روت کیت (Rootkit)، تهدیدات پنهان!
فهرست مطالب
روت کیت چیست؟
Rootkit یا به فارسی روت کیت برنامه یا مجموعه‌ای از برنامه‌های مخرب است که توسط هکرها برای ایجاد دسترسی غیر مجاز و کنترل کامپیوتر قربانی بهره‌برداری میکنند. هرچند این نوع از نرم افزارها تمام مخرب نیستند و استفاده‌های مفیدی نیز می‌توان از آنها کرد. بیشتر روت کیت‌ها برای ایجاد بکدور یا درپشتی در سیستم قربانی استفاده می‌شوند تا مهاجم بتواند بدافزارهای بیشتری شامل باج افزار، کیلاگر و … را نصب کند. این بدافزارها معمولا دارای قابلیت گریز از شناسایی دارند و با غیرفعال سازی راهکارهای امنیتی بروی نقطه پایانی از شناسایی شدن توسط این سامانه‌ها جلوگیری کنند.
روت کیت‌ها به وفور در دارک وب قابل تهیه هستند و معمولا توسط روشهای مهندسی اجتماعی و فیشینگ کاربران فریب می‌دهند تا اجازه نصب این نرم افزارهای مخرب روی سیستم های رایانه‌ای خود را بدهند. پس از نصب موفقیت آمیز Rootkit برای سیستم قربانی، این بدافزارهای کنترل کامل سیستم عامل را در اختیار هکرها قرار می‌دهند. ضدبدافزارهای قدیمی معمولا در شناسایی و حذف این تهدیدات عملکرد خوبی نداشتند، اما امروز با پیشرفت ابزارهای ضد بدافزارهای شناسایی و رفع این تهدیدات بسیار آسان‌تر شده است.
روت کیت چگونه کار می‌کند؟
روت کیت‌ها به خودی خودی توانای تکثیر شدن ندارند و وابسته به روشهای پنهانی برای آلوده کردن قربانیان خود هستند. هنگامی که کاربران ناآگاه اجازه نصب روت کیت‌های آلوده را می‌دهند، پس از نصب خود را تا زمانی که هکر بخواهد پنهان نگه می‌دارد. روت کیت‌ها معمولا در ترکیب با سایر بدافزارها عمل میکنند و دسترسی‌های لازم برای آلودگی بیشتر توسط سایر بدافزارها را فراهم میکنند.
نام گذاری این نوع از بدافزار نشانه‌هایی از عملکرد آن را آشکار می‌کند؛ که از دو کلمه root و kit ساخته شده است. root یه اصطلاح پایه برای کاربری با بیشترین سطح دسترسی در سیستم عامل‌های یونیکس و شبه-یونیکس است. یوزر روت اجازه کامل هر کاری را دارد و هر تغییری در سیستم توسط این یوزر قابل انجام است. کلمه کیت نیز نشان دهنده مجموعه‌ای از نرم افزارهاست که به این ابزار شکل می‌بخشند. روت کیت با چسبیدن به هسته(کرنل) سیستم عامل خود را تا مدت طولانی پنهان نگه می‌دارد و با دسترسی فوق العاده بالایی که در زمان نصب به دست آورده است توانایی‌های فوق العاده‌ای از جمله: غیر فعال کردن ابزارهای شناسایی، ایجاد بکدور، نصب بدافزارهای بیشتر، جاسوسی و سرقت اطلاعات را دارد.
روت کیت چه کارهای می‌تواند انجام دهد؟
تقریبا هر کاری! بله همانطور که توضیح داده شد در صورت نصب موفقیت آمیز بروی سیستم قربانی، این بدافزار می‌تواند هرکاری که هکر از آن می‌خواهد را انجام دهد:
- هر چیزی که تایپ می‌کنید را مخابره کنند.
- آنتی ویروس را غیر فعال کنند.
- پیکربندی‌های حساس سیستم عامل را تغییر دهند.
- بدافزارهای بیشتری روی سیستم نصب کنند.
- و ضمن ایجاد درپشتی تا مدت طولانی به صورت پنهانی فعالیت کنند.
