Rootkits worden door hackers gebruikt om hardnekkige, schijnbaar niet-detecteerbare malware op uw apparaat te verbergen die geruisloos gegevens of bronnen zal stelen, soms in de loop van meerdere jaren. Ze kunnen ook op keylogger-manier worden gebruikt, waarbij uw toetsaanslagen en communicatie worden gecontroleerd en de toeschouwer privacy-informatie krijgt.  

Deze specifieke hackmethode was vóór 2006 relevanter, voordat Microsoft Vista leveranciers verplichtte om alle computerstuurprogramma's digitaal te ondertekenen. De Kernel Patch Protection ( KPP ) zorgde ervoor dat malwareschrijvers hun aanvalsmethoden veranderden en pas sinds 2018, met de Zacinlo-advertentiefraudeoperatie^{(Zacinlo ad fraud operation)} , kwamen rootkits opnieuw in de schijnwerpers.

De rootkits van vóór 2006 waren allemaal specifiek gebaseerd op het besturingssysteem. De Zacinlo- situatie, een rootkit uit de Detrahere-malwarefamilie^{(Detrahere malware)} , gaf ons iets nog gevaarlijkers in de vorm van een op firmware gebaseerde rootkit. Hoe dan^(Regardless) ook, rootkits zijn slechts ongeveer één procent van alle malware-output die jaarlijks wordt gezien. 

Toch zou het, vanwege het gevaar dat ze kunnen opleveren, verstandig zijn om te begrijpen hoe het opsporen van rootkits die mogelijk al in uw systeem zijn geïnfiltreerd, werkt.

Rootkits detecteren in Windows 10 ( diepgaand^(In-Depth) )

Zacinlo was eigenlijk al bijna zes jaar in het spel voordat hij werd ontdekt als doelwit voor het Windows 10 - platform. De rootkit-component was zeer configureerbaar en beschermde zichzelf tegen processen die hij als gevaarlijk voor zijn functionaliteit beschouwde en was in staat om SSL^(SSL) -communicatie te onderscheppen en te decoderen .

Het zou al zijn configuratiegegevens coderen en opslaan in het Windows-register^{(Windows Registry)} en, terwijl Windows werd afgesloten, zichzelf herschrijven van het geheugen naar de schijf met een andere naam en de registersleutel bijwerken. Dit hielp het om detectie door uw standaard antivirussoftware te omzeilen.

Dit toont aan dat een standaard antivirus- of antimalware-software niet voldoende is om rootkits te detecteren. Hoewel, er zijn een paar eersteklas antimalwareprogramma's die u waarschuwen voor vermoedens van een rootkit-aanval. 

De 5 belangrijkste kenmerken van goede antivirussoftware^{(The 5 Key Attributes Of a Good Antivirus Software)}

De meeste van de prominente antivirusprogramma's van vandaag zullen alle vijf van deze opmerkelijke methoden uitvoeren voor het detecteren van rootkits.

• Op handtekeningen gebaseerde analyse^{(Signature-based Analysis)} - De antivirussoftware vergelijkt gelogde bestanden met bekende handtekeningen van rootkits. De analyse zal ook zoeken naar gedragspatronen die bepaalde operationele activiteiten van bekende rootkits nabootsen, zoals agressief poortgebruik.
• Detectie van onderschepping^{(Interception Detection)} – Het Windows -besturingssysteem gebruikt aanwijstabellen om opdrachten uit te voeren waarvan bekend is dat ze een rootkit ertoe aanzetten iets te doen. Aangezien rootkits proberen iets te vervangen of aan te passen dat als een bedreiging wordt beschouwd, zal dit uw systeem op hun aanwezigheid wijzen.
• Vergelijking van gegevens uit meerdere bronnen^{(Multi-Source Data Comparison)} – Rootkits kunnen, in hun poging om verborgen te blijven, bepaalde gegevens wijzigen die in een standaardonderzoek worden gepresenteerd. De geretourneerde resultaten van systeemaanroepen op hoog en laag niveau kunnen de aanwezigheid van een rootkit verraden. De software kan ook het procesgeheugen dat in het RAM^(RAM) is geladen vergelijken met de inhoud van het bestand op de harde schijf.
• Integriteitscontrole^{(Integrity Check)} – Elke systeembibliotheek beschikt over een digitale handtekening die is aangemaakt op het moment dat het systeem als “schoon” werd beschouwd. Goede beveiligingssoftware kan de bibliotheken controleren op elke wijziging van de code die is gebruikt om de digitale handtekening te maken.
• Registervergelijkingen^{(Registry Comparisons)} - De meeste antivirussoftwareprogramma's hebben deze volgens een vooraf ingesteld schema. Een schoon bestand wordt in realtime vergeleken met een clientbestand om te bepalen of de client een ongevraagd uitvoerbaar bestand (.exe) is of bevat.

