Rootkit

Erro al crear miniatura:

Eixemple d'us de rootkit en el sistema operatiu Ubuntu.

Un rootkit o encobridor és un conjunt de software que permet a l'usuari un accés de "privilegi" a un ordenador, pero manté la seua presència inicialment oculta al control dels administradors en descompondre el funcionament normal del sistema operatiu. Este terme prové d'una concatenació de la paraula anglesa root, que significa 'raïl' (nom tradicional del conte privilegiat en els sistemes operatius Unix) i de la paraula anglesa kit, que significa 'conjunt de ferramentes' (en referència als components de software que implementen este programa).

El terme rootkit té connotacions pijoratives ya que li l'associa a programes maliciosos en amagar-se a sí mateix i a uns atres programes, processos, archius, directoris, claus de registre i ports. Açò permet a l'intrús mantindre l'accés a una àmplia varietat de sistemes operatius com poden ser GNU/Linux, Solaris o Microsoft Windows para remotamente enviar accions o extraure informació sensible.

Usualment, un atacant instala un encobridor en una computadora despuix de primer haver obtingut drets d'escritura en qualsevol part de la jerarquia del sistema de fichers, podent ser per haver-se aprofitat d'una vulnerabilitat coneguda o per haver obtingut una contrasenya (ya siga per dessifrat de contrasenyes o per ingenieria social). Una volta que el rootkit ha segut instalat, permet que l'atacant disfrasse la següent intrusió i mantinga l'accés privilegiat a la computadora per mig de rodeos als mecanismes normals d'autenticació i autorisació. Pese a que els rootkits poden servir en molts fins, han guanyat notorietat fonamentalment com malware, amagant programes que s'apropien dels recursos de les computadores o que furten contrasenyes sense el coneiximent dels administradors i dels usuaris dels sistemes afectats. Els encobridors poden estar dirigits al firmware, al hipervisor, al núcleu, o, més comunament, als programes de l'usuari.

La detecció de l'encobridor és complicada puix és capaç de corromper al programa que deuria detectar-ho. Els métodos de detecció inclouen utilisar un sistema operatiu alternatiu confiable; métodos de base conductual; controls de firma, controls de diferències i anàlisis de bolcat de memòria. L'eliminació de l'encobridor pot ser molt difícil o pràcticament impossible, especialment en els casos en que el rootkit residix en el núcleu; sent a voltes la reinstalación del sistema operatiu l'únic método possible que hi ha per a solucionar el problema.

Us dels rootkits

Un rootkit s'usa habitualment per a amagar algunes aplicacions que podrien actuar en el sistema atacat. Solen incloure portes traseres per a ajudar a l'intrús a accedir fàcilment al sistema una volta que s'ha conseguit entrar per primera volta. Per eixemple, el rootkit pot amagar una aplicació que llance una consola cada volta que l'atacant es conecte al sistema a través d'un determinat port. Els rootkits del núcleu poden contindre funcionalitats similars. Una porta trasera pot permetre també que els processos llançats per un usuari sense privilegis d'administrador eixecuten algunes funcionalitats reservades únicament al superusuario. Tot tipo de ferramentes útils per a obtindre informació de forma ilícita poden ser ocultades per mig de rootkits.

Els encobridors s'utilisen també per a usar el sistema atacat com a «base d'operacions», és dir, usar-ho a la seua volta per a llançar atacs contra atres equips. D'esta manera pot semblar que és el sistema infiltrat el que llança els atacs i no l'intrús extern. Este tipo d'atacs podrien ser de refús de servici (DOS), atacs per mig d'IRC o per mig de correu electrònic en forma de correu fem.

Funcionament dels rootkits

El funcionament dels encobridors es pot generalisar de la següent manera:

1. Infecció del sistema: en primer lloc, el rootkit s'instala en el dispositiu i infecta el sistema.
2. El modo encobert: una volta que el rootkit s'haja instalat, passa al modo encobert. En atres paraules, el rootkit s'oculta en el sistema i escomença a manipular els processos d'intercanvi de senyes que utilisen els programes i les funcions per a manar falsa informació als programes de seguritat com, per eixemple, els programes antivirus.

1. Crear una porta trasera: l'últim pas consistix en crear una porta trasera per a permetre l'accés remot al dispositiu. La tasca de l'encobridor consistix en ocultar els inicis de sessió remots i qualsevol activitat que es puga classificar com a sospitosa per a poder manipular el dispositiu sense deixar cap rastre.

Tipos de rootkits

Tipos bàsics

Els rootkits es poden classificar en dos grups: els que van integrats en el núcleu i els que funcionen a nivell d'aplicació. Els que actuen des del núcleu afigen o modifiquen una part del còdic de dit núcleu per a ocultar el backdoor. Normalment este procediment es complementa afegint nou còdic al núcleu, ya siga per mig d'un controlador o un mòdul, com els mòduls del núcleu de Linux o els dispositius del sistema de Windows. Estos rootkits solen parchear les nomenades al sistema en versions que amaguen informació sobre l'intrús. Són els més perillosos, ya que la seua detecció pot ser molt complicada.

