Руткит: определение и виды¶
Руткит (от англ. root kit — «набор для получения root-прав») — это совокупность программных инструментов, предназначенных для установления и сокрытия устойчивого несанкционированного доступа к компьютерной системе. Руткиты работают на уровне ядра операционной системы или ниже, что позволяет им маскировать присутствие вредоносного ПО, скрывать файлы, процессы, сетевые соединения и модифицировать системные вызовы.
¶Принцип работы
Руткит внедряется в систему различными способами: через уязвимости в программном обеспечении, при помощи троянских программ, через заражённые драйверы или фиктивные подписи. После установки он получает привилегированный доступ (в UNIX-системах — root, в Windows — SYSTEM или администратор) и модифицирует системные структуры так, что стандартные средства диагностики (диспетчер задач, файловый менеджер, антивирус) не отображают активность вредоноса.
Основной механизм сокрытия — подмена системных вызовов. В UNIX-системах руткит перехватывает функции библиотеки libc (например, readdir, stat, open), в Windows — системные таблицы дескрипторов SSDT или использует фильтрованные драйверы. В результате при запросе списка файлов или процессов вредоносные элементы просто исключаются из выдачи.
¶Классификация
По уровню внедрения руткиты делятся на несколько основных категорий:
| Тип | Уровень | Особенности |
|---|---|---|
| Пользовательские (user-mode) | Пространство пользовательских процессов | Подменяют библиотеки, перехватывают функции; уязвимы к обнаружению из чистого окружения |
| Ядерные (kernel-mode) | Ядро ОС | Загружают вредоносные драйверы, модифицируют системные таблицы; наиболее опасны и сложны в обнаружении |
| Гипервизорные (hypervisor) | Уровень гипервизора | Создают виртуальную машину под основной ОС, невидимы для гостевой системы |
| Bootkit | Загрузочный сектор (MBR/VBR/UEFI) | Загружаются до старта операционной системы; переживают переустановку ОС |
¶История
Термин «rootkit» появился в конце 1980-х годов в среде пользователей UNIX. Первые руткиты представляли собой набор утилит для поддержания root-доступа после его получения. В 1999 году исследователи Greg Hoglund и James Butler написали одноимённую книгу, ставшую классическим справочником по теме.
В 2005 году произошло громкое событие: компания Sony BMG использовала руткит для защиты своих аудиодисков от копирования. Программа устанавливалась на компьютер без согласия пользователя и скрывала своё присутствие, что вызвало скандал и серию судебных исков.
В 2010 году был обнаружен руткит Stuxnet, представлявший собой сложный вредоносный комплекс с возможностями ядерного руткита для Windows и модулями для программируемых логических контроллеров. Он стал первым известным примером программного оружия, предназначенного для физического повреждения промышленного оборудования.
¶Методы обнаружения
Традиционные антивирусы часто не обнаруживают руткиты, поскольку последние искажают результаты системных вызовов. Для выявления используются специализированные методы:
- Сравнительный анализ — загрузка системы с чистого носителя и сравнение списка процессов и файлов с данными, полученными от работающей системы.
- Анализ на уровне ядра — чтение памяти и системных структур напрямую, минуя перехваченные API.
- Аппаратная валидация — проверка целостности загрузочной цепочки с использованием TPM и Secure Boot.
- Анализ сетевого трафика — выявление аномальных соединений, которые руткит не может полностью скрыть.
¶Защита
Современные операционные системы внедряют механизмы, затрудняющие установку руткитов:
- Secure Boot — проверка цифровой подписи загружаемых компонентов.
- Driver Signature Enforcement (Windows) — запуск только подписанных драйверов ядра.
- Kernel Patch Protection / PatchGuard (Windows x64) — защита критических структур ядра от модификации.
- Mandatory Access Control (SELinux, AppArmor) — ограничение прав даже для процессов с привилегиями root.
¶Руткиты и кибербезопасность
В России деятельность по созданию и распространению вредоносного программного обеспечения, включая руткиты, квалифицируется Уголовным кодексом РФ (статьи 272–274). Руткиты используются в киберразведке, кибервойнах и организованной киберпреступности для долгосрочного проникновения в информационные системы.
Источники:
- Greg Hoglund, James Butler. Rootkits: Subverting the Windows Kernel. Addison-Wesley, 2005
- Daniel Blundering, Peter Silberman. Rootkits: Subverting the UNIX Kernel. Addison-Wesley, 2005
- Статья «Rootkit» в журнале IEEE Security & Privacy
- Материалы Microsoft Security Response Center о защите ядра Windows