Rootkit-scans uitvoeren^{(Performing Rootkit Scans)}

Het uitvoeren van een rootkit-scan is de beste poging om rootkit-infectie te detecteren. Meestal kan uw besturingssysteem niet op zichzelf worden vertrouwd om een ​​rootkit te identificeren en vormt het een uitdaging om de aanwezigheid ervan vast te stellen. Rootkits zijn meesterspionnen, ze verbergen hun sporen bij bijna elke bocht en kunnen in het volle zicht verborgen blijven.

Als u vermoedt dat er een rootkit-virusaanval op uw computer heeft plaatsgevonden, is het een goede detectiestrategie om de computer uit te schakelen en de scan uit te voeren vanaf een bekend schoon systeem. Een trefzekere manier om een ​​rootkit in uw machine te lokaliseren, is door middel van een geheugendumpanalyse. Een rootkit kan de instructies die het aan je systeem geeft niet verbergen terwijl het ze uitvoert in het geheugen van de machine.

WinDbg gebruiken voor malware-analyse^{(Using WinDbg For Malware Analysis)}

Microsoft Windows heeft zijn eigen multifunctionele debugging-tool geleverd die kan worden gebruikt om debugging-scans uit te voeren op toepassingen, stuurprogramma's of het besturingssysteem zelf. Het debugt de code in de kernelmodus en de gebruikersmodus, helpt bij het analyseren van crashdumps en onderzoekt de CPU- registers.

Sommige Windows -systemen worden geleverd met WinDbg al gebundeld. Degenen zonder zullen het moeten downloaden van de Microsoft Store . WinDbg Preview is de modernere versie van WinDbg , die oogverblindende visuals, snellere vensters, complete scripting en dezelfde opdrachten, extensies en workflows biedt als het origineel.

Op het absolute minimum kunt u WinDbg gebruiken om een ​​geheugen- of crashdump te analyseren, inclusief een Blue Screen Of Death ( BSOD ). Aan de hand van de resultaten kunt u zoeken naar indicatoren voor een malware-aanval. Als u denkt dat een van uw programma's mogelijk wordt gehinderd door de aanwezigheid van malware, of meer geheugen gebruikt dan nodig is, kunt u een dumpbestand maken en WinDbg gebruiken om het te analyseren.

Een volledige geheugendump kan veel schijfruimte in beslag nemen, dus het kan beter zijn om in plaats daarvan een kernelmodusdump^{(Kernel-Mode)} of een kleine geheugendump^(Memory) uit te voeren . Een kernelmodus-dump bevat alle informatie over het geheugengebruik door de kernel op het moment van de crash. Een kleine geheugendump^(Memory) bevat basisinformatie over verschillende systemen zoals stuurprogramma's, de kernel en meer, maar is in vergelijking klein.

Kleine geheugendumps^(Memory) zijn nuttiger bij het analyseren waarom een ​​BSOD is opgetreden. Voor het detecteren van rootkits is een volledige versie of kernelversie handiger.

Een dumpbestand in kernelmodus maken^{(Creating A Kernel-Mode Dump File)}

Een kernelmodus-^{(Kernel-Mode)} dumpbestand kan op drie manieren worden gemaakt:

• Schakel het dumpbestand in via het Configuratiescherm^{(Control Panel)} zodat het systeem vanzelf kan crashen
• Schakel het dumpbestand in via het Configuratiescherm^{(Control Panel)} om het systeem te laten crashen
• Gebruik een debugger-tool om er een voor u te maken

We gaan voor keuze nummer drie. 

