מהי Rootkit?
Rootkit (רוטקיט) היא סוג של תוכנה זדונית שנועדה לקבל גישה לא מורשית למחשב או לרשת ולהסתיר את נוכחותה
וכן את נוכחותם של תוכנות זדוניות אחרות.
Rootkits הן ערמומיות במיוחד מכיוון שהן פועלות באותה רמה כמו מערכת ההפעלה, לרוב עם הרשאות ברמה גבוהה,
מה שמקשה מאוד על איתור והסרה שלהן.
Rootkits יכולות לשנות את הפונקציונליות של מערכת ההפעלה המארחת, ליירט או לשנות פונקציות מערכת סטנדרטיות
כדי להסתיר פעילויות לא מורשות.
ניתן להשתמש בתוכנות רוטקיט כדי לגנוב מידע, לאפשר שליטה מרחוק או לספק המשך גישה מיוחסת למערכת עבור התוקף.
rootkits מותקנות על ידי ניצול פגיעות אבטחה או באמצעות תוכנות זדוניות אחרות, ולאחר ההתקנה, ניתן להשתמש בהן
כדי להסתיר יומנים, קבצים, חיבורי רשת ותהליכים הרצים הקשורים לפעילויות זדוניות.
איתור והסרה של Rootkits דורשים כלים ושיטות מיוחדים, שכן ייתכן שתוכנת אנטי-וירוס קונבנציונלית לא תוכל לזהות אותם
בשל יכולתם ליירט ולתפעל קריאות למערכת ההפעלה.
מה שונה בין Rootkits לתוכנות זדוניות אחרות?
Rootkits נבדלים מסוגים אחרים של תוכנות זדוניות בעיקר בשיטת הפעולה שלהם ובמטרותיהם.
להלן כמה הבחנות עיקריות:
רמת גישה והתגנבות
Rootkits פועלות ברמה עמוקה בתוך מערכת ההפעלה, לרוב עם גישה ברמת ליבה, המאפשרת להם לתפעל פונקציות הליבה
של מערכת ולהסתיר את נוכחותן ביעילות רבה.
הן מתוכננות להיות חמקניות ויכולות ליירט ולשנות שיחות מערכת, לשנות תהליכי מערכת ולתפעל את התנהגות מערכת ההפעלה
כדי למנוע זיהוי.
תוכנות זדוניות אחרות, כגון וירוסים, תולעים וסוסים טרויאנים, אינן בעלות אותה רמת גישה למערכת ההפעלה.
למרות שהם יכולים להיות הרסניים או לגנוב נתונים, הם בדרך כלל לא משנים או מיירטים פונקציות של מערכת הליבה באותה מידה
שעושה rootkit.
מטרה ופונקציונליות
ערכות Rootkits משמשות בעיקר כדי להסתיר את נוכחות התוקף או פעילויות זדוניות אחרות בתוך המערכת,
מה שהופך את המערכת למשאב מתמשך עבור התוקף.
לרוב הם משמשות ככלי לשמירה על שליטה במערכת ללא ידיעת המשתמש.
לתוכנות זדוניות אחרות עשויות להיות מטרות מיידיות יותר כגון גניבת נתונים, הצפנת נתונים תמורת כופר, או שכפול
להתפשטות למערכות אחרות.
למרות שהן יכולות להיות מוסתרות, הפונקציות העיקריות שלהן לא מתמקדות סביב הסתרה.
קושי בזיהוי והסרה
כידוע קשה לזהות ולהסיר ערכות Rootkits בשל יכולתן ליירט ולתפעל את פעולות מערכת ההפעלה.
הסרת rootkit דורשת כלים מיוחדים ולעיתים עשויה לחייב התקנה מחדש מלאה של מערכת ההפעלה.
בדרך כלל קל יותר לזהות סוגי תוכנות זדוניות אחרות וניתן להסירן בעזרת כלים סטנדרטיים של אנטי וירוס ואנטי תוכנות זדוניות.
