80.0 KB · ⇊ 24 parts · ⤓ Micron 80.0 KB · ⤓ HTML 168.9 KB

top

Il mwawrootkit è un insieme di mwbasoftware, tipicamente mwbqmalevoli, realizzati per ottenere l'accesso a un computer, o a una parte di esso, che non sarebbe altrimenti possibile (per esempio da parte di un utente non autorizzato a effettuare l'autenticazione). Questi software, oltre a garantire tali accessi, si preoccupano di mascherare se stessi o altri programmi utili per raggiungere lo scopo. Il termine inglese "rootkit" deriva dalla concatenazione di due termini: "mwbgroot", che indica, tradizionalmente, l'utente con i maggiori permessi nei sistemi mwbwsimil-Unix, e "kit", che si riferisce al software che implementa lo strumento. Il termine "rootkit" assume spesso una connotazione negativa, perché generalmente associato a un mwcamalwarecite-ref-0-1-0[1].

L'installazione di un mwdgrootkit può essere automatizzata, oppure un attaccante mwdw(mweacracker) può installarla personalmente una volta ottenuti i mweqpermessi di root o l'accesso come amministratore. Ottenere questo tipo di accesso può essere il risultato di un attacco diretto verso il sistema sfruttando, per esempio, una vulnerabilità nota (come mwegPrivilege Escalation) o scoprendo una mwewpassword (ottenuta tramite mwfaCracking o mwfqIngegneria Sociale). Una volta installato il Rootkit, è importante mantenere nascosta l'intrusione così da poter mantenere i privilegi ottenuti. La chiave di questo attacco sta quindi nei permessi di root o Amministratore. Con questi permessi è possibile avere un controllo completo del sistema, questo include anche modificare software, compreso quello nato per rilevarli e bloccarli (come gli antivirus).

Rilevare un Rootkit può essere complicato, perché la prima preoccupazione di questi software è bloccare i programmi che possono trovarli. I metodi per rilevare rootkit includono l'utilizzo di un sistema operativo alternativo e fidato, metodi di analisi comportamentale (behavioral-based methods), signature scanning, analisi dei dump della memoria (memory dump). La rimozione può essere davvero complicata se non quasi impossibile, specialmente nei casi in cui il rootkit risiede nel kernel; formattare la macchina e reinstallare il sistema operativo potrebbe essere l'unica soluzione possibilecite-ref-2[2]. Quando però si ha a che fare con dei rootkit nel firmware, la rimozione potrebbe richiedere la sostituzione di parti hardware, oppure l'utilizzo di strumenti specializzati.

• Storia

• Lo scandalo rootkit sulla protezione copie della Sony BMG

• Lo scandalo delle intercettazioni greche nel 2004-05

• Utilizzi

• Tipologie

• Modalità utente

• Modalità Kernel

• Hypervisor Level

• Firmware and hardware

• Installazione e occultamento

• Rilevazione

• Alternative trusted medium

• Behavioral-based

• Signature-based

• Difference-based

• Integrity checking

• Memory dump

• Rimozione

• Disponibilità Pubblica

• Difesa

• Rootkit famosi

• Note

• Voci correlate

• Altri progetti

• Collegamenti esterni

Il termine rootkit o root kit originariamente si riferiva ad un insieme di software di amministrazione, per sistemi operativi mwhgUnix-like modificati a scopo malevolo, per ottenere i privilegi da utente "mwhwroot"cite-ref-1-3-0[3]. Se un intruso è in grado di rimpiazzare i tool di amministrazione standard di un sistema con un rootkit, allora può ottenere non solo l'accesso come utente "root", ma allo stesso tempo può nascondere le sue attività al vero amministratore di sistema.

Questa prima tipologia di rootkit era facile da rilevare tramite l'utilizzo di strumenti quali Tripwire che non erano stati compromessi, per accedere alle stesse informazionicite-ref-4[4]cite-ref-5-5-0[5]. Lane Davis e Steven Dake hanno scritto il primo rootkit conosciuto, nel 1990, per i sistemi SunOs UNIX della mwlgSun Microsystemcite-ref-6[6]. Nel 1983, nella conferenza tenutasi per il mwmwpremio Turing, mwnaKen Thompson dei Laboratori Bell, uno dei creatori di mwnqUnix, ha teorizzato un compilatore C alterato nelle distribuzioni Unix, e ne ha discusso l'mwngexploit. Il compilatore modificato avrebbe rilevato i tentativi di compilare i comandi Unix di mwnwlogin e generato, di conseguenza, del codice alterato che avrebbe accettato non solo la password corretta dell'utente, ma una password addizionale di “mwoabackdoor”, conosciuta solo dall'attaccante. Inoltre il compilatore alterato avrebbe rilevato tentativi di compilare una nuova versione del compilatore stesso, inserendo così lo stesso exploit in quello nuovo. Una revisione del codice sorgente del comando di login o l'aggiornamento del compilatore non avrebbe rivelato nessun codice malevolocite-ref-7[7]. Questo exploit era l'equivalente di un rootkit.