Om het benodigde dumpbestand uit te voeren, hoeft u alleen de volgende opdracht in het opdrachtvenster^(Command) van WinDbg in te voeren .

Vervang Bestandsnaam^(FileName) door een geschikte naam voor het dumpbestand en de "?" met een f . Zorg ervoor dat de "f" een kleine letter is, anders creëer je een ander soort dumpbestand.

Als de debugger eenmaal zijn gang heeft gehad (de eerste scan duurt behoorlijk wat minuten), is er een dumpbestand gemaakt en kun je je bevindingen analyseren.

Om te begrijpen waar u naar op zoek bent, zoals het gebruik van vluchtig geheugen ( RAM ), om de aanwezigheid van een rootkit te bepalen, is ervaring en testen vereist. Het is mogelijk, hoewel niet aanbevolen voor een beginner, om technieken voor het ontdekken van malware te testen op een live systeem. Om dit te doen, is opnieuw expertise en diepgaande kennis nodig over de werking van WinDbg om niet per ongeluk een levend virus in uw systeem te plaatsen.

Er zijn veiligere, meer beginnersvriendelijke manieren om onze goed verborgen vijand te ontdekken.

Aanvullende scanmethoden^{(Additional Scanning Methods)}

Handmatige detectie en gedragsanalyse zijn ook betrouwbare methoden voor het detecteren van rootkits. Pogingen om de locatie van een rootkit te achterhalen, kan erg lastig zijn, dus in plaats van je op de rootkit zelf te richten, kun je in plaats daarvan op rootkit-achtig gedrag zoeken.

U kunt rootkits zoeken in gedownloade softwarebundels door tijdens de installatie de geavanceerde^(Advanced) of aangepaste^(Custom) installatieopties te gebruiken. Waar u naar moet zoeken, zijn onbekende bestanden die in de details worden vermeld. Deze bestanden moeten worden weggegooid, of u kunt snel online zoeken naar verwijzingen naar schadelijke software.

Firewalls en hun lograpporten zijn een ongelooflijk effectieve manier om een ​​rootkit te ontdekken. De software zal u op de hoogte stellen als uw netwerk onder de loep wordt genomen en alle onherkenbare of verdachte downloads voorafgaand aan de installatie in quarantaine moeten plaatsen. 

Als u vermoedt dat er al een rootkit op uw computer aanwezig is, kunt u in de lograpporten van de firewall duiken en op zoek gaan naar ongewoon gedrag.

Firewall-logboekrapporten bekijken^{(Reviewing Firewall Logging Reports)}

U wilt uw huidige firewall-lograpporten bekijken, en een open-sourcetoepassing zoals IP Traffic Spy met firewall-logfiltermogelijkheden maken, een zeer nuttig hulpmiddel. De rapporten laten u zien wat u moet zien als er een aanval plaatsvindt. 

Als je een groot netwerk hebt met een standalone firewall voor het filteren van uitgaand verkeer, is IP Traffic Spy niet nodig. In plaats daarvan zou u de inkomende en uitgaande pakketten naar alle apparaten en werkstations in het netwerk moeten kunnen zien via de firewalllogboeken.

Of u nu thuis of in een klein bedrijf werkt, u kunt de modem van uw internetprovider^(ISP) gebruiken of, als u er een heeft, een persoonlijke firewall of router om de firewalllogboeken op te halen. U kunt het verkeer voor elk apparaat dat op hetzelfde netwerk is aangesloten, identificeren. 

Het kan ook nuttig zijn om Windows Firewall-^{(Windows Firewall Log)} logboekbestanden in te schakelen . Het logbestand is standaard uitgeschakeld, wat betekent dat er geen informatie of gegevens worden geschreven.

• Om een ​​logbestand aan te maken, opent u de functie Uitvoeren^(Run) door op de Windows key + R te drukken .
• Typ wf.msc in het vak en druk op Enter .

