Hoewel het mogelijk is om malware te verbergen op een manier die zelfs de traditionele antivirus-/antispywareproducten voor de gek houdt, gebruiken de meeste malwareprogramma's al rootkits om zich diep op uw Windows -pc te verbergen … en ze worden gevaarlijker! De DL3- rootkit is een van de meest geavanceerde rootkits die ooit in het wild is gezien. De rootkit was stabiel en kon 32-bits Windows -besturingssystemen infecteren; hoewel beheerdersrechten nodig waren om de infectie in het systeem te installeren. Maar TDL3 is nu bijgewerkt en kan nu zelfs 64-bits versies van Windows^{(even 64-bit versions  Windows)} infecteren !

Wat is rootkit?

Een rootkit-virus is een stealth -type malware  dat is ontworpen om het bestaan ​​van bepaalde processen of programma's op uw computer te verbergen voor reguliere detectiemethoden, zodat het of een ander kwaadaardig proces geprivilegieerde toegang tot uw computer krijgt.

Rootkits voor Windows^{(Rootkits for Windows)} worden meestal gebruikt om schadelijke software te verbergen voor bijvoorbeeld een antivirusprogramma. Het wordt gebruikt voor kwaadaardige doeleinden door virussen, wormen, achterdeurtjes en spyware. Een virus in combinatie met een rootkit produceert zogenaamde volledige stealth-virussen. Rootkits komen vaker voor op het gebied van spyware en worden nu ook steeds vaker gebruikt door virusauteurs.

Ze zijn nu een opkomend type Super Spyware dat zich effectief verbergt en rechtstreeks invloed heeft op de kernel van het besturingssysteem. Ze worden gebruikt om de aanwezigheid van kwaadaardige objecten zoals trojans of keyloggers op uw computer te verbergen. Als een bedreiging rootkit-technologie gebruikt om te verbergen, is het erg moeilijk om de malware op uw pc te vinden.

Rootkits zijn op zich niet gevaarlijk. Hun enige doel is om software en de sporen die in het besturingssysteem zijn achtergelaten, te verbergen. Of dit nu normale software of malwareprogramma's zijn.

Er zijn in principe drie verschillende soorten rootkits^(Rootkit) . Het eerste type, de " Kernel Rootkits " voegen gewoonlijk hun eigen code toe aan delen van de kern van het besturingssysteem, terwijl het tweede type, de " User-mode Rootkits " speciaal gericht zijn op Windows om normaal op te starten tijdens het opstarten van het systeem, of geïnjecteerd in het systeem door een zogenaamde "Dropper". Het derde type is MBR Rootkits of Bootkits^{(MBR Rootkits or Bootkits)} .

Als u merkt dat uw antivirus en antispyware niet werken, moet u mogelijk de hulp inroepen van een goed anti-rootkithulpprogramma^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer van Microsoft Sysinternals is een geavanceerd hulpprogramma voor het detecteren van rootkits. De uitvoer geeft een overzicht van API -verschillen in het ^(API)register^(Registry) en het bestandssysteem die kunnen wijzen op de aanwezigheid van een rootkit in de gebruikersmodus of in de kernelmodus.

Microsoft Malware Protection Center-bedreigingsrapport^{(Microsoft Malware Protection Center Threat Report)} over  rootkits

Microsoft Malware Protection Center heeft zijn Threat Report on Rootkits beschikbaar gesteld om te downloaden . Het rapport onderzoekt een van de meer verraderlijke soorten malware die organisaties en individuen tegenwoordig bedreigt: de rootkit. Het rapport onderzoekt hoe aanvallers rootkits gebruiken en hoe rootkits werken op getroffen computers. Hier is een kern van het rapport, te beginnen met wat rootkits zijn - voor de beginner.

