بدافزار Rootkit چیست؟

روت‌کیت (Rootkit) یکی از انواع بدافزارهایی است که با هدف مخفی ماندن در سیستم و حفظ دسترسی غیرمجاز مهاجم طراحی می‌شود. برخلاف بعضی بدافزارها که فعالیت خود را با نشانه‌های واضحی مانند رمزگذاری فایل‌ها، نمایش پیام یا مصرف غیرعادی منابع نشان می‌دهند، روت‌کیت تلاش می‌کند حضور خود و فعالیت‌های مخرب را از دید کاربر و ابزارهای امنیتی پنهان کند.

روت‌کیت می‌تواند در بخش‌های مختلف سیستم‌عامل فعالیت داشته باشد و فایل‌ها، فرایندها، سرویس‌ها، درایورها یا ارتباطات شبکه‌ای را مخفی کند. بعضی انواع پیشرفته‌تر نیز بخش‌های مربوط به راه‌اندازی سیستم یا Firmware را هدف قرار می‌دهند. به همین دلیل، شناسایی و حذف روت‌کیت در بعضی موارد بسیار دشوارتر از بدافزارهای معمولی است.

Rootkit چگونه کار می‌کند؟

برای درک نحوه عملکرد روت‌کیت باید به نحوه دسترسی برنامه‌ها به اطلاعات سیستم توجه کرد. سیستم‌عامل اطلاعات مختلفی درباره فرایندهای در حال اجرا، فایل‌ها، سرویس‌ها، درایورها و ارتباطات شبکه در اختیار برنامه‌ها و ابزارهای مدیریتی قرار می‌دهد.

روت‌کیت تلاش می‌کند در همین فرایند اختلال ایجاد کند. برای مثال، ممکن است یک فرایند مخرب در سیستم در حال اجرا باشد، اما روت‌کیت کاری کند که این فرایند در فهرست فرایندهای قابل مشاهده نمایش داده نشود. در شرایط مشابه، فایل یا سرویس مخرب نیز می‌تواند از دید ابزارهای معمول سیستم پنهان شود.

به همین دلیل، یکی از ویژگی‌های مهم روت‌کیت این است که ممکن است اطلاعاتی که سیستم آلوده درباره وضعیت خودش ارائه می‌دهد، قابل اعتماد نباشد. هرچه روت‌کیت به لایه‌های پایین‌تری از سیستم دسترسی داشته باشد، امکان کنترل و مخفی‌سازی بیشتری خواهد داشت.

روت کیت، یکی از خطرناکترین تهدید‌های سایبری به شمار می‌رود که می‌تواند یک سیستم را برای مدت طولانی آلوده کرده و دستگاه را در برابر انواع حملات سایبری آسیب پذیر سازد.

انواع Rootkit

روت‌کیت‌ها بر اساس محل فعالیت خود به چند دسته تقسیم می‌شوند. تفاوت این دسته‌ها در سطحی است که بدافزار در آن قرار می‌گیرد و به منابع سیستم دسترسی پیدا می‌کند.

User-Mode Rootkit

User-Mode Rootkit در فضای کاربری سیستم‌عامل فعالیت می‌کند. این نوع روت‌کیت می‌تواند با دستکاری عملکرد بعضی برنامه‌ها یا کتابخانه‌ها، اطلاعات مربوط به فعالیت مخرب را مخفی کند.

برای مثال، ممکن است اطلاعات مربوط به یک فایل، فرایند یا فعالیت خاص به شکلی تغییر کند که ابزارهای معمول سیستم آن را مشاهده نکنند.

این نوع روت‌کیت معمولا نسبت به نمونه‌هایی که در سطح هسته سیستم‌عامل فعالیت می‌کنند محدودیت بیشتری دارد، اما همچنان می‌تواند برای پنهان کردن اجزای مختلف یک حمله مورد استفاده قرار بگیرد.

Kernel-Mode Rootkit

Kernel-Mode Rootkit در سطح هسته سیستم‌عامل فعالیت می‌کند. هسته یکی از مهم‌ترین بخش‌های سیستم‌عامل است و وظیفه مدیریت منابعی مانند حافظه، فرایندها، درایورها و ارتباط با سخت‌افزار را بر عهده دارد.

