni har bir ishlaydigan dasturning xotira maydonida bajarishi kerak. Bundan tashqari, rootkit ushbu dasturlarning to'liq bajarilishidan oldin ularni bajaradigan va tuzatadigan har qanday yangi dasturlar uchun tizimni kuzatishi kerak.

— Windows Rootkit-ga umumiy nuqtai, Symantec[3]

Kernel rejimi

Kernel rejimidagi rootkitlar eng yuqori operatsion tizim imtiyozlari bilan ishlaydi (Qo'ng'iroq 0 ) kodni qo'shish yoki yadro operatsion tizimining qismlarini almashtirish, shu jumladan ikkala yadro va bog'liq qurilma drayverlari. Ko'pgina operatsion tizimlar operatsion tizimning o'zi kabi imtiyozlar bilan ishlaydigan yadro rejimidagi qurilmalar drayverlarini qo'llab-quvvatlaydi. Shunday qilib, ko'plab yadro rejimidagi rootkitlar, masalan, qurilma drayverlari yoki yuklanadigan modullar sifatida ishlab chiqilgan yuklanadigan yadro modullari yilda Linux yoki qurilma drayverlari yilda Microsoft Windows. Ushbu rootkit sinfi xavfsizlikka cheklanmagan kirish huquqiga ega, ammo yozish qiyinroq.[27] Murakkablik xatolarni odatiy holga keltiradi va yadro darajasida ishlaydigan har qanday xatolar tizim barqarorligiga jiddiy ta'sir ko'rsatishi va rootkitni topishiga olib kelishi mumkin.[27] Dastlabki taniqli yadro rootkitlaridan biri ishlab chiqilgan Windows NT 4.0 va ozod qilindi Phrack 1999 yilda jurnal Greg Xoglund.[28][29][30] Kernel rootkitlarini aniqlash va olib tashlash ayniqsa qiyin bo'lishi mumkin, chunki ular bir xil ishlaydi xavfsizlik darajasi operatsion tizimning o'zi sifatida va shu bilan eng ishonchli operatsion tizim operatsiyalarini ushlab qolish yoki bekor qilish imkoniyatiga ega. Kabi har qanday dasturiy ta'minot antivirus dasturi, buzilgan tizimda ishlash bir xil darajada zaifdir.[31] Bunday vaziyatda tizimning biron bir qismiga ishonib bo'lmaydi.

Rootkit, Windows yadrosidagi ma'lumotlar tuzilmalarini quyidagi usul bilan o'zgartirishi mumkin to'g'ridan-to'g'ri yadro ob'ektini manipulyatsiya qilish (DKOM).[32] Ushbu usul jarayonlarni yashirish uchun ishlatilishi mumkin. Yadro rejimi rootkit ham ulanishi mumkin Tizim xizmati tavsiflovchi jadvali (SSDT) ​​yoki foydalanuvchi rejimi va yadro rejimi orasidagi eshiklarni o'zgartirishi kerak.[3] Xuddi shunday Linux operatsion tizim, rootkit o'zgartirishi mumkin tizim qo'ng'iroqlari jadvali yadro funksiyasini bekor qilish uchun.[33] Rootkit maxfiy, shifrlangan fayl tizimini yaratadi, unda boshqa zararli dasturlarni yoki u yuqtirgan fayllarning asl nusxalarini yashirishi mumkin.[34] Operatsion tizimlar yadro rejimidagi rootkitlar tahdidiga qarshi kurashishda rivojlanmoqda. Masalan, Microsoft Windows-ning 64-bitli versiyalari tizimdagi eng yuqori imtiyozlar bilan bajarilishini ishonchsiz kodni qiyinlashtirishi uchun endi yadro darajasidagi barcha drayverlarni majburiy imzolashni amalga oshirmoqda.[35]

Bootkitlar

A deb nomlangan yadro rejimidagi rootkit varianti bootkit kabi boshlang'ich kodini yuqtirishi mumkin Master Boot Record (MBR), Volume Boot Record (VBR), yoki yuklash sektori va shu tarzda hujum qilish uchun foydalanish mumkin to'liq disk shifrlash tizimlar.

Diskni shifrlashga bunday hujumning misoli "yovuz xizmatkorning hujumi ", unda tajovuzkor qarovsiz kompyuterga bootkit o'rnatadi. Ko'zda tutilgan stsenariy - bu xizmatchi qurbonlar o'zlarining jihozlarini tashlab ketgan mehmonxona xonasiga yashirincha kirib bormoqda.[36] Bootkit qonuniy o'rnini bosadi yuklash moslamasi biri ularning nazorati ostida. Odatda zararli dastur yuklagichi o'tish paytida davom etadi himoyalangan rejim yadro yuklanganda va shu bilan yadroni ag'darishga qodir bo'lganda.[37][38][39] Masalan, "Stoned Bootkit" buzilgan tizim yordamida tizimni buzadi yuklash moslamasi shifrlash kalitlari va parollarini ushlab qolish uchun.[40][o'z-o'zini nashr etgan manba? ] Yaqinda Alureon rootkit 64-bitli yadro rejimidagi drayverni tizimga kirish talabini muvaffaqiyatli o'zgartirdi Windows 7, o'zgartirish orqali asosiy yuklash yozuvi.[41] Garchi foydalanuvchi istamagan ishni bajarish ma'nosida zararli dastur bo'lmasa-da, ba'zi "Vista Loader" yoki "Windows Loader" dasturlari xuddi shunday tarzda ACPI Yuklash paytida BIOS-ning RAM-keshlangan versiyasidagi SLIC (tizim litsenziyalangan ichki kodi) jadvali Windows Vista va Windows 7 ni faollashtirish jarayoni.[42][43] Ushbu hujum vektori (server bo'lmagan) versiyalarida foydasiz bo'lib qoldi Windows 8, har bir tizim uchun yagona, faqat bitta mashina foydalanishi mumkin bo'lgan o'ziga xos, mashinaga xos kalitni ishlatadigan.[44] Ko'pgina antivirus kompaniyalari bootkitlarni olib tashlash uchun bepul yordam dasturlari va dasturlarni taqdim etadi.