Il primo mwpgvirus, che attaccava mwpwpersonal computer, documentato, risale al 1986 ed utilizzava una tecnica di occultamento per nascondersi: il virus mwqaBrain intercettava i tentativi di leggere il settore di avvio e li reindirizzava ad altre parti dell'hard disk, dove era mantenuta una copia del boot originalecite-ref-0-1-1[1]. Con il passare del tempo i metodi di occultamento dei virus DOS divennero più sofisticati, con tecniche avanzate che includevano l'aggancio (hooking) di chiamate mwrginterrupt INT 13H di basso livello del BIOS, per nascondere modifiche non autorizzare ai filecite-ref-0-1-2[1].

Il primo rootkit malevolo per mwtqWindows NTcite-ref-2-8-0[8] è apparso nel 1999: un mwugtrojan chiamato NTRootkit creato da Greg Hoglund. Il caso è stato seguito da HackerDefender nel 2003. Il primo rootkit a bersagliare un sistema Mac OS X è apparso nel 2009cite-ref-9[9], mentre il mwvwworm mwwaStuxnet è stato il primo a colpire un mwwqPLCcite-ref-10[10].

Nel 2005 mwyaSony BMG ha pubblicato dei mwyqCD con dei software per la protezione contro la copia e di mwywgestione dei diritti digitali chiamato Extended Copy Protection, creato dalla società di software First 4 Internet. Il software includeva un lettore musicale il quale di nascosto installava un rootkit che limitava la capacità dell'utente di accedere al discocite-ref-11[11].

L'ingegnere informatico Mark Russinovich, il quale aveva creato un tool di rilevamento rootkit chiamato RootkitRevealer, ha scoperto il problema in uno dei suoi computercite-ref-0-1-3[1]. Lo scandalo che ne è derivato, ha aumentato la consapevolezza del pubblico riguardo ai Rootkitcite-ref-12[12].

Per occultarsi, il rootkit si nascondeva in ogni file che iniziava con “$sys$”. Appena dopo la segnalazione di Russinovich, sono apparsi diversi malware che sfruttavano questa vulnerabilità che affliggeva i sistemi interessati.

Un analista della mwdgBBC lo ha chiamato “public relations nightmare”cite-ref-13[13] (incubo delle pubbliche relazioni). Sony BGM ha rilasciato delle mwewpatch per cancellare il rootkit, ma queste hanno esposto gli utenti ad una vulnerabilità ancora più seriacite-ref-14[14]. La società infine si è vista costretta a ritirare i CD. Negli USA è stata intentata una mwgaclass-action contro Sony BGMcite-ref-15[15].

Il caso delle intercettazioni greche nel 2004-05, anche noto come Greek Watergatecite-ref-16[16], riguardava le intercettazioni illegali di oltre 100 telefoni cellulare della rete Vodafone greca, questi telefoni appartenevano per lo più a membri del governo e funzionari pubblici di alto livello. Le intercettazioni cominciarono circa ad agosto 2004 e andarono avanti fino a marzo 2005, senza che l'identità dei colpevoli venisse mai scoperta. Gli intrusi installarono un rootkit che aveva come bersaglio l'AXE telephone exchange della Ericssoncite-ref-3-17-0[17]. In accordo con la IEEE Spectrum, questo è stato il primo attacco rootkit mai osservato su un sistema special-pourpose, in questo caso la centrale telefonica Ericsson. Il rootkit è stato progettato per modificare la memoria di scambio, mentre stava operando, abilitando così le intercettazioni, mentre disabilitava i registri di controllo, modificava inoltre i comandi che elencavano i mwkaprocessi e i blocchi di dati attivi e interveniva sul comando di verifica del blocco dati di mwkqchecksum. Una backdoor consentiva ad un operatore, con i permessi da amministratore di sistema, di disattivare il mwkglog delle transazioni della centrale, gli allarmi e i comandi di accesso relativi alla sorveglianzacite-ref-3-17-1[17]. Il rootkit venne scoperto in seguito ad un aggiornamento errato che causava la mancata consegna degli SMS, il quale generava un rapporto di errore automatico. Gli ingegneri della Ericsson furono chiamati ad investigare sul problema, e scoprirono così dei blocchi di dati nascosti contenenti le liste dei numeri di telefono da sorvegliare, insieme al rootkit e al software di monitoraggio illecito.