انوع Rootkit
این تهدیدات بنابر روش آلودگی و عملیات آن به چند دسته کلی به شرح زیر تقسیم می‌شود:
Kernel mode rootkit: این نوع طراحی شده که عملکرد کلی سیستم عامل را تحت تاثیر قرار دهد. این روت کیت با چسباندن خود به کرنل سیستم عامل، کدها و ساختار داده خود را به آن اضافه می‌کند و به عنوان یک ماژول از دسترسی‌های حداکثری سیستم برای پیشبرد اهداف مهاجم استفاده می‌کند.
User mode rootkit: که به عنوان application rootkit نیز شناخته می‌شود در سمت کاربران اجرا می‌شود و هنگام بوت شدن سیستم شروع به کار میکنند. در این نوع خبری از دسترسی‌های سطح بالای یوزر روت نیست و معمولا با دستکاری در لینک دهی داینامیک سیستم عامل خود را به جای نرم افزارهای مجاز اجرا میکنند.
Bootkit: این نوع با آلوده کردن MBR روی هارد دیسک‌ها یا سایر حافظه‌های جانبی متصل به سیستم، پروسه بوت را در اختیار خود می‌گیرند و می‌توانند حتی پیش از بارگذاری سیستم عامل عملیات خرابکارانه خود را انجام دهند. یکی از معروف‌ترین Bootkit های حال حاضر، بوت کیت BlackLotus می‌باشد که اولین بوت کیت عملیاتی ساخته شده برای UEFI می‌باشد.
Firmware rootkit: این نوع از تهدیدات با بهرهگیری از نرم افزارهای تعبیه شده در فریمورهای سیستم و نصب کردن خود بجای آنها که توسط کارت‌های شبکه، سیستم‌های ورودی/خروجی، مسیریابها و سایر لوازم جانبی استفاده می‌شود.
Memory rootkit: اکثریت روت کیت‌ها پس از آلوده کردن سیستم خود را بروی دستگاه‌های ذخیره ساز متصل سیستم ذخیره میکنند تا به حضور خود در سیستم قربانی ادامه دهند. اما نوعی از روت کیت‌ها وجود دارند که درون حافظه RAM قرار می‌گیرند و تا زمانی به حیات خود ادامه می‌دهند که سیستم قربانی روشن است.
Virtualized rootkit: همانند نرم افزارهای کنترل کننده لایه هایپروایزر عمل میکنند که کنترل یک یا چند ماشین مجازی را به عهده دارد. روت کیت عملکرد متفاوتی در محیط‌های مجازی دارد؛ در یک محیط مجازی سازی شده، ماشین‌های مجازی کنترل شده توسط هایپروایزر عملکرد نرمالی از خود نشان می‌دهند. بدون تغییر محسوسی در عملکرد ماشین مجازی متصل به لایه مجازی ساز، روت کت عملیات مخربانه خود را انجام می‌دهد.
روشهای پاکسازی
هنگامی که یک روت کیت سیستمی را آلوده می‌کند، احتمالا عملیات مخربانه بسیار بالاست اما راه و روشی که وجود دارد که سیستم قربانی را از این آلودگی پاک کنیم و از افزایش خسارت جلوگیری کنیم. پاک کردن روت کیت می‌تواند کار سختی باشد مخصوصا روت کیت‌های کرنلی و یا بوت کیت‌ها که سطح دسترسی بسیار بالایی در سیستم عامل دارند.
تعدادی ابزار وجود دارد که توانایی شناسایی و پاکسازی چنین rootkitهایی را دارند، اگر به نوع جدیدی از این بدافزارهای ناشناخته دچار شده‌اید معمولا راحت‌ترین و مطمئن‌ترین روش نصب دوباره سیستم عامل می‌باشد. البته می‌توان با لیست کردن ماژول‌های متصل به کرنل سیستم عامل و یا پیکربندی دوباره ماژول‌های کرنل نیز تعدادی از روت کیت‌های آلوده را از سیستم پاکسازی کرد.
0 دیدگاه