Els encobridors que actuen com a aplicacions poden reemplaçar els archius eixecutables originals en versions dessifrades que continguen algun troià, o també poden modificar el comportament de les aplicacions existents usant hacks, pegats, còdic injectat, etc.

Eixemples

Alguns troians han utilisat estos rootkits no persistents que carreguen en la memòria una volta que ells es troben instalats:

• SuckIT
• Adore
• T0rn
• Ambient's Rootkit (ARK)
• Hacker Defendre
• First 4 Internet XCP (Estendre Copy Protection) DRM
• RkU Test Rootkit & Unreal
• Rootkit de núcleu: UACd (agrega un controlador de molt baix nivell cridat UACd. sys)
• Rootkits de Macintosh

Detecció de rootkits

Hi ha llimitacions inherents a qualsevol programa que intente detectar rootkits mentres s'estiguen eixecutant en el sistema sospitós. Els rootkits són aplicacions que modifiquen moltes de les ferramentes i llibreries de les quals depén el sistema. Alguns rootkits modifiquen el propi núcleu (a través de mòduls i atres métodos com s'indica més dalt).^{cita requerida} El principal problema de la detecció de rootkits consistix que el sistema operatiu en eixecució no és fiable globalment.^{cita requerida} En atres paraules, algunes accions com demanar la llista dels processos en eixecució o llistar els fichers d'un directori no són fiables al no comportar-se com deurien.

El millor método per a detectar un rootkit és apagar el sistema que es considere infectat i revisar o salvar les senyes arrancant des d'un mig alternatiu, com un disc de rescat (com un CD-ROM) o una memòria USB. Un rootkit inactiu no pot ocultar la seua presència. Els programes antivirus millor preparats solen identificar als rootkits que funcionen per mig de cridades al sistema i peticions de baix nivell, les quals deuen quedar intactes. Si hi ha alguna diferència entre elles, es pot afirmar la presència d'un rootkit. Els rootkits intenten protegir-se a sí mateixos monitorizando els processos actius i suspenent la seua activitat fins que l'escanege ha finalisat, de modo que el rootkit no puga ser identificat per un detector.

Els fabricants d'aplicacions de seguritat han anat integrant els detectors de rootkits en els productes tradicionals de detecció d'antivirus. Si un rootkit conseguix amagar-se durant el procés de detecció, serà identificat pel detector de rootkits, que busca moviments sospitosos. Si l'encobridor «decidix» detindre's momentàneament, serà identificat com un virus. Esta tècnica combinada de detecció pot obligar als atacants a implementar mecanismes de contraatac^{cita requerida} (també cridats retrorrutinas) en el còdic del rootkit, en l'objectiu d'eliminar els processos creats pel software de seguritat, eliminant aixina al programa antivirus de la memòria. De la mateixa manera que en els virus convencionals, la detecció i eliminació dels rootkits serà una batalla permanent entre els creadors del rootkit i dels programes de seguritat.

Hi ha varis programes disponibles per a detectar rootkits. En els sistemes basats en Unix, dos de les aplicacions més populars són chkrootkit i rkhunter. Per a Windows està disponible un detector cridat Blacklight (gratuït per a us personal) en la web de F-Secure.^{cita requerida} Blacklight presenta problemes d'incompatibilitat en Windows 7.^{cita requerida} Una atra aplicació de detecció per a Windows és Rootkit Revealer de Sysinternals. Detecta tots els rootkits actuals comparant les funcionalitats del sistema operatiu original en les que s'han detectat. No obstant, alguns rootkits han escomençat a afegir este programa a la llista dels quals no deuen amagar-se. En essència, eliminen les diferències entre els dos llistats, de modo que el detector no els troba. Pero alguna cosa tan simple com renombrar el ficher 'rootkitrevealer. exe' fa que el rootkit ya no sàpia que s'està enfrontant a un detector. Com es dia abans, serà una contínua batalla entre els rootkits i els antivirus.

Vore també

• Cracker
• Hacker
• Malware
• Seguritat informàtica
• Seguritat de l'informació
• Virus informàtic

Enllaços externs

• Rootkits en el núcleu Linux
• Anàlisis del rootkit T0rn
• Rootkits per a Windows i Linux i software de detecció(En alemà)
• Anti-trojan.org: Informació sobre troians en rootkits i software de detecció
• Strider GhostBuster Rootkit Detection
• Unix Rootkits en packet storm security
• (anglés) Six Rootkit Detectors Protect Your System (Serdar Yegulalp - InformationWeek)
• shtml web de F-Secure
• Sysinternals