I rootkit moderni non si preoccupano più di elevare i permessicite-ref-1-3-1[3], ma piuttosto mascherano il caricamento di un altro software aggiungendo funzioni per renderlo invisibilecite-ref-2-8-1[8]. La maggior parte dei rootkit sono classificati come mwoqmalware, perché sono legati a software malevolo. Per esempio il carico (payload) che si porta dietro un rootkit potrebbe segretamente rubare le password dell'utente, informazioni sulle carte di credito, risorse dal computer oppure potrebbe svolgere attività non autorizzate. Un numero ridotto di rootkit può essere utile all'utente: per esempio, potrebbe mascherare un driver di emulazione dei CD-ROM, permettendo di superare le misure anti-pirateria di un mwowvideogioco che richiedono, ad esempio, di inserire il CD nell'apposito lettore per verificare l'autenticità del programma (questa misura di protezione potrebbe risultare fastidiosa anche a chi ha legalmente comprato il software).

I rootkit con il loro mwpqpayload, possono avere diversi utilizzi:

• Forniscono all'attaccante un accesso non autorizzato e completo tramite backdoor, con lo scopo, per esempio, di rubare o falsificare documenti. Uno dei possibili metodi per raggiungere tale scopo è quello di alterare il meccanismo di login, che per i sistemi mwqaUNIX-like può essere il programma /bin/login oppure GINA per i sistemi Windows. Il sostituto sembra funzionare normalmente, ma accetta anche una combinazione di login (username e password) segreta che permette all'attaccante un accesso diretto al sistema con privilegi di amministratore, bypassando così l'autenticazione standard e i meccanismi di autorizzazione.

• Nascondere altri malware, in particolar modo i mwqwkeyloggers in grado di rubare password e i virus informaticicite-ref-18[18].

• Si appropriano della macchina compromessa rendendola un mwsqcomputer zombie per poterla così sfruttare per attacchi ad altri computer (l'attacco parte dal computer zombie invece che direttamente dal computer dell'attaccante, rendendo così molto difficile, se non impossibile, rintracciare l'autore. I computer “zombie” fanno tipicamente parte di una vasta mwsgbotnet che può lanciare attacchi di tipo DDoS (mwswDistributed Denial of Service), mwtaspam di mwtqmail distribuito, click fraud, ecc.

• Forzatura dei mwuaDRM (Digital Rights Management)

In alcuni casi i rootkit forniscono funzionalità desiderate, e possono essere installati intenzionalmente dall'utente sul proprio computer:

• Programmi di occultamento dei mwvacheats nei giochi online, per evitare software come mwvqWardencite-ref-19[19].

• Scovare attacchi, per esempio, con un mwwwhoneypotcite-ref-20[20].

• Software di emulazione avanzata e di sicurezzacite-ref-21[21]. mwzqAlcohol 120% e mwzgDaemon Tools sono esempi di rootkit commerciali non ostili usati per superare i sistemi di protezione dalla copia come SafeDisc o SecuROM. Anche il software antivirus Kaspersky usa tecniche che lo fanno assomigliare ad un rootkit per proteggere sé stesso da azioni malevole. Infatti lui carica dei suoi mwzwdrivers per intercettare le attività di sistema ed impedire che queste vadano a danneggiarlo. I suoi processi non sono nascosti ma non possono essere terminati con metodi standard (Può essere terminato tramite Process Hacker)

• Protezione antifurto: I portatili possono avere un software rootkit a livello di BIOS che periodicamente riferiscono ad una autorità centrale, permettendo così di monitorare, cancellare o rendere inaccessibili le informazioni sulla macchina in caso di furtocite-ref-22[22].

• Bypassare il Microsoft Product Activationcite-ref-23[23]

Esistono almeno 5 tipi di rootkit, che vanno da quelli a livello più basso nel firmware (con i privilegi più alti), fino a quello con i privilegi minori, cioè a livello utente, che operano nell'anello 3. Esistono combinazioni ibride che possono combinare, per esempio, la modalità utente e la modalità kernelcite-ref-8-24-0[24].