Gipervizor darajasi

Rootkitlar II tip sifatida yaratilgan Gipervizatorlar kontseptsiyaning isboti sifatida akademiyada. Kabi apparat virtualizatsiyasi xususiyatlaridan foydalangan holda Intel VT yoki AMD-V, ushbu turdagi rootkit Ring -1 da ishlaydi va maqsadli operatsion tizimni a sifatida joylashtiradi virtual mashina, shu bilan rootkitga asl operatsion tizim tomonidan amalga oshirilgan apparat qo'ng'iroqlarini ushlab turish imkoniyatini beradi.[5] Oddiy gipervizatorlardan farqli o'laroq, ular operatsion tizimdan oldin yuklashlari shart emas, lekin ularni virtual mashinaga targ'ib qilishdan oldin operatsion tizimga yuklashlari mumkin.[5] Gipervizektor rootkit, uni bekor qilish uchun maqsad yadrosiga o'zgartirish kiritishi shart emas; ammo, bu uni mehmon operatsion tizimi tomonidan aniqlab bo'lmaydi degani emas. Masalan, vaqt farqlari aniqlanishi mumkin Markaziy protsessor ko'rsatmalar.[5] Tomonidan ishlab chiqilgan "SubVirt" laboratoriya rootkiti Microsoft va Michigan universiteti tadqiqotchilar, virtual mashinaga asoslangan rootkitning (VMBR) akademik namunasidir,[45]esa Moviy hap dasturiy ta'minot boshqasi. 2009 yilda Microsoft tadqiqotchilari va Shimoliy Karolina shtati universiteti deb nomlangan gipervizektor qatlami anti-rootkitini namoyish etdi Kanca xavfsizligi, bu yadro rejimidagi rootkitlardan umumiy himoyani ta'minlaydi.[46] Windows 10 operatsion tizimni rootkit tipidagi zararli dasturlardan mustaqil tashqi himoyasini ta'minlash uchun virtualizatsiya imkoniyatlaridan foydalanadigan "Device Guard" deb nomlangan yangi xususiyatni taqdim etdi.[47]

Dasturiy ta'minot va apparat vositalari

A proshivka rootkit apparatda doimiy zararli dastur tasvirini yaratish uchun qurilma yoki platforma dasturiy ta'minotidan foydalanadi, masalan yo'riqnoma, tarmoq kartasi,[48] qattiq disk yoki tizim BIOS.[25][49] Rootkit dasturiy ta'minotda yashiradi, chunki proshivka odatda tekshirilmaydi kodning yaxlitligi. John Heasman ikkalasida ham proshivka rootkitlarining hayotiyligini namoyish etdi ACPI proshivka dasturlari[50] va a PCI kengaytirish kartasi ROM.[51] 2008 yil oktyabr oyida jinoyatchilar Evropani buzishdi kredit karta - o'rnatishdan oldin o'qish mashinalari. Qurilmalar uyali telefon tarmog'i orqali kredit karta ma'lumotlarini ushlab qolishdi va uzatdilar.[52] 2009 yil mart oyida tadqiqotchilar Alfredo Ortega va Anibal Sacco a-ning nashr etilgan tafsilotlari BIOS -diskni almashtirish va operatsion tizimni qayta o'rnatishda omon qolgan Windows rootkit-ni boshqarish.[53][54][55] Bir necha oy o'tgach, ular ba'zi noutbuklar Absolute deb nomlanuvchi qonuniy rootkit bilan sotilishini bilib oldilar CompuTrace yoki mutlaq Noutbuklar uchun LoJack, ko'plab BIOS rasmlarida oldindan o'rnatilgan. Bu piyodalarga qarshio'g'irlik tadqiqotchilar ko'rsatgan texnologiya tizimini zararli maqsadlarga aylantirish mumkin.[22]

Intel Active Management Technology, qismi Intel vPro, asboblar guruhdan tashqarida boshqarish, ma'murlarga berish masofadan boshqarish, masofadan boshqarish va masofaviy boshqarish Tizim o'chirilgan bo'lsa ham, xost protsessori yoki BIOS ishtirokisiz kompyuterlarning. Masofaviy ma'muriyatga masofadan quvvatni yoqish va o'chirish, masofadan tiklash, qayta yo'naltirilgan yuklash, konsolni qayta yo'naltirish, BIOS sozlamalariga oldindan yuklash, kirish va chiqish tarmoq trafigi uchun dasturlashtiriladigan filtrlash, agentning mavjudligini tekshirish, polosadan tashqari siyosat kiradi. ogohlantirish, tizim ma'lumotlariga kirish, masalan, apparat aktivlari to'g'risidagi ma'lumotlar, doimiy voqealar jurnallari va maxsus xotirada saqlanadigan boshqa ma'lumotlar (qattiq diskda emas), u operatsion tizim ishlamay qolgan yoki kompyuter o'chirilgan bo'lsa ham. Ushbu funktsiyalarning ba'zilari uchun rootkitning eng chuqur darajasi kerak, bu asosiy kompyuter atrofida qurilgan ikkinchi olinmaydigan ayg'oqchi kompyuter. Sandy Bridge va kelajakdagi chipsetlar "yo'qolgan yoki o'g'irlangan kompyuterni 3G orqali masofadan turib o'ldirish va tiklash qobiliyatiga ega". Ga o'rnatilgan apparat rootkitlari chipset o'g'irlangan kompyuterlarni qayta tiklashga, ma'lumotlarni olib tashlashga yoki ularni foydasiz holga keltirishga yordam berishi mumkin, ammo ular boshqaruvni qo'lga kiritishi mumkin bo'lgan rahbariyat yoki xakerlar tomonidan aniqlanmagan josuslik va yo'naltirishning maxfiyligi va xavfsizligi bilan bog'liq muammolarni keltirib chiqaradi.