Rootkit is een set tools die een aanvaller of een maker van malware gebruikt om controle te krijgen over elk blootgesteld/onbeveiligd systeem dat normaal gesproken is gereserveerd voor een systeembeheerder. In de afgelopen jaren is de term 'ROOTKIT' of 'ROOTKIT FUNCTIONALITY' vervangen door MALWARE – een programma dat is ontworpen om ongewenste effecten te hebben op een gezonde computer. De belangrijkste functie van malware is om in het geheim waardevolle gegevens en andere bronnen van de computer van een gebruiker te halen en deze aan de aanvaller te verstrekken, waardoor hij de volledige controle over de besmette computer krijgt. Bovendien zijn ze moeilijk op te sporen en te verwijderen en kunnen ze voor langere tijd, mogelijk zelfs jaren verborgen blijven als ze onopgemerkt blijven.

Dus natuurlijk moeten de symptomen van een gecompromitteerde computer worden gemaskeerd en in overweging worden genomen voordat de uitkomst fataal is. Er moeten met name strengere beveiligingsmaatregelen worden genomen om de aanval te ontdekken. Maar, zoals gezegd, als deze rootkits/malware eenmaal zijn geïnstalleerd, maken de stealth-mogelijkheden het moeilijk om het te verwijderen en de componenten die het zou kunnen downloaden. Om deze reden heeft Microsoft een rapport over ROOTKITS gemaakt^(ROOTKITS) .

Het 16 pagina's tellende rapport schetst hoe een aanvaller rootkits gebruikt en hoe deze rootkits werken op getroffen computers.

Het enige doel van het rapport is het identificeren en nauwkeurig onderzoeken van krachtige malware die veel organisaties bedreigt, met name computergebruikers. Het vermeldt ook enkele van de meest voorkomende malwarefamilies en brengt de methode aan het licht die de aanvallers gebruiken om deze rootkits voor hun eigen egoïstische doeleinden op gezonde systemen te installeren. In de rest van het rapport vindt u experts die enkele aanbevelingen doen om gebruikers te helpen de dreiging van rootkits te verminderen.

Soorten rootkits

Er zijn veel plaatsen waar malware zichzelf in een besturingssysteem kan installeren. Het type rootkit wordt dus meestal bepaald door de locatie waar het zijn subversie van het uitvoeringspad uitvoert. Dit bevat:

1. Rootkits in gebruikersmodus
2. Rootkits in kernelmodus
3. MBR-rootkits/bootkits

Het mogelijke effect van een rootkit-compromis in de kernelmodus wordt geïllustreerd aan de hand van een screenshot hieronder.

Het derde type, wijzig de Master Boot Record om controle over het systeem te krijgen en het proces te starten voor het laden van het vroegst mogelijke punt in de opstartvolgorde3. Het verbergt bestanden, registerwijzigingen, bewijs van netwerkverbindingen en andere mogelijke indicatoren die de aanwezigheid ervan kunnen aangeven.

Opmerkelijke Malware- families die Rootkit- functionaliteit gebruiken

• Win32/Sinowal 13 – Een familie van malware met meerdere componenten die probeert gevoelige gegevens te stelen, zoals gebruikersnamen en wachtwoorden voor verschillende systemen. Dit omvat pogingen om authenticatiegegevens te stelen voor verschillende FTP- , HTTP- en e-mailaccounts, evenals inloggegevens die worden gebruikt voor online bankieren en andere financiële transacties.
• Win32/Cutwail 15 – Een trojan die willekeurige bestanden downloadt en uitvoert. De gedownloade bestanden kunnen vanaf schijf worden uitgevoerd of direct in andere processen worden geïnjecteerd. Hoewel de functionaliteit van de gedownloade bestanden variabel is, downloadt Cutwail meestal andere componenten die spam verzenden. Het gebruikt een rootkit in de kernelmodus en installeert verschillende apparaatstuurprogramma's om de componenten te verbergen voor getroffen gebruikers.
• Win32/Rustock  – Een familie met meerdere componenten van rootkit-enabled backdoor- trojans die oorspronkelijk werden ontwikkeld om te helpen bij de verspreiding van “spam”-e-mail via een botnet . Een botnet is een groot, door een aanvaller bestuurd netwerk van gecompromitteerde computers.