I rootkit in modalità utente lavorano nell'anello 3, insieme alle altre applicazioni dell'utente, piuttosto che a livello più basso con i processi di sistemacite-ref-6-25-0[25]. Hanno diversi possibili vettori di installazione per intercettare e modificare il comportamento standard delle mw6wapplication programming interfaces (mw7aAPIs). Alcuni iniettano delle mw7qdynamically linked library (come ad esempio dei file .DLL su windows, o dei file .dylib nei sistemi Mac OS X) negli altri processi, e da qui sono in grado di eseguire all'interno di ogni processo bersaglio, nascondendo queste librerie; altri, se i loro permessi sono sufficienti, semplicemente sovrascrivono la memoria dell'applicazione bersaglio. I meccanismi di injection includono:

• L'utilizzo di estensioni delle applicazioni, fornite dal produttore stesso. Per esempio, mw8aWindows Explorer ha delle interfacce pubbliche che permettono a terze parti di estenderne le funzionalità

• Intercettazione di messaggi

• mw8wDebugger

• Sfruttamento di vulnerabilità di sicurezza

• Hooking delle funzioni o patch delle API usate più comunemente, ad esempio, per nascondere un processo in esecuzione o un file all'interno del file systemcite-ref-26[26].

«…fino a quando le applicazioni in modalità utente eseguiranno solo nel loro spazio riservato, il rootkit avrà bisogno di modificare lo spazio di memoria di ogni singola applicazione. Inoltre, il rootkit ha bisogno di monitorare il sistema per scoprire ogni nuova applicazione che esegue e modificare anche la sua memoria, solo così potrà eseguire in maniera ottimale.»

(Window Rootkit Overview, Symantec)

I rootkit in modalità mw-gkernel (kernel-mode) lavorano con i privilegi più alti nel sistema operativo (anello 0), avendo così la possibilità di aggiungere codice o rimpiazzare porzioni fondamentali del sistema operativo, che comprendono sia il kernel, sia i driver dei dispositivi associati. La maggior parte dei sistemi operativi consentono ai driver dei dispositivi di operare in modalità kernel, quindi di lavorare con gli stessi privilegi del sistema operativo stesso. Per questa ragione molti rookit in kernel-mode sono sviluppati come driver per dispositivi o moduli caricabili, come quelli per il kernel (loadable kernel modules) su sistemi Linux o driver per dispositivi su sistemi Windows. Questa classe di rootkit ha un accesso completo senza restrizioni di sicurezza, ma sono molto più difficili da svilupparecite-ref-4-27-0[27]. La loro elevata complessità rende i bug abbastanza comuni ed un qualunque bug a livello kernel può avere un pesante impatto sulla stabilità del sistema, portando così alla scoperta del rootkitcite-ref-4-27-1[27]. Uno dei più noti rootkit a livello kernel è stato sviluppato per Windows NT 4.0 e pubblicato sulla rivista mwaqgPhrack da Greg Hoglund nel 1999cite-ref-28[28]cite-ref-29[29]cite-ref-30[30].

I rootkit di questo tipo possono essere particolarmente ostici da trovare e rimuovere in quanto operano allo stesso livello di sicurezza del sistema operativo e sono quindi in grado di intercettare e sovvertire anche operazioni trusted (fidate) del sistema operativo. Qualunque software, come ad esempio un mwarcantivirus, che opera su un sistema compromesso è anch'esso vulnerabilecite-ref-31[31]. In una situazione di questo tipo, nessun componente del sistema operativo può essere ritenuta affidabile.

Un rootkit può modificare strutture dati nel kernel di Windows usando un metodo conosciuto come DKOM (direct kernel object manipulation)cite-ref-32[32]. Questo sistema può essere usato per nascondere processi. Un rootkit in mwasikernel mode può poi agganciare la System Service Descriptor Table (SSDT), o modificare le “porte” per passare da user-mode a kernel-mode per nascondersicite-ref-1-3-2[3]. In modo del tutto analogo nei sistemi Linux, un rootkit può modificare la mwascsystem call table per intervenire sulle funzionalità del kernelcite-ref-33[33]. Non è raro che un rootkit crei un file system nascosto e criptato nel quale nascondere altri malware o le copie originali dei file infettaticite-ref-34[34].