• Markeer in het venster Windows Firewall en geavanceerde beveiliging^{(Advanced Security)} "Windows Defender Firewall met geavanceerde beveiliging^{(Advanced Security)} op lokale computer" in het menu aan de linkerkant. Klik in het menu uiterst rechts onder "Acties" op Eigenschappen^(Properties) .

• Navigeer in het nieuwe dialoogvenster naar het tabblad "Privéprofiel" en selecteer Aanpassen^(Customize) , dat u kunt vinden in het gedeelte "Logboekregistratie".

• In het nieuwe venster kunt u selecteren hoe groot een logbestand moet worden geschreven, waar u het bestand naartoe wilt laten sturen en of u alleen gedropte pakketten, een succesvolle verbinding of beide wilt loggen.

• Gedropte^(Dropped) pakketten zijn pakketten die Windows Firewall namens u heeft geblokkeerd.
• Standaard slaan Windows Firewall -logboekvermeldingen alleen de laatste 4 MB aan gegevens op en zijn te vinden in de %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Houd er rekening mee dat het verhogen van de limiet voor gegevensgebruik voor logboeken van invloed kan zijn op de prestaties van uw computer.
• Druk op OK als u klaar bent.
• Herhaal vervolgens dezelfde stappen die u zojuist hebt doorlopen op het tabblad "Privéprofiel", alleen deze keer op het tabblad "Openbaar profiel".
  • Er worden nu logboeken gegenereerd voor zowel openbare als privéverbindingen. U kunt de bestanden bekijken in een teksteditor zoals Kladblok^(Notepad) of ze importeren in een spreadsheet.
  • U kunt nu de logbestanden exporteren naar een database-parserprogramma zoals IP Traffic Spy om het verkeer te filteren en te sorteren voor gemakkelijke identificatie.

Houd een oogje in het zeil voor iets ongewoons in de logbestanden. Zelfs de kleinste systeemfout kan wijzen op een rootkit-infectie. Iets in de trant van overmatig CPU- of bandbreedtegebruik wanneer u niets te veeleisend of helemaal niet gebruikt, kan een belangrijke aanwijzing zijn.

How to Detect Rootkits In Windows 10 (In-Depth Guide)

Rootkits are used by haсkеrs to hide persistent, seemingly undetectable malware within your device that will silently steal data or resоυrces, sоmеtimes over the course of mυltiple yеars. They can also be used in kеylogger faѕhion where your keystrokes and communiсations are surveilled providing the onlooker with рrіvacy information.  

This particular hacking method saw more relevance pre-2006, prior to Microsoft Vista requiring vendors to digitally sign all computer drivers. The Kernel Patch Protection (KPP) caused malware writers to change their attack methods and only recently as of 2018 with the Zacinlo ad fraud operation, did rootkits re-enter the spotlight.

The rootkits pre-dating 2006 were all specifically operating system-based. The Zacinlo situation, a rootkit from the Detrahere malware family, gave us something even more dangerous in the form of a firmware-based rootkit. Regardless, rootkits are only around one percent of all malware output seen annually. 

Even so, because of the danger they can present, it would be prudent to understand how detecting rootkits that may have already infiltrated your system works.

Detecting Rootkits in Windows 10 (In-Depth)

Zacinlo had actually been in play for almost six years before being discovered targeting the Windows 10 platform. The rootkit component was highly configurable and protected itself from processes it deemed dangerous to its functionality and was capable of intercepting and decrypting SSL communications.

It would encrypt and store all of its configuration data within the Windows Registry and, while Windows was shutting down, rewrite itself from memory to disk using a different name, and update its registry key. This helped it to evade detection by your standard antivirus software.

This goes to show that a standard antivirus or antimalware software is not enough for detecting rootkits. Although, there are a few top tier antimalware programs that will alert you to suspicions of a rootkit attack. 

The 5 Key Attributes Of a Good Antivirus Software

Most of the prominent antivirus programs today will perform all five of these notable methods for detecting rootkits.