Bescherming tegen rootkits

Het voorkomen van de installatie van rootkits is de meest effectieve methode om infectie door rootkits te voorkomen. Hiervoor is het noodzakelijk om te investeren in beschermende technologieën zoals antivirus- en firewallproducten. Dergelijke producten moeten een alomvattende benadering van bescherming hanteren door gebruik te maken van traditionele op handtekeningen gebaseerde detectie, heuristische detectie, dynamische en responsieve handtekeningmogelijkheden en gedragsbewaking.

Al deze handtekeningsets moeten up-to-date worden gehouden met behulp van een geautomatiseerd updatemechanisme. Antivirusoplossingen van Microsoft^(Microsoft) bevatten een aantal technologieën die specifiek zijn ontworpen om rootkits te verminderen, waaronder live-controle van het kernelgedrag die pogingen om de kernel van een getroffen systeem te wijzigen detecteert en rapporteert, en directe parsing van bestandssystemen die de identificatie en verwijdering van verborgen stuurprogramma's vergemakkelijkt.

Als een systeem gecompromitteerd blijkt te zijn, kan een extra tool waarmee u kunt opstarten naar een bekende goede of vertrouwde omgeving nuttig zijn, aangezien het enkele passende herstelmaatregelen kan voorstellen.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Onder dergelijke omstandigheden,

1. De Standalone System Sweeper -tool (onderdeel van de Microsoft Diagnostics and Recovery Toolset ( DaRT )
2. Windows Defender Offline kan handig zijn.

Voor meer informatie kunt u het PDF- rapport downloaden van het Microsoft Downloadcentrum.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

Whilе it is possible to hide malware in a wаy that will fool even the traditional antivirus/antispyware products, most malware programs are already using rootkits to hide dеeр on your Windows PC … and they аre getting more dangeroυs! The DL3 rootkit is one of the most advanced rootkits ever seen in the wild. The rootkit was stable and could infect 32 bit Windows operating systems; although administrator rights were needed to install the infection in the system. Βut TDL3 has now been updated and is now аblе to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Hoe phishing-zwendel en -aanvallen te voorkomen?

• Wat is een trojan voor externe toegang? Preventie, detectie en verwijdering

• Verwijder het virus van de USB Flash Drive met behulp van de opdrachtprompt of batchbestand

• Rogue Security Software of Scareware: hoe controleren, voorkomen, verwijderen?

• Wat is Win32: BogEnt en hoe verwijder je het?

• Browserkaping en gratis hulpprogramma's voor het verwijderen van browserkapers

• De opgegeven module kan niet worden gevonden fout op Windows 11/10

• Malvertising-aanvallen: definitie, voorbeelden, bescherming, beveiliging

• Driver Tonic verwijderen of verwijderen uit Windows 10

• Malware van een Android-telefoon verwijderen

• Tips om uw computer te beschermen tegen Thunderspy-aanvallen

• Malware-aanvallen, bescherming en detectie zonder bestanden

• Controleer of uw computer is geïnfecteerd door de ASUS Update Malware

• Wat is een Backdoor-aanval? Betekenis, voorbeelden, definities

• Hoe een virus van Windows 11/10 te verwijderen; Handleiding voor het verwijderen van malware

• Cyberaanvallen - Definitie, typen, preventie

• Gratis hulpprogramma's voor het verwijderen van malware om een ​​specifiek virus te verwijderen in Windows 11/10

• Hulpprogramma's voor extern beheer: risico's, bedreigingen, preventie

• Potentieel ongewenste programma's of applicaties; Vermijd het installeren van PUP/PUA

• Wat is IDP.Generic en hoe kan ik het veilig verwijderen uit Windows?