به همین دلیل، روت‌کیتی که به سطح هسته دسترسی پیدا کند می‌تواند کنترل بسیار بیشتری روی نحوه نمایش اطلاعات سیستم داشته باشد. برای مثال، می‌تواند در نمایش فرایندها، فایل‌ها یا ارتباطات شبکه اختلال ایجاد کند و فعالیت خود را از ابزارهای معمول پنهان نگه دارد.

Bootkit

Bootkit نوعی روت‌کیت است که بخش‌های مربوط به فرایند راه‌اندازی سیستم را هدف قرار می‌دهد. این نوع بدافزار می‌تواند پیش از بارگذاری کامل سیستم‌عامل فعال شود.

اجرای بدافزار در مراحل اولیه راه‌اندازی اهمیت زیادی دارد، زیرا به آن اجازه می‌دهد پیش از شروع بسیاری از سازوکارهای امنیتی سیستم‌عامل فعالیت خود را آغاز کند. به همین دلیل، Bootkit می‌تواند تهدید پیچیده‌تری نسبت به روت‌کیت‌های معمولی باشد.

Firmware Rootkit

Firmware Rootkit در سطح Firmware دستگاه فعالیت می‌کند. Firmware نرم‌افزاری است که برای کنترل و راه‌اندازی اجزای سخت‌افزاری مورد استفاده قرار می‌گیرد و معمولا پیش از سیستم‌عامل اجرا می‌شود.

یکی از مشکلات این نوع روت‌کیت این است که ممکن است با نصب مجدد سیستم‌عامل از بین نرود. اگر بخش مورد هدف در Firmware باقی بماند، بدافزار می‌تواند پس از نصب مجدد سیستم‌عامل دوباره فعال شود.

روت‌کیت چه کاری انجام می‌دهد؟

وظیفه اصلی روت‌کیت مخفی کردن فعالیت‌های مخرب و کمک به حفظ دسترسی مهاجم است. به همین دلیل، روت‌کیت می‌تواند قابلیت‌های مختلفی برای پنهان‌سازی داشته باشد.

برخی از فعالیت‌هایی که یک روت‌کیت می‌تواند مخفی کند عبارتند از:

• فایل‌ها و پوشه‌های مخرب
• فرایندهای در حال اجرا
• سرویس‌های سیستم
• درایورها و ماژول‌های مخرب
• ارتباطات شبکه
• تغییرات ایجادشده در سیستم
• سایر بدافزارهای نصب‌شده روی دستگاه

در واقع، روت‌کیت همیشه به معنای یک بدافزار مستقل نیست. گاهی اوقات مهاجم از آن به‌عنوان بخشی از یک حمله بزرگ‌تر استفاده می‌کند تا بدافزار اصلی و فعالیت‌های خود را از دید کاربر پنهان کند.

تفاوت Rootkit با Virus و Trojan چیست؟

روت‌کیت، ویروس و تروجان همگی در دسته تهدیدهای مخرب قرار می‌گیرند، اما هدف و نحوه عملکرد آن‌ها یکسان نیست.

ویروس معمولا با قابلیت تکثیر و آلوده کردن فایل‌ها یا سیستم‌های دیگر شناخته می‌شود. تروجان یا اسب تروجان نیز معمولا خود را به شکل یک برنامه یا فایل به ظاهر عادی نشان می‌دهد تا کاربر را به اجرای آن ترغیب کند.

روت‌کیت در مقابل بیشتر روی مخفی‌سازی و حفظ دسترسی تمرکز دارد. بنابراین یک تروجان یا بدافزار دیگر می‌تواند از روت‌کیت برای پنهان کردن فعالیت خود استفاده کند.

به عبارت دیگر، Rootkit لزوما جایگزین سایر انواع بدافزار نیست و می‌تواند در کنار آن‌ها مورد استفاده قرار بگیرد.

آیا Rootkit می‌تواند آنتی‌ویروس را دور بزند؟

روت‌کیت می‌تواند شناسایی بدافزار را دشوارتر کند، اما به این معنا نیست که همه روت‌کیت‌ها همیشه می‌توانند آنتی‌ویروس را دور بزنند.