• Signature-based Analysis – The antivirus software will compare logged files with known signatures of rootkits. The analysis will also look for behavioral patterns that mimic certain operating activities of known rootkits, such as aggressive port use.
• Interception Detection – The Windows operating system employs pointer tables to run commands that are known to prompt a rootkit to act. Since rootkits attempt to replace or modify anything considered a threat, this will tip off your system to their presence.
• Multi-Source Data Comparison – Rootkits, in their attempt to remain hidden, may alter certain data presented in a standard examination. The returned results of high and low-level system calls can give away the presence of a rootkit. The software may also compare the process memory loaded into the RAM with the content of the file on the hard disk.
• Integrity Check – Every system library possesses a digital signature that is created at the time the system was considered “clean”. Good security software can check the libraries for any alteration of the code used to create the digital signature.
• Registry Comparisons – Most antivirus software programs have these on a preset schedule. A clean file will be compared with a client file, in real-time, to determine if the client is or contains an unrequested executable (.exe).

Performing Rootkit Scans

Performing a rootkit scan is the best attempt for detecting rootkit infection. Most often your operating system cannot be trusted to identify a rootkit on its own and presents a challenge to determine its presence. Rootkits are master spies, covering their tracks at almost every turn and capable of remaining hidden in plain sight.

If you suspect a rootkit virus attack has taken place on your machine, a good strategy for detection would be to power down the computer and execute the scan from a known clean system. A surefire way to locate a rootkit within your machine is through a memory dump analysis. A rootkit cannot hide the instructions it gives your system as it executes them in the machine’s memory.

Using WinDbg For Malware Analysis

Microsoft Windows has provided its own multi-function debugging tool that can be used to perform debugging scans on applications, drivers, or the operating system itself. It will debug kernel-mode and user-mode code, help analyze crash dumps, and examine the CPU registers.

Some Windows systems will come with WinDbg already bundled in. Those without will need to download it from the Microsoft Store. WinDbg Preview is the more modern version of WinDbg, providing easier on the eyes visuals, faster windows, complete scripting, and the same commands, extensions, and workflows as the original.

At the bare minimum, you can use WinDbg to analyze a memory or crash dump, including a Blue Screen Of Death (BSOD). From the results, you can look for indicators of a malware attack. If you feel that one of your programs may be hindered by the presence of malware, or is using more memory than is required, you can create a dump file and use WinDbg to help analyze it.

A complete memory dump can take up significant disk space so it may be better to perform a Kernel-Mode dump or Small Memory dump instead. A Kernel-Mode dump will contain all memory usage information by the kernel at the time of the crash. A Small Memory dump will contain basic information on varying systems like drivers, the kernel, and more, but is tiny in comparison.

Small Memory dumps are more useful in analyzing why a BSOD has occurred. For detecting rootkits, a complete or kernel version will be more helpful.

Creating A Kernel-Mode Dump File

A Kernel-Mode dump file can be created in three ways:

• Enable the dump file from Control Panel to allow the system to crash on its own
• Enable the dump file from Control Panel to force the system to crash
• Use a debugger tool to create one for you

We’ll be going with choice number three. 

To perform the necessary dump file, you only need to enter the following command into the Command window of WinDbg.

Replace FileName with an appropriate name for the dump file and the “?” with an f. Make sure that the “f” is lowercase or else you’ll create a different kind of dump file.

Once the debugger has run its course (the first scan will take considerable minutes), a dump file will have been created and you’ll be able to analyze your findings.

Understanding what it is your looking for, such as volatile memory (RAM) usage, to determine the presence of a rootkit takes experience and testing. It is possible, though not recommended for a novice, to test malware discovering techniques on a live system. To do this will again take expertise and in-depth knowledge on workings of WinDbg so as not to accidentally deploy a live virus into your system.

There are safer, more beginner-friendly ways to uncover our well-hidden enemy.

Additional Scanning Methods

Manual detection and behavioral analysis are also reliable methods for detecting rootkits. Attempting to discover the location of a rootkit can be a major pain so, instead of targeting the rootkit itself, you can instead look for rootkit-like behaviors.

