Rootkit là gì?

Rootkit là gì?
by LeVuHoang on Tue Aug 21, 2007 6:26 am
Rootkit /ru:tkit/ là bộ công cụ phần mềm che giấu sự tồn tại file nhưng thực ra nó
vẫn hoạt động. Rootkit thường được bên thứ ba (thường là kẻ xâm nhập) dùng sau
khi chiếm được quyền truy cập vào hệ thống máy tính. Các công cụ này thường
nhằm để che dấu dữ liệu hệ thống, tập tin hoặc tiến trình đang chạy, từ đó giúp cho
kẻ xâm nhập duy trì quyền truy cập vào hệ thống mà người dùng không biết.
Rootkit có ở nhiều loại hệ điều hành như Linux, Solaris và các phiên bản Microsoft
Windows. Một máy tính bị cài rootkit được gọi là bị "chiếm quyền root" ("rooted"
trong tiếng Anh).
Từ "rootkit" trở nên phổ biến khi có cuộc tranh luận về chống sao chép CD Sony
2005, trong đó các đĩa CD nhạc của Sony BMG cài một toolkit vào các PC chạy
Microsoft Windows.
Đặc điểm của rootkit
Đặc điểm của rootkit là có khả năng ẩn các tiến trình, file, và cả dữ liệu trong
registry (với Windows), nếu dùng những công cụ của hệ điều hành như: "Registry
Editor", "Task Manager", "Find Files" thì không thể phát hiện . có khả năng ghi lại
các thông số về kết nối mạng, Rootkit được coi là Trojan vì có hành vi :nghe trộm,
che giấu các chương trình độc hại.
* Rootkit trong hoạt động ứng dụng : Word hay Excel . Rootkit sử dụng một số kỹ
thuật như hook, code inject, tạo file giả... để can thiệp vào các ứng dụng khác .*
Rootkit hoạt động trong hệ điều hành (Kernel): điều khiển thiết bị (driver) :card đồ
hoạ, card âm thanh vì vậy rootkit có quyền rất lớn với hệ thống
Phát hiện được Rootkit khi nó hoạt động trong bộ nhớ là một điều vô cùng khó
Nguồn gốc của rootkit
Thuật ngữ "rootkit" (còn được viết là "root kit") lúc đầu được dùng để chỉ một bộ
công cụ Unix được biên dịch lại như "ps", "netstat", "w" and "passwd" có thể che
dấu kĩ lưỡng vết tích của kẻ xâm nhập mà bình thường sẽ bị hiển thị bởi các lệnh
trên, vì vậy nó cho phép kẻ xâm nhập duy trì quyền "root" ("siêu người dùng") trên
hệ thống mà ngay cả người quản trị hệ thống cũng không thể thấy họ.
Ngày nay thuật ngữ này không chỉ giới hạn ở các hệ điều hành dựa trên Unix mà

còn được dùng để chỉ các công cụ thực hiện tác vụ tương tự trên hệ điều hành
không Unix như Microsoft Windows (ngay cả khi hệ điều hành đó không có tài
khoản "root").
Chức năng của rootkit
Trong trường hợp điển hình, rootkit che dấu đăng nhập, tiến trình, tập tin và log và
có thể bao gồm phần mềm đánh cắp dữ liệu từ trạm cuối (terminal), các nối kết
mạng và bàn phím máy tính. Trong nhiều trường hợp rootkit được xem là ngựa
trojan.
Việc sử dụng rootkit
1
Rootkit thường được dùng để che dấu các công cụ chạy bất chính trên hệ thống bị
xâm nhập. Chúng thường gồm các "cửa sau" để giúp kẻ xâm nhập truy cập vào hệ
thống dễ dàng hơn ở lần sau. Thí dụ như rootkit có thể che dấu một ứng dụng tạo ra
một shell khi kẻ tấn công kết nối với một cổng mạng cụ thể trên hệ thống. Rootkit
nhân cũng có chức năng tương tự. Cửa sau cũng cho phép các tiến trình từ người
dùng thông thường thi hành các chức năng dành riêng cho siêu người dùng. Rootkit
cũng có thể che dấu mọi loại công cụ khác có thể dùng để xâm phạm hệ thống.
Điều này bao gồm các công cụ dùng để tấn công thêm vào các hệ thống máy tính
có kết nối với hệ thống bị xâm nhập như là công cụ bắt gói tin (packet sniffer) và
chương trình ghi tác vụ bàn phím (keylogger). Một cách xâm phạm phổ biến là
dùng hệ thống bị chiếm làm nền cho xâm phạm tiếp theo. Điều này được thực hiện
bằng cách làm cho một xâm phạm có vẻ xuất phát từ mạng hay hệ thống bị chiếm
thay vì từ kẻ tấn công. Các công cụ này bao gồm công cụ tấn công từ chối dịch vụ,
công cụ chuyển tiếp phiên chat và các tấn công spam email.
Một thí dụ gần đây cho việc rootkit được sử dụng trên CD thương mại dùng để
quản lý quyền kỹ thuật số là cuộc tranh luận chống sao chép CD Sony 2005.
Công nghệ mới chống Rootkit
Đi đầu là hãng Hãng bảo mật Tây Ban Nha Panda có sản phẩm Panda Titanium
2006 có công nghệ anti-rookit loại trừ Rookit ra khỏi máy tính, đây là công nghệ
chống rootkit đầu tiên trên thế giới

2