O'rnatish va plash

Rootkitlar tizimni boshqarish uchun turli xil usullardan foydalanadilar; rootkit turi hujum vektorini tanlashga ta'sir qiladi. Eng keng tarqalgan texnik vositalar xavfsizlik zaifliklari yashirinlikka erishish imtiyozlarning kuchayishi. Yana bir yondashuv - Troyan oti, kompyuter foydalanuvchisini rootkit-ni o'rnatish dasturiga zararli deb ishonish uchun aldash - bu holda, ijtimoiy muhandislik rootkit foydali ekanligi haqida foydalanuvchini ishontiradi.[27] O'rnatish vazifasi osonlashadi, agar eng kam imtiyoz printsipi qo'llanilmaydi, chunki rootkit yuqori darajadagi (administrator darajasidagi) imtiyozlarni aniq talab qilishi shart emas. Rootkitlarning boshqa sinflarini faqat maqsadli tizimga jismoniy kirish huquqiga ega bo'lgan kishi o'rnatishi mumkin. Ba'zi rootkitlar tizim egasi yoki egasi tomonidan vakolatli shaxs tomonidan qasddan o'rnatilishi mumkin, masalan. maqsadida xodimlarning nazorati, bunday buzg'unchilik usullarini keraksiz holga keltirish.[56] Ba'zi zararli rootkit o'rnatmalari tijorat maqsadlarida boshqariladi, a o'rnatish uchun to'lov (PPI) tarqatish uchun xos bo'lgan kompensatsiya usuli.[57][58]

O'rnatilgandan so'ng, rootkit standart operatsion tizimni buzish yoki chetlab o'tish orqali xost tizimidagi mavjudligini yashirish uchun faol choralar ko'radi. xavfsizlik vositalari va dastur dasturlash interfeysi Diagnostika, skanerlash va monitoring uchun ishlatiladigan (API). Rootkitlar bunga xatti-harakatlarini o'zgartirish orqali erishadilar operatsion tizimning asosiy qismlari kodni boshqa jarayonlarga yuklash, o'rnatish yoki o'zgartirish haydovchilar, yoki yadro modullari. Obfuskatsiya texnikasi tizimdagi kuzatuv mexanizmlaridan ishlaydigan jarayonlarni yashirishni va tizim fayllari va boshqa konfiguratsiya ma'lumotlarini yashirishni o'z ichiga oladi.[59] Rootkit-ni o'chirib qo'yish odatiy hol emas voqealarni qayd qilish hujum dalillarini yashirishga urinishda operatsion tizimning imkoniyatlari. Ildiz to'plamlari, nazariy jihatdan, o'zgartirishi mumkin har qanday operatsion tizim faoliyati.[60] "Mukammal rootkit" ni "" ga o'xshash deb hisoblash mumkinmukammal jinoyat ": hech kim amalga oshirmagan voqea sodir bo'ldi. Rootkits shuningdek, ularni viruslarga qarshi dasturlar yordamida aniqlab olish va" tozalash "dan saqlanishini ta'minlash uchun bir qator tadbirlarni amalga oshiradi, qo'shimcha ravishda Ring 0-ga (kernel-mode) o'rnatiladi. tizim kiradi polimorfizm (shuning uchun ularning "imzosi" ni aniqlash qiyin), maxfiy usullar, yangilanish, zararli dasturlarga qarshi dasturlarni o'chirib qo'yish yoki o'chirish[61] va o'rnatilmagan virtual mashinalar bu erda tadqiqotchilar uchun ularni topish va tahlil qilish osonroq bo'lishi mumkin.

Aniqlash

Rootkitni aniqlashning asosiy muammosi shundaki, agar operatsion tizim, xususan yadro darajasidagi rootkit tomonidan buzilgan bo'lsa, unga yoki uning tarkibiy qismlariga ruxsatsiz o'zgartirishlarni topishga ishonib bo'lmaydi.[60] Ishlayotgan jarayonlar ro'yxatini yoki katalogdagi fayllar ro'yxatini talab qilish kabi harakatlar kutilganidek ishlashiga ishonib bo'lmaydi. Boshqacha qilib aytganda, virusli tizimlarda ishlayotganda ishlaydigan rootkit detektorlari faqat kamuflyajida nuqsoni bo'lgan yoki yadrodagi aniqlash dasturidan pastroq foydalanuvchi rejimi imtiyozlari bilan ishlaydigan rootkitlarga qarshi samarali ishlaydi.[27] Xuddi shunday kompyuter viruslari, rootkitlarni aniqlash va yo'q qilish - bu mojaroning har ikki tomoni o'rtasida doimiy kurash.[60] Aniqlash turli xil yondashuvlarni o'z ichiga olishi mumkin, jumladan virus "imzolari" ni qidirish (masalan, antivirus dasturi), yaxlitlikni tekshirish (masalan. elektron raqamli imzolar ), farqga asoslangan aniqlash (kutilgan va haqiqiy natijalarni taqqoslash) va xulq-atvorni aniqlash (masalan, CPU ishlatilishini yoki tarmoq trafigini kuzatish).

Yadro rejimidagi rootkitlar uchun aniqlash ancha murakkab bo'lib, tizim qo'ng'iroqlari jadvalini sinchkovlik bilan tekshirishni talab qiladi. bog'langan funktsiyalar zararli dastur tizim xatti-harakatlarini buzishi mumkin bo'lgan joyda,[62] shu qatorda; shu bilan birga sud tibbiyoti yashirin jarayonlarni ko'rsatadigan naqshlar uchun xotirani skanerlash. Unix rootkitni aniqlash takliflari orasida Zeppoo,[63] chkrootkit, rkhunter va OSSEC. Windows uchun aniqlash vositalari Microsoft Sysinternals-ni o'z ichiga oladi RootkitRevealer,[64] Avast antivirus,[65] Sofos Rootkitga qarshi,[66] F-xavfsiz,[67] Radiks,[68] GMER,[69] va WindowsSCOPE. Effektivligini isbotlaydigan har qanday rootkit detektorlari oxir-oqibat o'zlarining samarasizligiga yordam beradi, chunki zararli dastur mualliflari o'zlarining kodlarini yaxshi ishlatilgan vositalar yordamida aniqlashdan qochish uchun moslashadi va sinovdan o'tkazadilar.[Izohlar 1] Gumon qilinayotgan operatsion tizim ishlamayotgan paytda saqlashni tekshirish orqali aniqlash tekshiruvchi dastur tomonidan tan olinmagan rootkitlarni o'tkazib yuborishi mumkin, chunki rootkit faol emas va shubhali xatti-harakatlar bostirilgan; rootkit operatsion tizimida ishlaydigan an'anaviy zararli dasturlarga qarshi dastur ishlamay qolishi mumkin, agar rootkit o'zini samarali yashirsa.