مشکل اصلی زمانی ایجاد می‌شود که روت‌کیت بتواند اطلاعاتی را که سیستم‌عامل در اختیار ابزارهای امنیتی قرار می‌دهد تغییر دهد. برای مثال، اگر یک فرایند مخرب از فهرست فرایندها مخفی شود، ابزار امنیتی ممکن است نتواند آن را به روش معمول مشاهده کند.

به همین دلیل، ابزارهای امنیتی پیشرفته برای شناسایی تهدیدهای سطح پایین از روش‌های مختلفی استفاده می‌کنند و در شرایط مشکوک می‌توان سیستم را از یک محیط مورد اعتماد یا محیطی خارج از سیستم‌عامل اصلی بررسی کرد.

نشانه‌های وجود Rootkit در سیستم چیست؟

تشخیص روت‌کیت معمولا ساده نیست، زیرا هدف اصلی این بدافزار مخفی ماندن است. به همین دلیل، نمی‌توان تنها بر اساس یک نشانه خاص وجود روت‌کیت را تایید کرد.

با این حال، بعضی رفتارهای غیرعادی می‌توانند نیاز به بررسی بیشتر را نشان دهند. برای مثال:

• مشاهده سرویس یا درایور ناشناخته
• تغییرات غیرمنتظره در فرایند راه‌اندازی سیستم
• مشاهده رفتار غیرعادی در درایورهای سیستم
• وجود ارتباطات شبکه‌ای ناشناخته
• ایجاد تغییرات غیرمنتظره در تنظیمات سیستمی
• مشاهده اختلاف میان اطلاعات گزارش‌شده توسط ابزارهای مختلف
• بازگشت دوباره یک بدافزار پس از حذف آن

البته هیچ‌کدام از این موارد به تنهایی به معنی وجود Rootkit نیستند. مشکلات نرم‌افزاری، درایورهای معیوب، تنظیمات اشتباه و حتی برنامه‌های قانونی نیز می‌توانند رفتارهای مشابهی ایجاد کنند.

چگونه Rootkit را شناسایی کنیم؟

شناسایی روت‌کیت به دلیل ماهیت مخفی‌کار آن می‌تواند دشوار باشد. استفاده از آنتی‌ویروس و ابزارهای امنیتی معتبر یکی از نخستین اقدامات است، اما در موارد مشکوک ممکن است بررسی‌های بیشتری لازم باشد.

در Windows می‌توان از قابلیت‌های امنیتی داخلی سیستم و اسکن‌های آفلاین استفاده کرد. اسکن آفلاین اهمیت زیادی دارد، زیرا سیستم می‌تواند در محیطی جدا از Windows اصلی بررسی شود و در نتیجه بعضی از تکنیک‌های مخفی‌سازی روت‌کیت اثر کمتری داشته باشند.

در Linux نیز ابزارهایی برای بررسی نشانه‌های مرتبط با روت‌کیت وجود دارد. با این حال، نتیجه هیچ ابزار تشخیصی را نباید به تنهایی قطعی در نظر گرفت.

در سیستم‌های حساس، بررسی سیستم از یک محیط مورد اعتماد و مقایسه وضعیت فعلی با یک وضعیت سالم شناخته‌شده می‌تواند نتیجه دقیق‌تری ارائه دهد.

چگونه از Rootkit جلوگیری کنیم؟

جلوگیری از ورود روت‌کیت به سیستم معمولا بسیار ساده‌تر از شناسایی و حذف آن پس از آلودگی است. برای کاهش احتمال آلودگی می‌توان چند اقدام امنیتی مهم را انجام داد.

سیستم‌عامل و نرم‌افزارها را به‌روز نگه دارید

آسیب‌پذیری‌های موجود در سیستم‌عامل و نرم‌افزارها می‌توانند به مهاجم اجازه اجرای کد یا افزایش سطح دسترسی را بدهند. نصب به‌روزرسانی‌های امنیتی می‌تواند بسیاری از این مسیرهای نفوذ را مسدود کند.

