Руткит скрывает своё присутствие и сохраняет привилегированный доступ. Название происходит от root — наивысшего уровня привилегий в системах Unix, и kit — набора инструментов. Руткит глубоко внедряется в операционную систему. Он может изменять структуры ядра, перехватывать системные вызовы или заменять легитимные бинарные файлы троянизированными версиями. Его цель — оставаться невидимым. Антивирусное программное обеспечение, которое полагается на обнаружение файлов и процессов, не может увидеть, что скрывает руткит.

Руткиты бывают разных видов. Руткиты пользовательского режима перехватывают API, чтобы скрыть свои процессы и файлы. Руткиты режима ядра модифицируют само ядро, что дает им наивысший уровень контроля. Буткиты заражают загрузчик или микропрограмму, поэтому они загружаются до операционной системы и сохраняются после переустановки. Аппаратные руткиты живут в микропрограмме или контроллерах устройств, что делает их чрезвычайно сложными для обнаружения и удаления. Скандал с руткитами Sony BMG в 2005 году показал, как легитимная компания может использовать программное обеспечение, подобное руткитам. Защита от копирования Sony скрывалась от пользователей и создавала уязвимости в системе безопасности. Реакция была крайне негативной. Для обнаружения руткитов требуются специализированные инструменты, которые сравнивают состояние системы с известными рабочими базовыми показателями. Удаление часто означает полное удаление системы и переустановку с нуля. Нельзя доверять машине, к которой был подключен руткит.

Типы руткитов

• Пользовательский режим — перехватывает API для скрытия процессов и файлов.
• Режим ядра — вносит изменения в ядро ​​для обеспечения глубокого контроля.
• Буткит — заражает загрузчик, загружается до операционной системы.
• Прошивка — находится в аппаратном обеспечении и сохраняется после переустановки.

Руткиты — это инструмент, основанный на настойчивости и скрытности. Они не являются первоначальным ударом. Это то, что остается после того, как злоумышленник обосновался в системе.