Muqobil ishonchli vosita

Operatsion tizim darajasida rootkitni aniqlashning eng yaxshi va eng ishonchli usuli bu yuqtirishda gumon qilingan kompyuterni o'chirib qo'yish, so'ngra uni tekshirish saqlash tomonidan yuklash muqobil ishonchli vositadan (masalan, "qutqarish" CD-ROM yoki USB flesh haydovchi ).[70] Texnika samaralidir, chunki rootkit ishlamayotgan bo'lsa, uning mavjudligini faol ravishda yashira olmaydi.

Xulq-atvorga asoslangan

Rootkitlarni aniqlash uchun xulq-atvorga asoslangan yondashuv, rootkitga o'xshash xatti-harakatlarni qidirib, rootkit borligini taxmin qilishga urinadi. Masalan, tomonidan profil yaratish tizim, API qo'ng'iroqlari vaqti va chastotasidagi yoki umumiy CPU foydalanishdagi farqlar rootkitga tegishli bo'lishi mumkin. Usul murakkab va yuqori darajadagi insidensiya bilan to'sqinlik qiladi yolg'on ijobiy. Nosoz rootkitlar ba'zida tizimga juda aniq o'zgarishlar kiritishi mumkin: the Alureon rootkit xavfsizlik yangilanishi uning kodidagi dizayndagi nuqsonni fosh qilganidan so'ng Windows tizimlarini ishdan chiqardi.[71][72] A dan jurnallar paket analizatori, xavfsizlik devori, yoki kirishni oldini olish tizimi tarmoq muhitida rootkit xatti-harakatining dalillarini taqdim etishi mumkin.[24]

Imzoga asoslangan

Antivirus mahsulotlari kamdan-kam hollarda ommaviy testlarda barcha viruslarni ushlaydi (nima ishlatilganiga va qancha darajada bo'lishiga qarab), garchi xavfsizlik dasturlari ishlab chiqaruvchilari o'z mahsulotlariga rootkitni aniqlashni qo'shsalar ham. Agar rootkit antivirusni skanerdan o'tkazishda yashirishga urinib ko'rsa, maxfiy detektor buni sezishi mumkin; agar rootkit o'zini tizimdan vaqtincha tushirmoqchi bo'lsa, imzo aniqlash (yoki "barmoq izlari") uni topishi mumkin. Ushbu birlashtirilgan yondashuv tajovuzkorlarni antivirus dasturlarini bekor qilishga urinadigan qarshi hujum mexanizmlarini yoki "retro" tartiblarini amalga oshirishga majbur qiladi. Imzoga asoslangan aniqlash usullari yaxshi nashr etilgan rootkitlarga qarshi samarali bo'lishi mumkin, ammo kamroq maxsus tayyorlangan, maxsus root-rootkitlarga qarshi.[60]

Farqga asoslangan

Rootkitlarni aniqlashning yana bir usuli "ishonchli" xom ma'lumotlarni an bilan qaytarilgan "bulg'angan" tarkib bilan taqqoslaydi API. Masalan, ikkiliklar diskdagi mavjudlarni ularning ichidagi nusxalari bilan taqqoslash mumkin operatsion xotira (ba'zi operatsion tizimlarda xotiradagi rasm diskdagi rasm bilan bir xil bo'lishi kerak) yoki natijalar qaytarilgan fayl tizimi yoki Windows ro'yxatga olish kitobi API-larni asosiy fizik disklardagi xom tuzilmalarga nisbatan tekshirish mumkin[60][73]- qanday bo'lishidan qat'iy nazar, birinchisida, ba'zi bir aniq farqlarni operatsion tizim mexanizmlari, masalan, xotirani boshqa joyga ko'chirish yoki kiritishi mumkin silliqlash. Rootkit bunday farqga asoslangan skaner yoki mavjudligini aniqlay oladi virtual mashina (ikkinchisi sud-tibbiyot tahlilini o'tkazish uchun tez-tez ishlatiladi) va uning xatti-harakatlarini hech qanday farqlar aniqlanmasligi uchun sozlang. Farqga asoslangan aniqlash tomonidan ishlatilgan Russinovich "s RootkitRevealer Sony DRM rootkitini topish vositasi.[1]

Butunlikni tekshirish

The rkhunter yordam dasturidan foydalanadi SHA-1 tizim fayllarining yaxlitligini tekshirish uchun xeshlar.

Kodni imzolash foydalanadi ochiq kalitli infratuzilma fayl mavjud bo'lganidan beri o'zgartirilganligini tekshirish uchun raqamli imzolangan uning noshiri tomonidan. Shu bilan bir qatorda, tizim egasi yoki ma'mur a dan foydalanishi mumkin kriptografik xash funktsiyasi o'rnatish vaqtida "barmoq izi" ni hisoblash, bu diskdagi kod kutubxonalarida keyingi ruxsatsiz o'zgarishlarni aniqlashga yordam beradi.[74] Biroq, sodda bo'lmagan sxemalar faqat o'rnatish vaqtidan boshlab kod o'zgartirilganligini tekshiradi; ushbu vaqtgacha bo'lgan buzg'unchilik aniqlanmaydi. Barmoq izi tizimga har safar o'zgartirish kiritilganda qayta tiklanishi kerak: masalan, xavfsizlik yangilanishlarini o'rnatgandan so'ng yoki a xizmat to'plami. Xash funktsiyasi a hosil qiladi Xabar hazm qilish, faylning har bir bitidan algoritm yordamida hisoblangan nisbatan qisqa kod, dastlabki faylga kichikroq o'zgarishlar kiritilsa ham, xabar hazm qilishida katta o'zgarishlar yaratadi. O'rnatilgan fayllarning xabarlar dayjestini ma'lum vaqt oralig'ida xabarlarni hazm qilishning ishonchli ro'yxati bilan qayta hisoblash va taqqoslash orqali tizimdagi o'zgarishlar aniqlanishi va kuzatilishi mumkin - agar zararli dastur qo'shilmasdan oldin dastlabki baza yaratilgan bo'lsa.

