Cos'è un rootkit?

Esiste un'ampia varietà di malware per macOS, Windows, Linux e altri sistemi operativi. Un tipo di malware è il cosiddetto "rootkit". In questa guida ho riassunto cos'è un rootkit, quali opzioni sono disponibili per gli hacker e quali danni possono essere causati. Se hai domande o commenti sull'argomento, lascia un commento.

Cosa significa il termine rootkit?

Rootkit è composto dalle parole root e kit. Traduzioni appropriate sarebbero quindi "kit di amministrazione" o "strumenti di accesso completo". Il termine significa che il software utilizzato consente all'attaccante l'accesso completo al sistema e/o alla rete. Inoltre, il rootkit permette di mascherare le tracce dell'attacco. L'avvio del sistema, l'accesso agli account, l'installazione di malware aggiuntivo e simili possono essere eliminati dai registri e i file aggiunti o modificati possono essere nascosti. In questo modo, un attacco rootkit può passare inosservato alle vittime.

Uso del rootkit in preparazione per una backdoor

Oltre all'utilizzo una tantum del rootkit, non c'è solo la possibilità di utilizzarlo più volte per ottenere l'accesso al sistema di destinazione ancora e ancora. In caso di attacco rootkit, una cosiddetta backdoor può essere creata anche da malware aggiuntivo o adattando software esistente. Il termine "backdoor" può essere tradotto direttamente come backdoor. Questa backdoor nel sistema consente quindi agli hacker di penetrare con meno sforzo in futuro, anche se con possibilmente meno opzioni di azione. Tuttavia, se i singoli attacchi hanno un obiettivo specifico, la backdoor può essere adattata di conseguenza.

Possibili obiettivi di un attacco rootkit

L'accesso dell'amministratore al sistema può essere sfruttato in vari modi. Ciò consente l'accesso all'intero sistema di un ufficio, di un'azienda o di server. Ciò è possibile anche su singoli computer, indipendentemente dal fatto che vengano utilizzati privatamente o per un lavoro. È quindi possibile modificare il sistema, aggiungere software o accedere a informazioni. Ecco alcuni possibili obiettivi di un attacco rootkit:

• Copiare e ricavare dati, accedere a dati, file e altre informazioni
• Installazione di virusper far cadere il sistema e distruggere i dati
• Installazione di Spyware / Stalkerwareper acquisire sequenze di tasti, audio, video e altro
• Utilizzo della struttura dirottata per ulteriori attacchi (ad es. Attacchi DDoS sui servizi web)
• Posizionamento di backdoor, come una shell, per interfacciarsi con le porte di rete

Differenziazione dal cavallo di Troia

Un rootkit consente l'accesso attivo al sistema in modo che gli aggressori possano guardarsi intorno e apportare modifiche da soli. E questo è esattamente ciò che separa il toolkit dell'amministratore dal cavallo di Troia lontano. Quest'ultimo viene imposto agli utenti in modo che lo eseguano come un programma presumibilmente utile e quindi gli consentano di installare automaticamente ulteriori malware, backdoor, ecc. Tale malware automatico non è quindi adatto per la ricerca di informazioni specifiche o per adattare l'attacco a specifici fattori di sistema. In confronto, il cavallo di Troia può coprire le sue tracce solo in misura limitata.

Come rimuovere il rootkit dal computer?

Esistono diversi tipi di rootkit, alcuni facili e altri difficili da eliminare. I rootkit di memoria, ad esempio, si mettono solo in memoria. Se il computer viene riavviato, vengono eliminati da esso. Altri moduli, come i rootkit userland, vengono rimossi reinstallando il sistema operativo. Si bloccano con file DLL e metodi API che non sono più disponibili nel sistema appena installato. È più difficile con i rootkit del kernel e del BIOS. Questi ultimi in particolare non risentono delle modifiche di sistema e non possono essere rimossi con certezza al 100%. Si consiglia una protezione da scrittura preventiva basata su hardware per prevenire l'infezione.

Jailbreak e rooting: intrusione deliberata in un sistema operativo

Gli argomenti jailbreak (iOS) e rooting (Android) non sono direttamente correlati all'argomento rootkit, ma sono decisamente correlati. Questo perché determinati diritti di lettura e, soprattutto, di scrittura si ottengono anche su un dispositivo (smartphone, tablet, ecc.) per effettuare regolazioni o caricare un diverso sistema operativo. Poiché Apple mantiene le sue offerte proprietarie e non ha ancora consentito il sideload delle app per iPhone al di fuori dell'App Store, il termine "jailbreak" (pausa carceraria) è stato coniato per iOS. I dispositivi Android sono generalmente indicati come "rooting". Con entrambi, l'obiettivo è avere più libertà per la personalizzazione e l'installazione delle app. Al giorno d'oggi, tuttavia, questo è meno richiesto rispetto alle prime generazioni di iPhone.

Johannes Domke

Dopo il diploma di scuola superiore, Johannes ha completato un apprendistato come assistente commerciale specializzato in lingue straniere. Dopo di che, però, decise di dedicarsi alla ricerca e alla scrittura, da cui divenne un lavoratore autonomo. Ha lavorato per Sir Apfelot, tra gli altri, ormai da diversi anni. I suoi articoli includono lanci di prodotti, notizie, istruzioni, videogiochi, console e altro ancora. Segue Apple Keynotes in diretta via streaming.