Главная стр. Поиск Поиск

Что такое руткиты?

 17 февраля 2012,  Павел Данилов

Вирусы становятся все более изощренными. На смену вредоносному ПО, которое просто портило данные, давно уже пришли средства для предоставления злоумышленникам контроля над вашим ПК. Из таких зараженных компьютеров давно уже составляются целые сети, которые выполняют различные задачи (рассылка спама, организация DDOS-атак). Однако для того чтобы получить доступ к управлению удаленным компьютером необходимо сначала внедрить в него какое-то управляющее ПО. Этим и занимаются вирусы. Вы спросите: «Как же они обходят антивирусные программы?» Способов придумано довольно много. Один из них – использование так называемых руткитов.

Руткиты помогают скрывать от пользователя сам факт заражения системы

Руткит – способ сокрытия факта заражения

Руткит – это вовсе не вирус, как считают некоторые. Сам он никакого вреда не приносит. Руткит – это всего лишь программа или набор программных средств для сокрытия ряда объектов или определенного вида активности в системе. Такой маскировке, как правило, подвергаются ключи реестра, отвечающие за автоматический запуск вредоносного кода; файлы, содержащие вирусные сигнатуры или тело вируса; сетевые соединения вируса; активные процессы в зараженной системе, а также иные проявления вредоносной активности. Таким образом, руткиты продлевают время работы вредоносного кода до обнаружения его антивирусами или внимательным пользователем, путем затруднения обнаружения.

На самом деле, ситуация-то достаточно типичная. ПК, вроде бы в порядке. Антивирус молчит, в списке автозапуска чистота и порядок, лишних процессов нет.  Однако в это самое время ваш компьютер может тихонечко рассылать спам, участвовать в атаке на сайты и т.п. «милые шалости». Такая ситуация может продолжаться долгое время. Даже годами!

Сам термин «руткит» (английский вариант – rootkit) сформировался в среде пользователей операционных систем UNIX. Так называли набор утилит или даже специальный модуль ядра системы, которые устанавливались на взломанной системе после получения хакером прав root (суперпользователя). Такой «джентельменский» набор позволял и далее держать взломанную систему под незаметным контролем. Именно для этого в состав rootkit входили утилиты для маскировки самого факта вторжения в систему.

Спите спокойно, жители Багдада, или как же маскируются руткиты?

Большинство современных антивирусных программ распознают вредоносное программное обеспечение по так называемым «сигнатурам». Они представляют собой характерные специфические цепочки кода, содержащиеся в теле вируса. Именно из таких сигнатур состоят, в большинстве своем, базы данных антивирусов, которые мы скачиваем с сайтов производителя. Такие цепочки кода – особые приметы вирусов, троянов и т.п. гадости, по которым антивирусная программа может опознать зловреда для того, чтобы его уничтожить.

Хорошие антивирусы также имеют блок так называемого «эвристического» анализа, который может распознать вредоносное программное обеспечение по ряду особенностей его поведения. Список таких «характерных» действий довольно велик и включает в себя диапазон от простейших удалений файлов какого-либо вида до хитрых изменений в ядре системы или подмены важных системных файлов или путей. Чем изощреннее становятся вирусы, тем более разветвленные алгоритмы приходится строить для эвристического анализа программистам, занимающимся разработкой антивирусных средств.

Как же может руткит обмануть такую многоуровневую защиту? Для этого они манипулируют процессами обмена данных между приложениями. Руткиты попросту удаляют сведения о себе и о вредоносном софте, который они «опекают» из этих процессов. Антивирусная программа в таком случае получает заведомо ложную информацию о полном благополучии в системе. Ни в блок сравнивающий сигнатуры, ни в блок эвристики просто не поступает данных, способных привести к тревоге.

Как руткиты попадают на компьютер?

Вариантов распространения такого рода программ огромное множество. Руткит может попасть в компьютер через вложенный в электронное письмо файл, может быть принесен на флешке ничего не подозревающим другом в виде зараженного или фальшивого документа DOC или PDF, может быть скачан из интернета вместе с бесплатной игрой или иным софтом (особенно часто это бывает, когда программы скачиваются не с сайта разработчика или известных надёжных софт-архивов, а с разных «пиратских» сайтов). Общим для этих способов является одно – пользователь сам запускает руткит на компьютере, не осознавая, что он делает. Кстати, пока руткит не запущен и лежит в латентном состоянии в виде документа, он становится легкой добычей для большинства антивирусов. Однако после запуска он тут же перехватывает системные процессы и отловить его становится довольно проблематично.

Еще один весьма нередкий путь распространения руткитов – различные интернет-сайты. Это могут быть и вполне приличные сайты, чьи хозяева и не подозревают, что их детище взломано и распространяет заразу, а могут быть и специально созданные сайты для распространения руткитов. В этом случае пользователю достаточно открыть веб-страницу сайта, после чего руткит попадает в его ПК. Это возможно благодаря наличию «дыр» в системе безопасности ряда браузеров. Особенно часто такое бывает, когда браузер не обновляется регулярно.

Как избавиться от руткитов?

А вот об этом мы поговорим с вами в следующей статье, которая так и будет называться «Программы для удаления руткитов».

Последние отзывы к этой статье

Текущая оценка статьи: 5 из 5 баллов  

Отзыв  Кирилл | 29 марта 2014, 22:17 | Оценка: 5
Спасибо, я долго не мог понять из-за чего комп постоянно виснет ( хотя он мощный) думал из-за вирусов, но антивирус у меня AVG решил проверить на руткиты, и оказалось что да - имеются пара штук. Автор красавчик вообще

Все отзывы Смотреть предыдущие (все) комментарии (4)

***

Обзоры
Computer FAQ