در حالی که می‌توان بدافزار را به‌گونه‌ای پنهان کرد که حتی محصولات آنتی‌ویروس/ضد اسپای‌اف‌افزار سنتی را نیز فریب دهد، اکثر برنامه‌های بدافزار در حال حاضر از روت‌کیت‌ها برای پنهان کردن عمیق در رایانه شخصی ویندوزی^(Windows) شما استفاده می‌کنند... و خطرناک‌تر می‌شوند! روت کیت DL3 یکی از پیشرفته ترین روت کیت هایی است که تاکنون در طبیعت دیده شده است. روت کیت پایدار بود و می توانست سیستم عامل های 32 بیتی ویندوز^(Windows) را آلوده کند . اگرچه برای نصب عفونت در سیستم به حقوق مدیر نیاز بود. اما TDL3 اکنون به روز شده است و اکنون می تواند حتی نسخه های 64 بیتی ویندوز^{(even 64-bit versions  Windows)} را آلوده کند !

Rootkit چیست؟

ویروس Rootkit یک نوع مخفی از بدافزار  است که برای پنهان کردن وجود برخی فرآیندها یا برنامه‌ها در رایانه شما از روش‌های تشخیص معمولی طراحی شده است تا به آن یا فرآیند مخرب دیگری اجازه دسترسی ممتاز به رایانه شما را بدهد.

روت‌کیت‌ها برای ویندوز^{(Rootkits for Windows)} معمولاً برای مخفی کردن نرم‌افزارهای مخرب از مثلاً یک برنامه آنتی ویروس استفاده می‌شوند. این برای اهداف مخرب توسط ویروس ها، کرم ها، درهای پشتی و نرم افزارهای جاسوسی استفاده می شود. یک ویروس همراه با یک روت کیت چیزی را تولید می کند که به عنوان ویروس مخفی کامل شناخته می شود. روت‌کیت‌ها در زمینه جاسوس‌افزار رایج‌تر هستند، و در حال حاضر نیز توسط نویسندگان ویروس‌ها نیز بیشتر مورد استفاده قرار می‌گیرند.

آنها اکنون یک نوع نوظهور از Super Spyware هستند که به طور موثر پنهان می شوند و به طور مستقیم بر هسته سیستم عامل تأثیر می گذارند. از آنها برای مخفی کردن وجود اشیاء مخرب مانند تروجان ها یا کی لاگرها در رایانه شما استفاده می شود. اگر تهدیدی از فناوری روت کیت برای پنهان کردن استفاده کند، پیدا کردن بدافزار در رایانه شخصی شما بسیار سخت است.

روت کیت ها به خودی خود خطرناک نیستند. تنها هدف آنها پنهان کردن نرم افزار و ردپای باقی مانده در سیستم عامل است. خواه این نرم افزار معمولی باشد یا برنامه های بدافزار.

اساساً سه نوع مختلف Rootkit وجود دارد. نوع اول، « کرنل روت‌کیت^{(Kernel Rootkits)} » معمولاً کد خود را به بخش‌هایی از هسته سیستم عامل اضافه می‌کند، در حالی که نوع دوم، « روت‌کیت‌های حالت کاربر^{(User-mode Rootkits)} » به‌ویژه ویندوز^(Windows) را هدف قرار می‌دهند تا در هنگام راه‌اندازی سیستم به طور معمول راه‌اندازی شوند. یا توسط یک قطره چکان به سیستم تزریق می شود. نوع سوم MBR Rootkits یا Bootkits^{(MBR Rootkits or Bootkits)} هستند.

هنگامی که متوجه می‌شوید که آنتی ویروس^(AntiVirus) و آنتی‌جاسوس‌افزار^{(AntiSpyware)} شما با مشکل مواجه است، ممکن است لازم باشد از یک ابزار Anti-Rootkit خوب^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} کمک بگیرید . RootkitRevealer از Microsoft Sysinternals یک ابزار پیشرفته شناسایی روت کیت است. خروجی آن اختلافات API رجیستری^(Registry) و فایل سیستم را فهرست می کند که ممکن است نشان دهنده وجود روت کیت حالت کاربر یا حالت هسته باشد.

گزارش تهدید مرکز حفاظت بدافزار مایکروسافت^{(Microsoft Malware Protection Center Threat Report)} در  روت کیت ها^(Rootkits)

مرکز حفاظت از بدافزار مایکروسافت ^{(Microsoft Malware Protection Center)}گزارش تهدید^{(Threat Report)} خود را در Rootkits برای دانلود در دسترس قرار داده است. این گزارش یکی از مخرب‌ترین انواع بدافزارهایی را که امروزه سازمان‌ها و افراد را تهدید می‌کند، یعنی rootkit بررسی می‌کند. این گزارش نحوه استفاده مهاجمان از روت‌کیت‌ها و نحوه عملکرد روت‌کیت‌ها در رایانه‌های آسیب‌دیده را بررسی می‌کند. در اینجا خلاصه ای از گزارش آمده است، که با Rootkit^(Rootkits) ها شروع می شود - برای مبتدی.