I sistemi operativi si stanno evolvendo per far fronte alla minaccia dei rootkit in modalità kernel. Per esempio, le versioni 64 bit di Microsoft Windows ora implementano una firma obbligatoria per tutti i drivers che operano sullo stesso livello del kernel, in modo da rendere molto più difficile, per il codice non verificato, eseguire con privilegi così alticite-ref-35[35].

Una variante del rootkit in kernel-mode è il bootkit, il quale può infettare il codice di avvio, come il mwatcMaster boot record (MBR), Volume Boot Record(VBR) oppure il mwatksettore di boot ed in questo modo può essere usato per attaccare sistemi full disk encryption, ovvero sistemi con hard disk completamente criptati. Un esempio è l'“Evil Maid Attack”, nel quale l'attaccante installa il bootkit su un pc incustodito e rimpiazza il boot loader originale con un altro sotto al suo controllo. Tipicamente il loader del malware sopravvive al passaggio attraverso il mwatsprotected mode, quando il kernel è già stato caricato ed è quindi in grado di scavalcare questa protezionecite-ref-36[36]cite-ref-37[37]cite-ref-38[38]cite-ref-39[39]. Per esempio lo “Stoned Bootkit” riesce a sovvertire il sistema utilizzando un mwauwboot loader compromesso in grado di intercettare le chiavi di cifratura e le passwordcite-ref-40[40]. Più recentemente l'Alureon rootkit è riuscito a superare con successo la protezione su mwaveWindows 7, basata sulla firma dei driver, per evitare rootkit in kernel-mode nelle architetture a 64 bit. Questo risultato è stato ottenuto mediante la modifica del mwavimaster boot recordcite-ref-41[41]. Altri malware, anche se non intesi come qualcosa che compie azioni indesiderate dall'utente, possono essere alcuni “Vista Loader” o “Windows Loader” che lavorano in maniera molto simile, iniettando una mwavctabella ACPI SLIC (System Licensed Internal Code) nella versione caricata in RAM del BIOS durante il boot, in modo tale da scavalcare il processo di attivazione di Windows Vista e Windows 7cite-ref-42[42]. Questo vettore di attacco è stato reso inutile nelle versioni (non server) di mwav0Windows 8, il quale usa una chiave unica, specifica per ogni macchina, in ogni sistema. La chiave può essere utilizzata solo sulla macchina a cui appartienecite-ref-43[43].

L'unica difesa nota contro i bootkit è la prevenzione contro gli accessi fisici alla macchina non autorizzati, un problema per i dispositivi portatili, oppure l'utilizzo di un mwawmTrusted Platform Module configurato per proteggere i file di avviocite-ref-44[44].

I rootkit sono stati creati come Type II mwawoHypervisors, in ambito accademico, come mwawsproof of concept (prova del concetto). Sfruttando le funzionalità di virtualizzazione, come mwawwIntel VT o mwaw0AMD-V, questo tipo di rootkit opera nell'Anello-1 e ospita il sistema operativo di destinazione come una mwaw4macchina virtuale, in tal modo autorizzano il rootkit ad intercettare le chiamate di sistema fatte dal sistema operativo originalecite-ref-5-5-1[5]. Diversamente dai normali Hypervisors, loro non devono essere caricati prima del sistema operativo. Un Hypervisor Rootkit non ha bisogno di effettuare alcuna modifica al kernel del bersaglio per attaccarlo; questo però non significa che non possa essere scoperto dal sistema operativo ospitecite-ref-5-5-2[5]. Per esempio le differenze nelle tempistiche possono essere scoperte da istruzioni della mwaxcCPUcite-ref-5-5-3[5]. Il rootkit “SubVirt” sviluppato in laboratorio congiuntamente da mwaxwMicrosoft e dai ricercatori della mwax0Università del Michigan, è un esempio accademico di rootkit basato su macchina virtuale (VMBR- Virtual Machine Based Rootkit)cite-ref-45[45], mentre Blue Pill ne è un altro esempio.

Nel 2009 i ricercatori di Microsoft e della North Carolina State University hanno mostrato il funzionamento di un hypervisor-layer anti-rootkit chiamato Hooksafe, che fornisce una protezione generica contro i rootkit in modalità kernelcite-ref-46[46].

Windows 10 introduce una nuova feature chiamata “Device Guard”, la quale sfrutta la virtualizzazione per fornire una protezione esterna indipendente al sistema operativo contro malware di tipo rootkitcite-ref-47[47].

