Rootkit: A rendszeredben rejtőző láthatatlan fenyegetés
Mi az a rootkit?
A rootkit a létező egyik legveszélyesebb és legnehezebben észlelhető kártevőfajta. Egy átlagos vírussal ellentétben, amely nyilvánvaló zavarokat okozva felfedi magát, a rootkit kifejezetten arra van tervezve, hogy rejtve maradjon. Teljes célja az, hogy tartós, mélyszintű irányítást biztosítson a támadónak az eszközöd felett — anélkül, hogy bármikor tudomást szereznél róla.
A név a „root" szóból ered, amely a Unix-alapú rendszerekben a legmagasabb szintű rendszergazdai jogosultságra utal, a „kit" pedig az ennek eléréséhez használt eszközkészletet jelenti. Együttesen a rootkit root szintű hozzáférést biztosít a támadónak, miközben minden tevékenységének nyomát elrejti.
Hogyan működik egy rootkit?
A rootkitek úgy működnek, hogy mélyen beágyazzák magukat a rendszerbe, gyakran a normál alkalmazások szintje alá — és néha még magát az operációs rendszert is megelőzve. Több típusuk létezik:
- A felhasználói módú rootkitek az alkalmazások szintjén futnak. Elfogják a rendszerhívásokat, és manipulálják az operációs rendszer által a biztonsági szoftvereknek visszaadott eredményeket, így a rosszindulatú folyamatok láthatatlanná válnak.
- A kernel módú rootkitek az operációs rendszer magjában működnek. Ezek jóval veszélyesebbek, mivel ugyanolyan szintű megbízhatósággal rendelkeznek, mint maga az operációs rendszer, lehetővé téve az alapvető rendszerviselkedés megváltoztatását.
- A bootkit rootkitek a Master Boot Record-ot (MBR) fertőzik meg, még az operációs rendszer indulása előtt töltődnek be. Ez rendkívül nehézzé teszi felderítésüket és eltávolításukat.
- A firmware rootkitek a hardver firmware-ébe ágyazódnak be — például a hálózati kártyáéba vagy a BIOS-ba. Ezek túlélhetnek egy teljes operációs rendszer újratelepítést, sőt, akár egy merevlemez-cserét is.
- A hipervizor rootkitek teljes egészében az operációs rendszer alatt helyezkednek el, a legitim operációs rendszert virtuális gépként futtatják, miközben láthatatlan irányítást tartanak fenn.
A rootkitek jellemzően adathalász e-maileken, rosszindulatú letöltéseken, kihasznált szoftversebezhetőségeken vagy ellátási lánc elleni támadásokon keresztül jutnak be a rendszerbe. Telepítés után módosítják az operációs rendszert, hogy elrejtsék fájljaikat, folyamataikat és hálózati kapcsolataikat minden, a gépen futó eszköz elől.
Miért fontos ez a VPN-felhasználók számára?
Ezen a ponton válik a helyzet igazán aggasztóvá. A VPN az adatforgalmat az átvitel közben védi — titkosítja az adatokat az eszközöd és a VPN-szerver között. A rootkit azonban az eszközödön működik, még a titkosítás előtt.
Ha rootkit van telepítve a rendszeredre, a támadó képes:
- Ellopni a VPN-belépési adataidat még a titkosítás előtt, hozzáférést szerezve ezzel a VPN-fiókodhozp
- Naplózni a billentyűleütéseidet és képernyőtevékenységedet, látva mindent, amit begépelsz — beleértve jelszavakat, üzeneteket és pénzügyi adatokat
- Elfogni a visszafejtett forgalmat, miután az kilép a VPN-alagútból és megérkezik az eszközöd alkalmazásrétegébe
- Csendesen letiltani a kill switch-et vagy a VPN-klienst, így kiszolgáltatva a valódi IP-címedet anélkül, hogy bármilyen riasztást váltana ki
- Átirányítani a DNS-lekérdezéseket vagy módosítani a hálózati beállításokat a VPN alatt, DNS-szivárgást okozva anélkül, hogy a VPN-szoftver tudomást szerezne róla
Röviden: a rootkit teljesen aláaknázza azt a biztonsági modellt, amelyre a VPN épül. A VPN azt feltételezi, hogy az eszköz, amelyen fut, megbízható. A rootkit ezt a feltételezést semmissé teszi.
Valós példák
2005-ben a Sony BMG hírhedten olyan zenei CD-ket forgalmazott, amelyek rootkitet telepítettek Windows számítógépekre a DRM érvényesítése érdekében — elrejtette magát az operációs rendszer elől, és súlyos biztonsági réseket hozott létre, amelyeket később más kártevők is kihasználtak. Újabban kifinomult, állami szintű fenyegetési szereplők telepítettek firmware szintű rootkiteket újságírók, aktivisták és kormányzati célpontok ellen — pontosan azok ellen, akik erősen támaszkodnak a VPN-re a védelem érdekében.
Hogyan védekezz?
- Tartsd naprakészen az operációs rendszeredet, a firmware-t és az összes szoftvert, hogy bezárd a sebezhetőségeket, mielőtt a rootkitek kihasználhatnák azokat
- Használj megbízható végpontvédelmi eszközöket, amelyek rootkit-észlelést is tartalmaznak (nem csupán hagyományos víruskeresőt)
- Indíts egy megbízható külső meghajtóról, és végezz offline vizsgálatot — sok rootkit képes megtéveszteni az eszközön futó szkennereket
- Firmware rootkit fertőzés esetén fontold meg a hardvercsere lehetőségét
- Légy elővigyázatos: kerüld a gyanús letöltéseket, engedélyezd a kétfaktoros hitelesítést, és ne kattints ismeretlen hivatkozásokra
A VPN egy hatékony adatvédelmi eszköz, de az alapja, amelyre épül, az eszközbiztonság. Egy feltört eszköz feltört adatvédelmet jelent — kivétel nélkül.