Murakkab rootkitlar tekshirish uchun faylning o'zgartirilmagan nusxasini taqdim etish orqali yoki faqat xotirada, qayta konfiguratsiya registrlarida kod modifikatsiyasini amalga oshirish orqali tekshirish jarayonini o'zgartirishi mumkin, keyinchalik ular kutilgan qiymatlarning oq ro'yxati bilan taqqoslanadi.[75] Hash, taqqoslash yoki kengaytirish operatsiyalarini bajaradigan kod ham himoyalangan bo'lishi kerak - bu erda an tushunchasi o'zgarmas ishonch rootkit yoki bootkit tizimni eng asosiy darajasida buzmasligini ta'minlash uchun tizimning xavfsizlik xususiyatlarini o'lchash uchun birinchi kodning o'zi ishonchli bo'lishi kerak, deb hisoblaydi.[76]

Xotira joylari

To'liq tashlanishni majburlash virtual xotira faol rootkitni yozib oladi (yoki a yadro tashlanishi yadro rejimida rootkit), oflayn rejimda ishlashga imkon beradi sud ekspertizasi bilan ijro etish tuzatuvchi natijaga qarshi faylni tashlash, rootkit holda o'zini yopish uchun hech qanday choralar ko'rishga qodir emas. Ushbu uslub juda ixtisoslashgan va jamoat uchun ochiq bo'lmagan foydalanishni talab qilishi mumkin manba kodi yoki belgilarini disk raskadrovka qilish. Operatsion tizim tomonidan boshlangan xotira chiqindilarini har doim ham xotirani o'qish uchun eng past darajadagi urinishlarni ushlab turadigan va qaytarib oladigan gipervizorga asoslangan rootkitni aniqlash uchun ishlatish mumkin emas.[5]- apparat qurilmasi, masalan maskalanmaydigan uzilish, ushbu stsenariyda xotirani bo'shatish uchun talab qilinishi mumkin.[77][78] Virtual mashinalar shuningdek, buzilgan mashinaning xotirasini asosiy gipervizektordan tahlil qilishni osonlashtiradi, shuning uchun ba'zi rootkitlar shu sababli virtual mashinalarni yuqtirishdan saqlanishadi.

Olib tashlash

Rootkitni qo'lda olib tashlash odatda oddiy kompyuter foydalanuvchisi uchun juda qiyin,[25] Ammo bir qator xavfsizlik dasturiy ta'minotlarini etkazib beruvchilar ba'zi rootkitlarni avtomatik ravishda aniqlash va o'chirish uchun vositalarni taklif qilishadi, odatda antivirus to'plami. 2005 yildan boshlab, Microsoftning oylik Windows zararli dasturiy ta'minotni olib tashlash vositasi rootkitlarning ayrim sinflarini aniqlash va olib tashlashga qodir.[79][80] Shuningdek, Windows Defender Offline dasturi rootkitlarni olib tashlashi mumkin, chunki u operatsion tizim ishga tushguncha ishonchli muhitdan ishlaydi. Ba'zi antivirus brauzerlari chetlab o'tishlari mumkin fayl tizimi Rootkit tomonidan manipulyatsiyaga qarshi bo'lgan API-lar. Buning o'rniga, ular to'g'ridan-to'g'ri xom fayl tizimi tuzilmalariga kirishadi va rootkit tomonidan yuzaga kelishi mumkin bo'lgan farqlarni aniqlash uchun tizim API-laridagi natijalarni tasdiqlash uchun ushbu ma'lumotdan foydalanadilar.[Izohlar 2][81][82][83][84] Ularni olib tashlashning yagona ishonchli usuli - bu operatsion tizimni ishonchli ommaviy axborot vositalaridan qayta o'rnatish deb hisoblaydigan mutaxassislar mavjud.[85][86] Ishonchsiz tizimda ishlaydigan antivirus va zararli dasturlarni yo'q qilish vositalari yaxshi yozilgan yadro rejimidagi rootkitlarga nisbatan samarasiz bo'lishi mumkin. Ishonchli axborot vositalaridan muqobil operatsion tizimni yuklash virusga chalingan tizim hajmini o'rnatishga va potentsial ravishda xavfsiz tozalashga va muhim ma'lumotlarni nusxalashga imkon beradi, yoki muqobil ravishda sud ekspertizasini o'tkazadi.[24] Kabi engil operatsion tizimlar Windows PE, Windows qutqarish konsol, Windows tiklash muhiti, BartPE, yoki Jonli tarqatishlar shu maqsadda ishlatilishi mumkin, bu tizimni "tozalash" imkonini beradi. Rootkitning turi va tabiati ma'lum bo'lsa ham, qo'lda ta'mirlash maqsadga muvofiq emas, operatsion tizim va dasturlarni qayta o'rnatish xavfsizroq, sodda va tezroq.[85]

Himoyalar

Tizim qotish rootkit-ga o'rnatilishining oldini olish uchun uni himoya qilishning birinchi qatlamlaridan birini anglatadi.[87] Xavfsizlik yamoqlarini qo'llash, eng kam imtiyoz printsipi, kamaytirish hujum yuzasi va antivirus dasturlarini o'rnatish zararli dasturlarning barcha sinflariga qarshi samarali bo'lgan ba'zi bir xavfsizlik bo'yicha eng yaxshi amaliyotdir.[88] Kabi yangi xavfsiz yuklash xususiyatlari Yagona kengaytirilgan dasturiy ta'minot interfeysi bootkitlar tahdidini bartaraf etish uchun ishlab chiqilgan, ammo ular taqdim etadigan xavfsizlik xususiyatlaridan foydalanilmasa ham, ular zaifdir.[49] Server tizimlari uchun Intel kabi texnologiyalardan foydalangan holda serverni masofadan sertifikatlash Ishonchli ijro texnologiyasi (TXT) serverlarning ma'lum yaxshi holatda qolishini tekshirish usulini taqdim etadi. Masalan, Microsoft Bitlocker Dam olish holatidagi ma'lumotlarni shifrlash, yuklashda serverlarning ma'lum "yaxshi holatda" ekanligini tasdiqlaydi. PrivateCore vCage - bu yuklashda ma'lum bo'lgan "yaxshi" holatda bo'lgan serverlarni tekshirish orqali bootkit va rootkitlardan saqlanish uchun foydalanishda ma'lumotlarni (xotirani) ta'minlaydigan dasturiy ta'minot. PrivateCore dasturi Intel TXT bilan birgalikda ishlaydi va potentsial bootkit va rootkitlardan saqlanish uchun server tizimining interfeyslarini qulflaydi.