Un mway4firmware rootkit utilizza il firmware del dispositivo o della piattaforma per creare un'immagine persistente del malware in un dispositivo hardware, come ad esempio in un mway8router, una mwazascheda di retecite-ref-48[48], un mwazudisco rigido o il BIOS del sistemacite-ref-6-25-1[25]cite-ref-49[49]. Il rootkit si nasconde nel firmware, in quanto spesso non ne viene controllata l'integrità del codice. John Heasman ha dimostrato la fattibilità dei firmware rootkit sia nelle routine del firmware mwaz4ACPIcite-ref-50[50] sia nelle schede di espansione PCI della mwaamROMcite-ref-51[51].

Nell'Ottobre del 2008, dei criminali hanno manomesso dei lettori di carte di credito Europee, prima che fossero installate. I dispositivi intercettavano e trasmettevano i dati delle carte attraverso una rete di telefonia mobilecite-ref-52[52]. Nel marzo 2009, i ricercatori Alfredo Ortega e Anibal Sacco hanno pubblicato i dettagli di un rootkit a livello BIOS per sistemi Windows, in grado di resistere alla sostituzione dell'hard disk o alla reinstallazione del sistema operativocite-ref-53[53]cite-ref-54[54]cite-ref-55[55]. Alcuni mesi dopo hanno scoperto che alcuni portatili erano venduti con un rootkit legittimo, conosciuto come Absolute CompuTrace o Absolute LoJack for Laptops, preinstallato in molti BIOS. Questo rootkit è un sistema anti-furto, ma i ricercatori hanno dimostrato che può essere facilmente utilizzato per scopi malevoli.

Intel Active Management Technology, parte di Intel vPro, implementa un'out-of-band management, il quale fornisce agli amministratori una amministrazione remota, una gestione remota e controllo remoto dei pc, senza alcun coinvolgimento del processore del sistema ospite o del BIOS, anche quando il sistema è spento. L'amministrazione remota include uno spegnimento o una accensione remota, reset, ridirezione del boot, ridirezione della console, accesso pre-boot alle impostazioni del BIOS, filtri configurabili per il traffico di rete in uscita e in ingresso, controllo della presenza, avvisi out-of-band basati su delle policy, accesso alle informazioni del sistema come ad esempio la configurazione hardware, log degli eventi persistente e altre informazioni che sono conservate in una memoria dedicata (non sull'hard disk), accessibile anche a pc spento o se il sistema operativo non è avviato. Alcune di queste funzioni richiedono un rootkit del livello più profondo e un secondo computer spia non removibile è costruito attorno al pc principale. Sandy Bridge e i chipset futuri hanno "l'abilità di uccidere e ripristinare da remoto un PC, perso o rubato, utilizzando il 3G”. I rootkit hardware impiantati nel mwab4chipset possono aiutare nel recupero di PC rubati, rimuovere dati o renderli inutili, ma rappresentano anche un problema di privacy e sicurezza, in quanto si trattano a tutti gli effetti di spie irrintracciabili e un hacker potrebbe ottenere il controllo della macchina da remoto.

I rootkit impiegano varie tecniche per prendere il controllo di un sistema; il tipo di rootkit va ad influire sulla scelta del vettore di attacco. La tecnica più comune è quella di fare leva su una mwacevulnerabilità di sicurezza per ottenere un aumento dei privilegi non desiderato. Un altro approccio è quello che utilizza un mwacitrojan, ingannando l'utente di un computer facendogli credere che l'installazione del rootkit è in realtà un'installazione benignacite-ref-4-27-2[27] — in questo caso è la social engineering a convincere l'utente che l'installazione è benefica. Il compito di installazione è ancora più semplice se il mwaccprincipio del privilegio minimo non viene applicato, poiché in questo caso il rootkit non deve richiedere esplicitamente dei permessi elevati (livello amministratore). Altre classi di rootkit possono essere installate solamente da qualcuno con accesso fisico al sistema bersaglio. Alcuni rootkit possono anche essere installati intenzionalmente dal proprietario del sistema o da qualcun altro autorizzato dal proprietario, con lo scopo, ad esempio, di monitorare gli impiegati, rendendo le tecniche sovversive inutilicite-ref-56[56].

L'installazione di rootkit malevoli è commercialmente guidata, con un metodo di compensazione pay-per-install tipico per la distribuzionecite-ref-57[57]cite-ref-58[58].