سطح دسترسی کاربران را محدود کنید

استفاده روزمره از حساب‌های دارای دسترسی مدیریتی بالا، در صورت اجرای یک فایل مخرب، می‌تواند پیامدهای حمله را افزایش دهد. بهتر است کاربران تنها دسترسی‌هایی را داشته باشند که برای انجام وظایف خود به آن نیاز دارند.

فایل‌های ناشناس را اجرا نکنید

بخشی از آلودگی‌ها از طریق فایل‌های دانلودشده، نرم‌افزارهای دستکاری‌شده یا فایل‌های پیوست ناشناس آغاز می‌شوند. اجرای فایل‌هایی که منبع آن‌ها مشخص نیست می‌تواند خطر آلودگی را افزایش دهد.

از ابزارهای امنیتی استفاده کنید

فعال بودن آنتی‌ویروس و سایر قابلیت‌های امنیتی سیستم می‌تواند احتمال شناسایی بسیاری از تهدیدها را افزایش دهد. این ابزارها باید به‌روز باشند تا بتوانند تهدیدهای جدیدتر را نیز شناسایی کنند.

از اطلاعات مهم نسخه پشتیبان تهیه کنید

پشتیبان‌گیری منظم باعث می‌شود در صورت آلودگی جدی، امکان نصب مجدد سیستم و بازیابی اطلاعات از یک نسخه سالم وجود داشته باشد.

اگر به وجود Rootkit مشکوک شدیم چه کنیم؟

اگر احتمال می‌دهید سیستم به روت‌کیت آلوده شده است، حذف یک فایل یا فرایند مشکوک به تنهایی کافی نیست. روت‌کیت ممکن است بخش‌های مختلفی از سیستم را تغییر داده باشد یا امکان اجرای مجدد سایر بدافزارها را فراهم کرده باشد.

در مرحله اول باید سیستم را با ابزارهای امنیتی معتبر بررسی کرد. در Windows می‌توان از اسکن آفلاین استفاده کرد تا بررسی در محیطی جدا از سیستم‌عامل اصلی انجام شود.

اگر آلودگی تایید شود یا نتوان از پاک شدن کامل سیستم اطمینان پیدا کرد، نصب مجدد سیستم‌عامل می‌تواند گزینه مناسب‌تری باشد. در چنین شرایطی باید اطلاعات مورد نیاز از یک نسخه پشتیبان سالم بازیابی شود و پیش از بازگرداندن فایل‌ها نیز از سالم بودن آن‌ها اطمینان حاصل کرد.

اگر احتمال آلودگی در سطح Boot یا Firmware وجود داشته باشد، نصب مجدد سیستم‌عامل ممکن است به تنهایی کافی نباشد و بخش‌های پایین‌تر سیستم نیز باید بررسی شوند.

در سرورها و سیستم‌های سازمانی، بهتر است پیش از پاک‌سازی کامل، موضوع توسط متخصص امنیت بررسی شود. نصب مجدد یا حذف فایل‌ها می‌تواند شواهد مربوط به نحوه نفوذ مهاجم را از بین ببرد.

چرا Rootkit خطرناک است؟

خطر اصلی روت‌کیت فقط در فعالیت مخرب آن نیست، بلکه در توانایی آن برای پنهان کردن فعالیت مخرب است. وقتی یک بدافزار بتواند فرایندها، فایل‌ها یا ارتباطات خود را مخفی کند، تشخیص آن برای کاربر و حتی بعضی ابزارهای امنیتی دشوارتر می‌شود.

همچنین روت‌کیت می‌تواند برای حفظ دسترسی مهاجم به سیستم مورد استفاده قرار بگیرد. در چنین شرایطی، حتی حذف یک بدافزار دیگر نیز لزوما به معنی پاک شدن کامل سیستم نیست.

به همین دلیل، در صورت مشاهده نشانه‌های جدی آلودگی، نباید تنها به حذف فایل مشکوک یا اجرای یک اسکن ساده اکتفا کرد. بررسی کامل سیستم، استفاده از محیط‌های مورد اعتماد و در صورت نیاز نصب مجدد سیستم‌عامل می‌تواند برای اطمینان از پاک شدن آلودگی ضروری باشد.