Shuningdek qarang

Izohlar

  1. ^ Sysinternals RootkitRevealer jarayonining nomi zararli dastur tomonidan maqsad qilingan; ushbu qarshi choraga qarshi harakat qilib, endi asbob tasodifiy ravishda ishlab chiqarilgan jarayon nomidan foydalanadi.
  2. ^ Nazariyada, yadro darajasida etarli darajada rivojlangan rootkit o'qish operatsiyalarini xom fayllar tizimining ma'lumotlar tuzilmalariga qarshi tarzda o'zgartirishi mumkin, shunda ular API tomonidan qaytarilgan natijalarga mos keladi.

Adabiyotlar

  1. ^ a b v d e f g h "Rootkits, 3 qismning 1-qismi: O'sib borayotgan tahdid" (PDF). McAfee. 2006-04-17. Arxivlandi asl nusxasi (PDF) 2006-08-23 kunlari.
  2. ^ "Windows tizimidan rootkitni olib tashlash". 2011-10-25.
  3. ^ a b v d "Windows Rootkit haqida umumiy ma'lumot" (PDF). Symantec. 2006-03-26. Olingan 2010-08-17. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  4. ^ Uchqunlar, Sherri; Butler, Jeymi (2005-08-01). "Windows Rootkitni aniqlash uchun satrni ko'tarish". Phrack. 0xb (x3d).
  5. ^ a b v d e Mayers, Maykl; Youndt, Stiven (2007-08-07). "Uskuna yordamida ishlaydigan virtual mashinaning (HVM) rootkitlariga kirish". Muhim xavfsizlik. CiteSeerX: 10.1.1.90.8832. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  6. ^ Endryu Xey; Daniel Sid; Rori Bray (2008). OSSEC xostga asoslangan kirishni aniqlash bo'yicha qo'llanma. Sinxronizatsiya. p. 276. ISBN  978-1-59749-240-9.
  7. ^ Tompson, Ken (1984 yil avgust). "Ishonchga ishonish haqida mulohazalar" (PDF). ACM aloqalari. 27 (8): 761. doi:10.1145/358198.358210.
  8. ^ a b Greg Xoglund; Jeyms Butler (2006). Ildiz to'plamlari: Windows yadrosini almashtirish. Addison-Uesli. p. 4. ISBN  978-0-321-29431-9.
  9. ^ Dai Zovi, Dino (2009-07-26). Murakkab Mac OS X Rootkits (PDF). Qora. Endgame tizimlari. Olingan 2010-11-23.
  10. ^ "Stuxnet sanoatni boshqarish tizimlari uchun ma'lum bo'lgan birinchi Rootkit-ni taqdim etadi". Symantec. 2010-08-06. Olingan 2010-12-04.
  11. ^ "Shpion dasturlari haqida batafsil ma'lumot: XCP.Sony.Rootkit". Computer Associates. 2005-11-05. Arxivlandi asl nusxasi 2010-08-18. Olingan 2010-08-19.
  12. ^ Russinovich, Mark (2005-10-31). "Sony, Rootkits va raqamli huquqlarni boshqarish juda uzoqqa ketdi". TechNet bloglari. Microsoft. Olingan 2010-08-16.
  13. ^ "Sony-ning uzoq muddatli rootkit kompakt-disklari". BBC yangiliklari. 2005-11-21. Olingan 2008-09-15.
  14. ^ Felton, Ed (2005-11-15). "Sony-ning Internetga asoslangan o'chiruvchisi katta xavfsizlik teshigini ochdi; Sony disklarni qayta chaqiradi".
  15. ^ Knight, Will (2005-11-11). "Sony BMG musiqiy kompakt-diskdagi dasturni yopib qo'ygani uchun sudga berdi". Yangi olim. Olingan 2010-11-21.
  16. ^ Kyriakidou, Dina (2006 yil 2 mart). ""Yunonistonning Votergeyt "janjal siyosiy shok to'lqinlarini yubordi". Reuters. Olingan 2007-11-24.[o'lik havola ]
  17. ^ a b Vassilis Prevelakis; Diomidis Spinellis (2007 yil iyul). "Afina ishi".
  18. ^ Russinovich, Mark (Iyun 2005). "Ildiz to'plamlarini ochish". Windows IT Pro. Arxivlandi asl nusxasi 2012-09-18. Olingan 2010-12-16.
  19. ^ "Sony BMG Rootkit-dan foydalangan holda World of Warcraft xakerlari". Ro'yxatdan o'tish. 2005-11-04. Olingan 2010-08-23.
  20. ^ Stiv Xanna (2007 yil sentyabr). "Honeypot asosida zararli dasturlarni aniqlash uchun Rootkit texnologiyasidan foydalanish" (PDF). CCEID yig'ilishi. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  21. ^ Russinovich, Mark (2006 yil 6-fevral). "Raqamli huquqlar boshqaruvini mag'lub qilish uchun rootkitlardan foydalanish". G'oliblar. SysInternals. Arxivlandi asl nusxasi 2006 yil 14 avgustda. Olingan 2006-08-13.
  22. ^ a b Ortega, Alfredo; Sakko, Anibal (2009-07-24). Deactivate the Rootkit: Attacks on BIOS anti-theft technologies (PDF). Black Hat USA 2009 (PDF). Boston, MA: Core Security Technologies. Olingan 2014-06-12.
  23. ^ Kleissner, Peter (2009-09-02). "Stoned Bootkit: The Rise of MBR Rootkits & Bootkits in the Wild" (PDF). Arxivlandi asl nusxasi (PDF) 2011-07-16. Olingan 2010-11-23. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  24. ^ a b v Anson, Steve; Bunting, Steve (2007). Mastering Windows Network Forensics and Investigation. John Wiley va Sons. 73-74 betlar. ISBN  978-0-470-09762-5.
  25. ^ a b v d "Rootkits Part 2: A Technical Primer" (PDF). McAfee. 2007-04-03. Arxivlandi asl nusxasi (PDF) 2008-12-05 kunlari. Olingan 2010-08-17.
  26. ^ Kdm. "NTIllusion: A portable Win32 userland rootkit". Phrack. 62 (12).
  27. ^ a b v d "Understanding Anti-Malware Technologies" (PDF). Microsoft. 2007-02-21. Arxivlandi asl nusxasi (PDF) 2010-09-11. Olingan 2010-08-17.
  28. ^ Hoglund, Greg (1999-09-09). "A *REAL* NT Rootkit, Patching the NT Kernel". Phrack. 9 (55). Olingan 2010-11-21.
  29. ^ Shevchenko, Alisa (2008-09-01). "Rootkit Evolution". Net Security-ga yordam bering. Help Net Security.