Una volta installato un rootkit prende misure attive per oscurare la sua presenza all'interno del sistema ospite attraverso la sovversione o l'evasione degli strumenti standard di sicurezza del sistema e delle API usate per la diagnosi, scansione e monitoraggio. I rootkit ottengono questo con la modifica del comportamento delle parti fondamentali di un sistema operativo attraverso il caricamento di codice nei processi, l'installazione o la modifica di drivers o moduli kernel. Le tecniche di offuscamento includono il nascondere i processi in esecuzione ai meccanismi di monitoraggio del sistema e nascondere i file di sistema e altri dati di configurazionecite-ref-59[59]. Non è raro per un rootkit disabilitare la capacità di event logging di un sistema operativo, nel tentativo di nascondere le prove di un attacco. I Rootkit possono, in teoria, sovvertire ogni attività del sistema operativocite-ref-7-60-0[60]. Il “rootkit perfetto” può essere pensato come il “crimine perfetto”: quello che nessuno si rende conto che ha avuto luogo.

I rootkit inoltre prendono una serie di misure, oltre alla installazione nel Ring 0 (kernel-mode), per assicurarsi la loro sopravvivenza contro il rilevamento e la pulizia da parte di software antivirus. Questo include il mwaeipolimorfismo, tecniche di occultamento, rigenerazione, blocco di software anti-malwarecite-ref-61[61] e la non installazione su macchine virtuali, nelle quali sono più facili da scoprire e analizzare per i ricercatori.

Il problema fondamentale nella scoperta dei rootkit è che il sistema operativo stesso viene compromesso, specialmente dai rootkit a livello kernel, esso quindi non è attendibile per quanto riguarda la ricerca di modifiche non autorizzate a se stesso o ai suoi componenticite-ref-7-60-1[60]. Azioni come richiedere una lista di processi in esecuzione, o una lista di file nelle directory, non sono affidabili, le risposte potrebbero non essere quelle previste. In altre parole, i programmi che identificano rootkit che lavorano mentre il sistema infetto è in esecuzione, sono efficaci solo contro i rootkit che hanno qualche difetto nel loro occultamento, o che operano con privilegi più bassi rispetto al programma incaricato di scoprirli. Come con i mwae0virus, la scoperta e l'eliminazione dei rootkit è una lotta costante tra le due particite-ref-7-60-2[60].

La identificazione può utilizzare diversi approcci differenti, incluse firme (es. Software Antivirus), check di integrità (es. mwafmfirme digitali), rilevamento basato su differenze (es. risultato del confronto atteso vs risultati effettivi) e rilevamento comportamentale (es. monitoraggio dell'utilizzo della CPU o del traffico di rete). Per i rootkit in kernel mode, la scoperta è da considerarsi più complessa, essa richiede infatti un'attenta analisi della System Call Table alla ricerca di hooked function dove il malware potrebbe compromettere il comportamento del sistemacite-ref-62[62] oppure l'analisi della memoria alla ricerca di pattern che indicano processi nascosti.

I software per il rilevamento dei rootkit su sistemi Unix includono Zeppocite-ref-63[63], chrootkit, rkhunter, e OSSEC. Su ambiente Windows, i software di questo tipo sono Microsoft Sysinternals, RootkitRevealercite-ref-64[64], mwagyAvast! Antivirus, mwagcSophos Anti-Rootkitcite-ref-65[65], mwagwF-Securecite-ref-66[66], Radixcite-ref-67[67], GMERcite-ref-68[68] e WindowsSCOPE. Ogni software di questo tipo, con la scoperta di nuovi malware, migliora la sua stessa efficacia, ma allo stesso modo gli autori dei malware adattano e testano il loro codice per evitare di essere scoperti dagli strumenti più noti.

La scoperta attraverso un esame della memoria, mentre il sistema operativo preso in esame non sta operando, può mancare i rootkit non conosciuti dal software utilizzato, in quanto neanche il rootkit sta operando e quindi non sono rilevati i comportamenti sospetti. I software anti-malware convenzionali, che operano insieme al rootkit, potrebbero fallire se il rootkit si nasconde in modo efficace.

Il metodo migliore e più affidabile per la scoperta dei rootkit che operano a livello del sistema operativo è quello di spegnere il computer sospetto e fare un check della sua mwah4memoria di archiviazione attraverso l'avvio di un alternative trusted medium (es. un CD di recupero, una chiave USB)cite-ref-69[69]. La tecnica è efficace perché il rootkit non può nascondere in maniera attiva la sua presenza, dato che non è in esecuzione.