התמדה
Rootkits נועדו להישאר מוסתרים במערכת לתקופה ארוכה, ולספק לתוקף גישה ארוכת טווח למערכת.
תוכנות זדוניות אחרות, כמו תולעים או וירוסים, עשויות שלא לכלול מנגנונים שתוכננו במיוחד כדי להשאיר אותן בלתי מזוהות
לתקופות ממושכות, אם כי גרסאות מתקדמות מסוימות עשויות לכלול תכונות התגנבות.
סוגי Rootkits
ניתן לסווג Rootkits לפי הרמה שבה הן פועלות בתוך מערכת מחשוב, ולכל סוג יש את שיטת ההדבקה וההסתרה שלה.
להלן הסוגים הנפוצים ביותר של rootkits:
Kernel-Level Rootkits
Rootkits אלה פועלות עם הרמה הגבוהה ביותר של הרשאות על ידי שילוב או אינטראקציה ישירה עם ליבת מערכת ההפעלה.
הן יכולות לשנות קוד ליבה או מבני נתונים כדי להסתיר את נוכחותם ואת נוכחותם של תוכנות זדוניות אחרות.
ערכות שורש ברמת ליבה הן חזקות ביותר וקשות לזיהוי מכיוון שהן יכולות ליירט ולתפעל פעולות מערכת ברמות הנמוכות ביותר.
User Mode Rootkits
Rootkits של מצב משתמש פועלות במרחב המשתמש עם הרשאות מערכת סטנדרטיות.
הן מיירטות ומשנות את ההתנהגות של קריאות API נפוצות, שבהן יישומים משתמשים כדי ליצור אינטראקציה עם מערכת ההפעלה.
על ידי חיבור של פונקציות אלה, ערכות שורש של מצב משתמש יכולות לשנות את המידע המוחזר למשתמש, הסתרת קבצים,
מפתחות רישום ותהליכים אחרים.
Bootkit Rootkits
Bootkits הן גרסה של rootkits שמדביקות את רשומת האתחול הראשית (MBR) או אזורי קוד אתחול אחרים כמו רשומת האתחול VBR.
הן נטענות לפני שמערכת ההפעלה המלאה מתחילה, מה שמאפשר להן להשתלט על המערכת כבר מתחילת תהליך האתחול,
מה שהופך אותן לחמקניות מאוד וקשות להסרה.
Hardware or Firmware Rootkits
ערכות שורש אלה נמצאות בהתקני חומרה או בקושחה שלהם, כגון ה-BIOS, ערכת השבבים של לוח האם, או אפילו כרטיסי רשת.
מכיוון שהן אינן מאוחסנות בכונן הקשיח, הן יכולות לשרוד התקנה מחדש של מערכת ההפעלה וקשה במיוחד לזהות ולחסל.
הן יכולות לתפעל את המכשיר ברמת החומרה, ליירט נתונים ופקודות.
Hypervisor-Level Rootkits
Rootkits אלה הן סוגי תוכנות זדוניות מתוחכמות אשר טוענות היפרוויזר סורר מתחת למערכת ההפעלה, ובעצם ממקמות את מערכת ההפעלה
במכונה וירטואלית ללא ידיעת המשתמש.
ה-Hypervisor יכול ליירט את כל הפעולות של מערכת ההפעלה האורחת, מה שהופך את סוג ה-rootkit הזה לעוצמתי ביותר וקשה לזיהוי.
Memory Rootkits
אלה פועלות על ידי התיישבות ב-RAM מבלי לכתוב שום חלק מעצמן לדיסק, מה שעוזר להימנע משיטות זיהוי מסורתיות
מבוססות דיסק אנטי וירוס.
הן מבצעות מניפולציות על תהליכים ופונקציות של מערכת ההפעלה בזמן שהמערכת פועלת, אך עשויים שלא להימשך לאחר אתחול
מחדש אלא אם יוזרקו מחדש.