  30. ^ Chuvakin, Anton (2003-02-02). An Overview of Unix Rootkits (PDF) (Hisobot). Chantilly, Virginia: iDEFENSE. Arxivlandi asl nusxasi (PDF) on 2011-07-25. Olingan 2010-11-21.
  31. ^ Butler, James; Sparks, Sherri (2005-11-16). "Windows Rootkits of 2005, Part Two". Symantec Connect. Symantec. Olingan 2010-11-13.
  32. ^ Butler, James; Sparks, Sherri (2005-11-03). "Windows Rootkits of 2005, Part One". Symantec Connect. Symantec. Olingan 2010-11-12.
  33. ^ Burdach, Mariusz (2004-11-17). "Detecting Rootkits And Kernel-level Compromises In Linux". Symantec. Olingan 2010-11-23.
  34. ^ Marco Giuliani (11 April 2011). "ZeroAccess – An Advanced Kernel Mode Rootkit" (PDF). Webroot Software. Olingan 10 avgust 2011. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  35. ^ "Driver Signing Requirements for Windows". Microsoft. Olingan 2008-07-06.
  36. ^ Shnayer, Bryus (2009-10-23). "'Evil Maid' Attacks on Encrypted Hard Drives". Olingan 2009-11-07.
  37. ^ Soeder, Derek; Permeh, Ryan (2007-05-09). "Bootroot". eEye Digital Security. Arxivlandi asl nusxasi on 2013-08-17. Olingan 2010-11-23.
  38. ^ Kumar, Nitin; Kumar, Vipin (2007). Vbootkit: Compromising Windows Vista Security (PDF). Black Hat Europe 2007.
  39. ^ "BOOT KIT: Custom boot sector based Windows 2000/XP/2003 Subversion". NVlabs. 2007-02-04. Arxivlandi asl nusxasi 2010 yil 10 iyunda. Olingan 2010-11-21.
  40. ^ Kleissner, Peter (2009-10-19). "Stoned Bootkit". Peter Kleissner. Olingan 2009-11-07.[o'z-o'zini nashr etgan manba ]
  41. ^ Goodin, Dan (2010-11-16). "World's Most Advanced Rootkit Penetrates 64-bit Windows". Ro'yxatdan o'tish. Olingan 2010-11-22.
  42. ^ Peter Kleissner, "The Rise of MBR Rootkits And Bootkits in the Wild", Tasodifiy xakerlik (2009) - matn Arxivlandi 2011-07-16 da Orqaga qaytish mashinasi; slaydlar Arxivlandi 2014-01-06 at the Orqaga qaytish mashinasi
  43. ^ Windows Loader - Software Informer. This is the loader application that's used by millions of people worldwide
  44. ^ Microsoft tightens grip on OEM Windows 8 licensing
  45. ^ King, Samuel T.; Chen, Peter M.; Vang, Yi-Min; Verbowski, Chad; Wang, Helen J.; Lorch, Jacob R. (2006-04-03). Xalqaro biznes mashinalari (tahrir). SubVirt: Implementing malware with virtual machines (PDF). 2006 IEEE Symposium on Security and Privacy. Elektr va elektronika muhandislari instituti. doi:10.1109/SP.2006.38. ISBN  0-7695-2574-1. Olingan 2008-09-15.
  46. ^ Wang, Zhi; Jiang, Xuxian; Cui, Weidong; Ning, Peng (2009-08-11). "Countering Kernel Rootkits with Lightweight Hook Protection" (PDF). In Al-Shaer, Ehab (General Chair) (ed.). Proceedings of the 16th ACM Conference on Computer and Communications Security. CCS 2009: 16th ACM Conference on Computer and Communications Security. Jha, Somesh; Keromytis, Angelos D. (Program Chairs). New York: ACM New York. doi:10.1145/1653662.1653728. ISBN  978-1-60558-894-0. Olingan 2009-11-11.
  47. ^ "Device Guard is the combination of Windows Defender Application Control and virtualization-based protection of code integrity (Windows 10)".
  48. ^ Delugré, Guillaume (2010-11-21). Reversing the Broacom NetExtreme's Firmware (PDF). hack.lu. Sogeti. Arxivlandi asl nusxasi (PDF) 2012-04-25. Olingan 2010-11-25.
  49. ^ a b "Hacking Team Uses UEFI BIOS Rootkit to Keep RCS 9 Agent in Target Systems - TrendLabs Security Intelligence Blog". 2015-07-13.
  50. ^ Heasman, John (2006-01-25). Implementing and Detecting an ACPI BIOS Rootkit (PDF). Black Hat Federal 2006. NGS Consulting. Olingan 2010-11-21.
  51. ^ Heasman, John (2006-11-15). "Implementing and Detecting a PCI Rootkit" (PDF). Next Generation Security Software. CiteSeerX: 10.1.1.89.7305. Olingan 2010-11-13. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  52. ^ Modine, Austin (2008-10-10). "Organized crime tampers with European card swipe devices: Customer data beamed overseas". Ro'yxatdan o'tish. Vaziyatni nashr etish. Olingan 2008-10-13.
  53. ^ Sacco, Anibal; Ortéga, Alfredo (2009). Persistent BIOS infection (PDF). CanSecWest 2009. Core Security Technologies. Olingan 2010-11-21.
  54. ^ Goodin, Dan (2009-03-24). "Newfangled rootkits survive hard disk wiping". Ro'yxatdan o'tish. Vaziyatni nashr etish. Olingan 2009-03-25.
  55. ^ Sacco, Anibal; Ortéga, Alfredo (2009-06-01). "Persistent BIOS Infection: The Early Bird Catches the Worm". Phrack. 66 (7). Olingan 2010-11-13.
  56. ^ Ric Vieler (2007). Professional Rootkits. John Wiley & Sons. p. 244. ISBN  9780470149546.
  57. ^ Matrosov, Aleksandr; Rodionov, Eugene (2010-06-25). "TDL3: The Rootkit of All Evil?" (PDF). Moskva: ESET. p. 3. Arxivlangan asl nusxasi (PDF) on 2011-05-13. Olingan 2010-08-17.
  58. ^ Matrosov, Aleksandr; Rodionov, Eugene (2011-06-27). "The Evolution of TDL: Conquering x64" (PDF). ESET. Arxivlandi asl nusxasi (PDF) on 2015-07-29. Olingan 2011-08-08.