Rootkit مجموعه ای از ابزارهایی است که یک مهاجم یا یک سازنده بدافزار برای به دست آوردن کنترل بر هر سیستم در معرض / ناامن استفاده می کند که در غیر این صورت معمولاً برای یک مدیر سیستم محفوظ است. در سال‌های اخیر عبارت «ROOTKIT» یا «ROOTKIT FUNCTIONALITY» با بدافزار جایگزین شده است -^{(MALWARE –)} برنامه‌ای که برای ایجاد اثرات نامطلوب بر روی یک رایانه سالم طراحی شده است. عملکرد اصلی بدافزار این است که داده‌های با ارزش و سایر منابع را از رایانه کاربر به طور مخفیانه خارج می‌کند و در اختیار مهاجم قرار می‌دهد و در نتیجه به او کنترل کامل بر رایانه آسیب‌دیده را می‌دهد. علاوه بر این، شناسایی و حذف آنها دشوار است و در صورت عدم توجه می توانند برای مدت طولانی، احتمالاً سالها، پنهان بمانند.

بنابراین، به طور طبیعی، علائم یک کامپیوتر در معرض خطر باید پوشانده شود و قبل از اینکه نتیجه کشنده باشد، در نظر گرفته شود. به ویژه، باید تدابیر امنیتی شدیدتری برای کشف این حمله اتخاذ شود. اما، همانطور که گفته شد، پس از نصب این روت‌کیت‌ها/بدافزارها، قابلیت‌های مخفیانه آن حذف آن و اجزای آن را که ممکن است دانلود کند دشوار می‌کند. به همین دلیل، مایکروسافت^(Microsoft) گزارشی در مورد ROOTKITS ایجاد کرده است.

گزارش 16 صفحه ای نحوه استفاده مهاجم از روت کیت ها و نحوه عملکرد این روت کیت ها در رایانه های آسیب دیده را توضیح می دهد.

تنها هدف این گزارش شناسایی و بررسی دقیق بدافزارهای قوی است که بسیاری از سازمان ها، به ویژه کاربران رایانه را تهدید می کند. همچنین به برخی از خانواده‌های رایج بدافزار اشاره می‌کند و روشی را که مهاجمان برای نصب این روت‌کیت‌ها برای اهداف خودخواهانه‌شان بر روی سیستم‌های سالم استفاده می‌کنند، آشکار می‌کند. در ادامه گزارش، کارشناسانی را خواهید دید که توصیه هایی برای کمک به کاربران برای کاهش تهدیدات روت کیت ها ارائه می کنند.

انواع روت کیت ها

مکان های زیادی وجود دارد که بدافزار می تواند خود را در یک سیستم عامل نصب کند. بنابراین، عمدتاً نوع روت کیت با توجه به مکان آن تعیین می شود که در آن جابجایی مسیر اجرا را انجام می دهد. این شامل:

1. روت کیت های حالت کاربر
2. روت کیت های حالت هسته
3. MBR Rootkits/Bootkits

تأثیر احتمالی به خطر افتادن روت کیت در حالت هسته از طریق یک عکس از صفحه زیر نشان داده شده است.

نوع سوم، ویرایش Master Boot Record برای به دست آوردن کنترل سیستم و شروع فرآیند بارگیری اولین نقطه ممکن در دنباله بوت 3. این فایل ها، تغییرات رجیستری، شواهدی از اتصالات شبکه و همچنین سایر شاخص های احتمالی که می تواند حضور آن را نشان دهد پنهان می کند.

خانواده‌های بدافزار^(Malware) قابل توجهی که از قابلیت Rootkit استفاده می‌کنند^(Rootkit)

