Rootkit: невидима загроза, що ховається у вашій системі
Що таке rootkit?
Rootkit — одна з найнебезпечніших і найприхованіших форм шкідливого програмного забезпечення з усіх існуючих. На відміну від звичайного вірусу, який виявляє себе через очевидні збої, rootkit створено спеціально для того, щоб залишатися непоміченим. Його єдина мета — надати зловмиснику постійний, глибокий контроль над вашим пристроєм, і ви ніколи не дізнаєтесь про його присутність.
Назва походить від слова "root" — найвищого рівня адміністративних привілеїв у системах на базі Unix — та слова "kit", що означає набір інструментів для його досягнення. Разом rootkit надає зловмиснику доступ рівня root, приховуючи при цьому будь-які сліди його діяльності.
Як працює rootkit?
Rootkit впроваджується глибоко у вашу систему, часто на рівні, недоступному для звичайних застосунків, — а іноді навіть нижче самої операційної системи. Існує кілька різновидів:
- Rootkit у режимі користувача працює на рівні застосунків. Він перехоплює системні виклики та маніпулює результатами, які операційна система повертає засобам безпеки, роблячи шкідливі процеси невидимими.
- Rootkit у режимі ядра функціонує в основі операційної системи. Він значно небезпечніший, оскільки має такий самий рівень довіри, що й сама ОС, і може змінювати фундаментальну поведінку системи.
- Bootkit-rootkit інфікує головний завантажувальний запис (MBR) і завантажується ще до запуску операційної системи. Це робить його надзвичайно важким для виявлення та видалення.
- Rootkit мікропрограмного забезпечення вбудовується у прошивку апаратного забезпечення — наприклад, мережевої карти або BIOS. Він може пережити повне перевстановлення ОС і навіть заміну жорсткого диска.
- Гіпервізорний rootkit розташовується повністю під операційною системою, запускаючи легітимну ОС як віртуальну машину і зберігаючи при цьому невидимий контроль.
Rootkit зазвичай потрапляє на пристрій через фішингові електронні листи, шкідливі завантаження, вразливості програмного забезпечення або атаки на ланцюжок постачання. Після встановлення він модифікує ОС, щоб приховати свої файли, процеси та мережеві з'єднання від усіх інструментів, що працюють на машині.
Чому це важливо для користувачів VPN?
Саме тут ситуація стає по-справжньому тривожною. VPN захищає ваш трафік під час передачі — він шифрує дані між вашим пристроєм і VPN-сервером. Але rootkit діє на вашому пристрої, ще до того, як відбудеться шифрування.
Якщо на вашій системі встановлено rootkit, зловмисник може:
- Перехопити ваші облікові дані VPN до їх шифрування, отримавши доступ до вашого VPN-акаунта
- Фіксувати натискання клавіш і активність на екрані, бачачи все, що ви вводите, включно з паролями, повідомленнями та фінансовими даними
- Перехоплювати розшифрований трафік після того, як він покидає VPN-тунель і надходить на рівень застосунків вашого пристрою
- Непомітно вимкнути kill switch або VPN-клієнт, розкривши вашу справжню IP-адресу без жодних сповіщень
- Перенаправляти DNS-запити або змінювати мережеві налаштування під рівнем VPN, спричиняючи витоки DNS без відома VPN-програмного забезпечення
Коротко кажучи, rootkit повністю підриває модель безпеки, на яку спирається VPN. VPN передбачає, що пристрій, на якому він працює, є надійним. Rootkit руйнує це припущення.
Реальні приклади
У 2005 році компанія Sony BMG сумно прославилася тим, що постачала музичні CD-диски, які встановлювали rootkit на комп'ютери з Windows для захисту DRM. Він приховував себе від ОС і створював серйозні вразливості безпеки, якими згодом скористалося інше шкідливе програмне забезпечення. Пізніше вишукані зловмисники, що діють в інтересах держав, розгортали rootkit рівня мікропрограмного забезпечення проти журналістів, активістів і державних осіб — саме тих людей, які значною мірою покладаються на VPN для захисту.
Як захистити себе
- Регулярно оновлюйте ОС, мікропрограмне забезпечення та все програмне забезпечення, щоб усунути вразливості до того, як ними скористаються rootkit
- Використовуйте надійні засоби захисту кінцевих точок із функцією виявлення rootkit, а не лише стандартний антивірус
- Завантажуйтеся з довіреного зовнішнього носія та виконуйте офлайн-сканування — багато rootkit здатні обманювати сканери, що запущені на самому пристрої
- Сприймайте зараження rootkit рівня мікропрограмного забезпечення як ситуацію, що потенційно вимагає заміни апаратного забезпечення
- Будьте пильні: уникайте підозрілих завантажень, увімкніть двофакторну автентифікацію та не натискайте на невідомі посилання
VPN — потужний інструмент для забезпечення конфіденційності, але безпека пристрою — це фундамент, на якому він ґрунтується. Скомпрометований пристрій означає скомпрометовану конфіденційність — без жодних винятків.