  59. ^ Brumley, David (1999-11-16). "Invisible Intruders: rootkits in practice". USENIX. USENIX.
  60. ^ a b v d e Davis, Michael A.; Bodmer, Sean; LeMasters, Aaron (2009-09-03). "Chapter 10: Rootkit Detection" (PDF). Hacking Exposed Malware & Rootkits: Malware & rootkits security secrets & solutions. New York: McGraw Hill Professional. ISBN  978-0-07-159118-8.
  61. ^ Trlokom (2006-07-05). "Defeating Rootkits and Keyloggers" (PDF). Trlokom. Arxivlandi asl nusxasi (PDF) 2011-07-17. Olingan 2010-08-17. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  62. ^ Dai Zovi, Dino (2011). "Kernel Rootkits". Arxivlandi asl nusxasi 2012 yil 10 sentyabrda. Olingan 13 sentyabr 2012. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  63. ^ "Zeppoo". SourceForge. 2009 yil 18-iyul. Olingan 8 avgust 2011.
  64. ^ Cogswell, Bryce; Russinovich, Mark (2006-11-01). "RootkitRevealer v1.71". Microsoft. Olingan 2010-11-13.
  65. ^ "Rootkit & Anti-rootkit". Olingan 13 sentyabr 2017.
  66. ^ "Sophos Anti-Rootkit". Sofos. Olingan 8 avgust 2011.
  67. ^ "BlackLight". F-Secure. Olingan 8 avgust 2011.
  68. ^ "Radix Anti-Rootkit". usec.at. Olingan 8 avgust 2011.
  69. ^ "GMER". Olingan 8 avgust 2011.
  70. ^ Harriman, Josh (2007-10-19). "A Testing Methodology for Rootkit Removal Effectiveness" (PDF). Dublin, Ireland: Symantec Security Response. Olingan 2010-08-17. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  71. ^ Cuibotariu, Mircea (2010-02-12). "Tidserv and MS10-015". Symantec. Olingan 2010-08-19.
  72. ^ "Restart Issues After Installing MS10-015". Microsoft. 2010-02-11. Olingan 2010-10-05.
  73. ^ "Strider GhostBuster Rootkit Detection". Microsoft Research. 2010-01-28. Arxivlandi asl nusxasi on 2012-07-29. Olingan 2010-08-14.
  74. ^ "Signing and Checking Code with Authenticode". Microsoft. Olingan 2008-09-15.
  75. ^ "Stopping Rootkits at the Network Edge" (PDF). Beaverton, Oregon: Ishonchli hisoblash guruhi. 2017 yil yanvar. Olingan 2008-07-11.
  76. ^ "TCG PC Specific Implementation Specification, Version 1.1" (PDF). Ishonchli hisoblash guruhi. 2003-08-18. Olingan 2010-11-22.
  77. ^ "How to generate a complete crash dump file or a kernel crash dump file by using an NMI on a Windows-based system". Microsoft. Olingan 2010-11-13.
  78. ^ Seshadri, Arvind; va boshq. (2005). "Pioneer: Verifying Code Integrity and Enforcing Untampered Code Execution on Legacy Systems". Karnegi Mellon universiteti. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  79. ^ Dillard, Kurt (2005-08-03). "Rootkit battle: Rootkit Revealer vs. Hacker Defender".
  80. ^ "The Microsoft Windows Malicious Software Removal Tool helps remove specific, prevalent malicious software from computers that are running Windows 7, Windows Vista, Windows Server 2003, Windows Server 2008, or Windows XP". Microsoft. 2010-09-14.
  81. ^ Hultquist, Steve (2007-04-30). "Rootkits: The next big enterprise threat?". InfoWorld. Olingan 2010-11-21.
  82. ^ "Security Watch: Rootkits for fun and profit". CNET Reviews. 2007-01-19. Arxivlandi asl nusxasi 2012-10-08 kunlari. Olingan 2009-04-07.
  83. ^ Bort, Julie (2007-09-29). "Six ways to fight back against botnets". PCWorld. San Francisco: PCWorld Communications. Olingan 2009-04-07.
  84. ^ Hoang, Mimi (2006-11-02). "Handling Today's Tough Security Threats: Rootkits". Symantec Connect. Symantec. Olingan 2010-11-21.
  85. ^ a b Danseglio, Mike; Bailey, Tony (2005-10-06). "Rootkits: The Obscure Hacker Attack". Microsoft.
  86. ^ Messmer, Ellen (2006-08-26). "Experts Divided Over Rootkit Detection and Removal". NetworkWorld.com. Framingham, Mass.: IDG. Olingan 2010-08-15.
  87. ^ Skoudis, Ed; Zeltser, Lenny (2004). Malware: Fighting Malicious Code. Prentice Hall PTR. p. 335. ISBN  978-0-13-101405-3.
  88. ^ Hannel, Jeromey (2003-01-23). "Linux RootKits For Beginners - From Prevention to Removal". SANS Institute. Arxivlandi asl nusxasi (PDF) 2010 yil 24 oktyabrda. Olingan 2010-11-22.

Qo'shimcha o'qish

  • Blunden, Bill (2009). The Rootkit Arsenal: Escape and Evasion in the Dark Corners of the System. Wordware. ISBN  978-1-59822-061-2.
  • Hoglund, Greg; Butler, James (2005). Rootkits: Subverting the Windows Kernel. Addison-Uesli Professional. ISBN  978-0-321-29431-9.
  • Grampp, F. T.; Morris, Robert H., Sr. (October 1984). "The UNIX System: UNIX Operating System Security". AT&T Bell Laboratories Texnik jurnali. 62 (8): 1649–1672. doi:10.1002/j.1538-7305.1984.tb00058.x.
  • Kong, Joseph (2007). Designing BSD Rootkits. Kraxmal bosilmaydi. ISBN  978-1-59327-142-8.
  • Veiler, Ric (2007). Professional Rootkits. Wrox. ISBN  978-0-470-10154-4.

Tashqi havolalar

  • Bilan bog'liq ommaviy axborot vositalari Rootkits Vikimedia Commons-da