איך ניתן להתגונן מפני Rootkits?
הגנה מפני rootkit כרוכה ביישום שילוב של אמצעי אבטחה פרואקטיביים ותגובתיים.
הנה איך ארגונים יכולים לחזק את ההגנות שלהם מפני האיומים החמקניים האלה:
עדכוני תוכנה וניהול תיקונים
שמרו על כל התוכנות, במיוחד מערכות ההפעלה והיישומים, מעודכנים עם התיקונים העדכניים ביותר.
ערכות שורש רבות מנצלות פגיעויות ידועות שמתוקנות לרוב בעדכוני תוכנה חדשים יותר.
השתמש בפתרונות אבטחה מתקדמים
השתמש בפתרונות אנטי וירוס ואנטי תוכנות זדוניות מקיפים הכוללים יכולות זיהוי Rootkit ספציפיות.
כלים מתקדמים לזיהוי ותגובה של נקודות קצה (EDR) או כלי אנטי-וירוס מהדור הבא (NGAV) יכולים לסייע בזיהוי
והפחתת איומים מתוחכמים כולל ערכות שורש.
תצורה מאובטחת
ודא שהמערכות מוגדרות בצורה מאובטחת.
השבת שירותים מיותרים, השתמש בהגדרות מאובטחות עבור מערכות הפעלה ויישומים, ופעל לפי העיקרון של מינימום הרשאות
על ידי הגבלת הרשאות משתמש כראוי.
פילוח וניטור רשת
פלח את הרשת כדי להגביל את התפשטות הזיהומים.
השתמש בחומת אש כדי לשלוט בתעבורה ולבודד נתונים ומערכות רגישים.
הטמעת מערכות זיהוי חדירה (IDS) ומערכות מניעת חדירה (IPS) כדי לנטר ולנתח את תעבורת הרשת עבור פעילויות חשודות.
הדרכה לעובדים
ערכו מפגשי הכשרה קבועים לעובדים לגבי איומי אבטחת הסייבר העדכניים ביותר ושיטות בטוחות, כגון זיהוי ניסיונות דיוג,
שהם וקטורים נפוצים לאספקת תוכנות זדוניות.
ביקורות אבטחה ובדיקות חדירה רגילות
בצע ביקורות אבטחה ובדיקות חדירה כדי לזהות ולהפחית פגיעויות, תצורות שגויות ובעיות אבטחה פוטנציאליות אחרות
שעלולות להיות מנוצלות על ידי תוקפים כדי להתקין ערכות שורש.
שליטה ומעקב אחר פעילות חשבון המשתמש
הפעל בקרה קפדנית על יצירת חשבון, שינוי ומחיקה.
עקוב אחר פעילויות המשתמש, במיוחד אלה הכרוכות בהרשאות ניהול, כדי לזהות כל פעולות חריגות שעלולות להצביע על rootkit
או זיהום אחר של תוכנות זדוניות.
השתמש בכלי ניטור שלמות
הטמעת כלים המנטרים את תקינות מערכת ההפעלה והקבצים הקריטיים.
כלים כאלה יכולים להתריע בפני מנהלי מערכת אם מתבצעים שינויים לא מורשים, מה שעשוי להצביע על נוכחות של ערכת שורש.
הטמע אתחול מאובטח
השתמש בתכונות אבטחת חומרה וקושחה כמו אתחול מאובטח, שעוזר להבטיח שרק תוכנה מהימנה נטענת במהלך תהליך האתחול
של המערכת, ובכך להגן מפני ערכות אתחול וסוגי רוטקיט אחרים המפעילים את תהליך האתחול.
תוכניות גיבוי והתאוששות מאסון
שמור על גיבויים שוטפים של נתונים קריטיים ותצורות מערכת, וקיים תוכנית התאוששות מאסון איתנה.
זה חיוני לשחזור הפונקציונליות ושלמות הנתונים במקרה של זיהום rootkit הדורש התקנה מחדש של המערכת.
