Rootkit nedir?
Rootkit, kendisini ve saldırganın faaliyetlerini işletim sisteminden ve güvenlik araçlarından gizlemek üzere tasarlanmış kötü amaçlı yazılımdır. Genellikle sistemde yüksek yetkiyle çalışır ve süreçleri, dosyaları ve ağ bağlantılarını görünmez kılabilir.
Adı, Unix sistemlerde en yüksek yetkili hesap olan “root” ve araç takımı anlamındaki “kit” sözcüklerinden gelir. Amacı erişimi kalıcı ve fark edilmez kılmaktır.
Nasıl çalışır?
Rootkit, işletim sisteminin bilgi verme yöntemlerini değiştirir. Örneğin süreç listesini veya dizin içeriğini gösteren çağrıları kancalayarak (hooking) kendi kayıtlarını çıktıdan çıkarır. Kullanıcı alanında, çekirdek düzeyinde ya da daha derinde (önyükleme bileşenleri) çalışan türleri vardır.
Çekirdek düzeyindeki rootkitler tespit etmesi en zor olanlardır; çünkü sistemin kendisine güvenilemez hâle gelir. Bu yüzden harici ve çevrimdışı doğrulama gerekebilir.
Sunucu ve hosting ortamında
Rootkit kurmak için saldırganın genellikle root yetkisi elde etmesi gerekir; bu nedenle kurulum, yetki yükseltmenin ardından gelen bir aşamadır. Linux sunucularda değiştirilmiş sistem komutları, çekirdek modülleri ve paylaşımlı kütüphane kancaları görülebilir.
- Beklenmeyen çekirdek modülleri ve değişmiş sistem ikilileri tipik işaretlerdir.
- Sistem içinden bakıldığında normal görünse de, dışarıdan ağ trafiği tutarsız olabilir.
- Paket yöneticisinin dosya doğrulama özellikleri değişmiş dosyaları ortaya çıkarabilir.