Что такое руткит и буткит: виды, как работают, обнаружение

Руткит (rootkit) — вредоносная программа или набор инструментов, которые получают привилегированный доступ к операционной системе и скрывают своё присутствие, а часто и присутствие другого вредоносного ПО, от пользователя, от антивируса и от штатных средств мониторинга, обеспечивая атакующему скрытный долговременный контроль над заражённым устройством. Название происходит от «root» (административные права в Unix-подобных системах) и «kit» (набор инструментов).

Ключевое отличие руткита от большинства других типов вредоносного ПО — не то, что он делает, а то, что он скрывает. Сам по себе руткит редко ворует данные или шифрует файлы напрямую; чаще его задача — замаскировать другую вредоносную программу (бэкдор, шпионское ПО, клиент ботнета), которую вместе с ним установил троян или иной вектор заражения.

Именно поэтому руткит в общей классификации вредоносного ПО стоит особняком — это категория по способу сокрытия, а не по цели атаки.

Руткиты различаются по уровню, на котором они закрепляются в системе, — от пространства обычных приложений до кода, который запускается ещё до операционной системы, — и чем глубже уровень, тем труднее руткит обнаружить и тем выше привилегии он получает.

↔ таблицу можно прокрутить вбок

Руткит скрывает вредоносную активность, перехватывая системные вызовы и подменяя данные, которые операционная система выдаёт другим программам, — так он заставляет систему «лгать» самой себе о том, что в ней на самом деле происходит.

• Перехват системных вызовов (API/syscall hooking). Руткит встраивается между приложением и ОС (или между ОС и ядром) и фильтрует ответы: например, из списка процессов вычёркивает строку с собственным именем, прежде чем список вообще дойдёт до диспетчера задач.
• Сокрытие объектов. Тем же способом маскируются файлы, ключи реестра, сетевые соединения и записи в журналах — руткиты уровня ядра способны делать это настолько глубоко, что заражённая система показывает заведомо ложную картину собственного состояния любому инструменту, который спрашивает её саму.
• Закрепление (persistence). Руткит нацелен на то, чтобы пережить перезагрузку и оставаться активным как можно дольше без обнаружения — для буткита это буквально означает переживать даже переустановку операционной системы, если заражена загрузочная область или прошивка, а не системный раздел.
• Доставка другой нагрузки. Руткит редко приходит один — чаще он устанавливается вместе с бэкдором, шпионским ПО или клиентом ботнета и служит именно их «щитом» от обнаружения, а не самостоятельной угрозой кражи данных.

Главная опасность руткита — не в том, что он делает, а в том, сколько времени у атакующего есть на то, чтобы это делать незаметно. Заражение может оставаться необнаруженным месяцами, потому что штатные средства мониторинга буквально не видят того, что руткит решил скрыть; это же затрудняет и расследование инцидента — индикаторы компрометации, которые ищет команда реагирования, сама заражённая система может подделывать.

Штатным средствам заражённой системы в этом вопросе доверять нельзя — руткит способен подделать именно тот вывод, который они показывают, поэтому обнаружение требует инструментов и методов, которые не полагаются на саму потенциально заражённую ОС.

Дополнительные методы, которые применяют вместе с перечисленными классами СЗИ:

• Проверка целостности файлов и памяти против заведомо чистого эталона — способ заметить расхождение, даже если сама заражённая система «утверждает», что всё в порядке.
• Сканирование с чистого загрузочного носителя. Заражённая ОС не запускается вовсе, поэтому не может скрыть ни один объект от внешнего сканера — надёжный, хотя и не самый быстрый способ проверки.
• Специализированные антируткит-утилиты, которые сравнивают то, что видит система «изнутри», с тем, что видно «снаружи» — на уровне диска или памяти напрямую.