You can look for rootkits in downloaded software bundles by using Advanced or Custom install options during installation. What you’ll need to look for are any unfamiliar files listed in the details. These files should be discarded, or you can do a quick search online for any references to malicious software.

Firewalls and their logging reports are an incredibly effective way to discover a rootkit. The software will notify you if your network is under scrutiny, and should quarantine any unrecognizable or suspicious downloads prior to installation. 

If you suspect that a rootkit may already be on your machine, you can dive into the firewall logging reports and look for any out of the ordinary behavior.

Reviewing Firewall Logging Reports

You’ll want to review your current firewall logging reports, making an open-source application like IP Traffic Spy with firewall log filtering capabilities, a very useful tool. The reports will show you what is necessary to see should an attack occur. 

If you have a large network with a standalone egress filtering firewall, IP Traffic Spy will not be necessary. Instead, you should be able to see the inbound and outbound packets to all devices and workstations on the network via the firewall logs.

Whether you’re in a home or small business setting, you can use the modem provided by your ISP or, if you own one, a personal firewall or router to pull up the firewall logs. You’ll be able to identify the traffic for each device connected to the same network. 

It may also be beneficial to enable Windows Firewall Log files. By default, the log file is disabled meaning no information or data is written.

• To create a log file, open up the Run function by pressing the Windows key + R.
• Type wf.msc into the box and press Enter.

• In the Windows Firewall and Advanced Security window highlight “Windows Defender Firewall with Advanced Security on Local Computer” in the left side menu. On the far right side menu under “Actions” click Properties.

• In the new dialog window, navigate over to the “Private Profile” tab and select Customize, which can be found in the “Logging” section.

• The new window will allow you to select how big of a log file to write, where you’d like the file sent, and whether to log only dropped packets, successful connection, or both.

• Dropped packets are those that Windows Firewall has blocked on your behalf.
• By default, Windows Firewall log entries will only store the last 4MB of data and can be found in the %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Keep in mind that increasing the size limit on data usage for logs can impact your computer’s performance.
• Press OK when finished.
• Next, repeat the same steps you just went through in the “Private Profile” tab, only this time in the “Public Profile” tab.
  • Logs will now be generated for both public and private connections. You can view the files in a text editor like Notepad or import them into a spreadsheet.
  • You can now export the logs’ files into a database parser program like IP Traffic Spy to filter and sort the traffic for easy identification.

Keep an eye out for anything out of the ordinary in the log files. Even the slightest system fault can indicate a rootkit infection. Something along the lines of excessive CPU or bandwidth usage when you’re not running anything too demanding, or at all, can be a major clue.

Related posts

• Download Windows 10-handleidingen voor beginners van Microsoft

• Windows 10 pc gebruiken - Basishandleiding en tips voor beginners

• Download Windows Ink Guide voor Windows 10 van Microsoft

• Download Windows 10-handleidingen voor beginners van Microsoft

• Naslaggids voor instellingen voor groepsbeleid voor Windows 10

• HDG Ultieme gids voor het maken van screenshots in Windows 10

• Een complete gids voor muisinstellingen in Windows 10

• Windows 10 aanpassen: een complete gids

• Kijk digitale tv en luister naar radio op Windows 10 met ProgDVB

• Een printer toevoegen in Windows 10 [GIDS]

• Beste gratis barcodescanner-software voor Windows 10

• BIOS invoeren op Windows 10 [GIDS]

• Reset netwerkgegevensgebruik op Windows 10 [GIDS]

• PicsArt biedt aangepaste stickers en exclusieve 3D-bewerkingen op Windows 10

• Ashampoo WinOptimizer is gratis software om Windows 10 te optimaliseren

• Top 3 Reddit-apps voor Windows 10 die beschikbaar zijn in de Windows Store

• Start bestanden eenvoudig met myLauncher voor Windows 10-computers

• Verberg de optie Werkbalken in het contextmenu van de taakbalk in Windows 10

• Hoe het Hosts-bestand in Windows 10 te bewerken [GUIDE]

• Download Windows 10-handleidingen voor beginners van Microsoft