• Win32/Sinowal 13 – خانواده چند جزئی از بدافزارها که سعی در سرقت داده های حساس مانند نام کاربری و رمز عبور سیستم های مختلف دارد. این شامل تلاش برای سرقت جزئیات احراز هویت برای انواع حساب‌های FTP ، HTTP ، و ایمیل، و همچنین اعتبار مورد استفاده برای بانکداری آنلاین و سایر تراکنش‌های مالی است.
• Win32/Cutwail 15 – تروجانی^(Trojan) که فایل های دلخواه را دانلود و اجرا می کند. فایل های دانلود شده ممکن است از دیسک اجرا شوند یا مستقیماً به فرآیندهای دیگر تزریق شوند. در حالی که عملکرد فایل های دانلود شده متغیر است، Cutwail معمولا سایر مؤلفه هایی را که اسپم ارسال می کنند دانلود می کند. از یک روت کیت حالت هسته استفاده می کند و چندین درایور دستگاه را نصب می کند تا اجزای خود را از کاربران آسیب دیده پنهان کند.
• Win32/Rustock  – خانواده چند جزئی از تروجان‌های^(Trojans) درپشتی مجهز به روت‌کیت که در ابتدا برای کمک به توزیع ایمیل‌های «هرزنامه» از طریق یک بات‌نت^(botnet) توسعه یافتند . بات نت یک شبکه بزرگ کامپیوتری تحت کنترل مهاجم است.

محافظت در برابر روت کیت ها

جلوگیری از نصب روت کیت ها موثرترین روش برای جلوگیری از عفونت توسط روت کیت ها است. برای این کار، سرمایه گذاری روی فناوری های محافظتی مانند محصولات ضد ویروس و فایروال ضروری است. چنین محصولاتی باید با استفاده از تشخیص مبتنی بر امضای سنتی، تشخیص اکتشافی، قابلیت امضای پویا و پاسخگو و نظارت بر رفتار، رویکردی جامع برای حفاظت داشته باشند.

همه این مجموعه های امضا باید با استفاده از مکانیزم به روز رسانی خودکار به روز نگه داشته شوند. راه حل های آنتی ویروس مایکروسافت^(Microsoft) شامل تعدادی فناوری است که به طور خاص برای کاهش روت کیت ها طراحی شده اند، از جمله نظارت بر رفتار هسته زنده که تلاش ها برای اصلاح هسته سیستم آسیب دیده را شناسایی و گزارش می دهد، و تجزیه مستقیم سیستم فایل که شناسایی و حذف درایورهای پنهان را تسهیل می کند.

اگر سیستمی به خطر بیفتد، یک ابزار اضافی که به شما امکان می دهد در یک محیط خوب یا مورد اعتماد راه اندازی شوید، ممکن است مفید باشد زیرا ممکن است اقدامات اصلاحی مناسب را پیشنهاد کند.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

در چنین شرایطی،

1. ابزار Sweeper سیستم مستقل^{(Standalone System Sweeper)} (بخشی از مجموعه ابزار تشخیص^{(Diagnostics)} و بازیابی ^{(Recovery Toolset)}مایکروسافت^(Microsoft) ( DART )
2. Windows Defender Offline ممکن است مفید باشد.

برای اطلاعات بیشتر می توانید گزارش PDF را از مرکز دانلود مایکروسافت دانلود کنید.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

Whilе it is possіble to hide malware in a way that will foоl even the traditional antivirus/antispyware рroducts, most mаlware programs are already using rootkits to hide deep on your Windоws PC … and they are getting more dangerous! The DL3 rоotkit is one of the most advanсed rootkits ever seen in the wild. The rootkit was stаble and could infect 32 bit Windows operating systems; although administrator rights were needed to install the infection in the syѕtem. But TDL3 has now been updated and iѕ now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• چگونه برای جلوگیری از Phishing Scams and Attacks؟

• Access Trojan از راه دور چیست؟ پیشگیری، Detection & Removal

• Remove virus از USB Flash Drive با استفاده از Command Prompt or Batch File

• Rogue Security Software or Scareware: چگونه برای بررسی، جلوگیری از حذف، حذف؟

• BogEnt و چگونه آن را حذف: حذف Win32 چیست؟

• Programs or Applications به طور بالقوه ناخواسته؛ Avoid PUP/PUA نصب

• بهترین Online Malware Scanners اینترنتی برای اسکن یک فایل

• از راه دور Administration Tools: خطرات، Threats، Prevention

• چگونه به حذف Malware From Android Phone

• FileRepMalware چیست؟ شما باید آن را حذف کنم؟

• Cryptojacking جدید browser mining threat شما باید بدانید

• Prevent Drive-by دانلود و حملات مخرب مرتبط

• Cyber crime چیست؟ باید باهاش ​​چکار کنم؟

• Fix Search خطا انجام نشد که در حال اجرا Chrome Malware Scanner

• Land حملات چیست زندگی در خارج؟ نحوه ایمن ماندن؟

• Cyber Attacks - تعریف، Types، پیشگیری

• Bundleware: تعریف، Prevention، Removal Guide

• چگونه برای بررسی اگر یک فایل مخرب است یا نه بر روی ویندوز 11/10

• بهترین نرم افزار حذف نرم افزارهای جاسوسی و بدافزار رایگان

• Crystal Security مبتنی بر Malware Detection Tool مبتنی بر Cloud رایگان است