L'approccio behavioral based per scovare i rootkit tenta di dedurre la presenza di un rootkit, cercando un comportamento rootkit-like. Per esempio può profilare il sistema alla ricerca di differenze nelle tempistiche e nella frequenza della chiamate API, oppure può analizzare l'utilizzo generale della CPU. Questo metodo è complesso e si ha un'alta incidenza di falsi positivi. Rootkit difettosi possono generare cambiamenti molto evidenti per un sistema: il rootkit Alureon blocca i sistemi Windows dopo che un aggiornamento di sicurezza ha portato alla luce un errore di progettazione nel suo codicecite-ref-70[70]cite-ref-71[71].

I log di un packet analyzer, di un firewall, o di un sistema di prevenzione delle intrusioni possono evidenziare la presenza di un rootkit in ambiente di rete.

Gli antivirus raramente trovano tutti i virus nei test pubblici (a seconda di ciò che viene utilizzato e in quale misura), anche se i produttori di questi software incorporano dei rootkit detector nei loro prodotti. Se un rootkit prova a nascondersi durante una scansione antivirus, lo stealth detector potrebbe accorgersene; se il rootkit prova a rimuoversi temporaneamente dal sistema, il signature detector (o “impronta digitale”) può ancora trovarlo. Questo approccio combinato obbliga l'attaccante a implementare dei meccanismi di contrattacco, o “retro” routine che tentano di interrompere i programmi antivirus. I metodi di rivelazione signature-based possono essere efficaci con rootkit ben noti, ma lo sono molto meno con rootkit creati apposta per una specifica vittima, i custom-root rootkitcite-ref-7-60-3[60].

Un altro metodo in grado di scoprire rootkit compara dei dati grezzi “fidati” con il contenuto “contaminato” restituito da una mwajyAPI. Per esempio, i mwajcfile binari presenti nel disco possono essere confrontati con le loro copie all'interno della memoria operativa (in alcuni sistemi operativi, l'immagine in memoria dovrebbe essere identica alla versione su disco), altrimenti con il risultato restituito dal mwajgfile system oppure dalle mwajkAPI del mwajoregistro di sistema può essere controllato tramite le strutture grezze nei dischi fisici sottostanticite-ref-7-60-4[60]cite-ref-72[72] —però, nel primo caso, possono essere introdotte alcune importanti variazioni da parte di alcuni meccanismi del sistema operativo come il mwakmmemory relocation o lo mwakqshimming. Un rootkit può scoprire la presenza di diversi difference-based scanner o mwakumacchine virtuali (quest'ultimo viene comunemente usato per eseguire analisi forensi), e modificare il suo comportamento in modo tale che non venga rilevata alcuna differenza. La rilevazione Difference-based è stata usata da Russinovich per trovare il Sony DRM rootkitcite-ref-0-1-4[1].

La firma del codice utilizza la struttura della mwalichiave pubblica per verificare se il file ha subito modifiche dopo essere stato mwalmfirmato digitalmente dal produttore. In alternativa il proprietario o l'amministratore del sistema può usare una mwalqfunzione crittografica di hash per calcolare l'“impronta digitale” al momento dell'installazione che può aiutare a scoprire successive modifiche non autorizzate alle librerie sul discocite-ref-73[73]. Però, i sistemi meno sofisticati controllano solo se il codice è stato modificato dopo il momento della installazione; eventuali modifiche prima di questo momento non vengono rilevate. L'impronta digitale dovrà essere ristabilita ogni volta che vengono apportate modifiche importanti al sistema: per esempio, dopo aver installato aggiornamenti di sicurezza o mwalkservice pack. La funzione di hash crea un messaggio digest, ovvero un codice relativamente corto, calcolato a partire da ogni singolo bit nel file, utilizzando un algoritmo che genera grossi cambiamenti in conseguenza ad una modifica, anche minima, nel file originale. Ricalcolando e confrontando i messaggi digest del file installato ad intervalli regolari con un elenco di messaggi fidati, i cambiamenti nel sistema possono essere scoperti e monitorati —purché la baseline originale sia stata creata prima dell'introduzione del malware. I rootkit più sofisticati sono in grado di compromettere il sistema di verifica presentando una copia non modificata del file durante l'ispezione, o attuando le modifiche al codice solo in memoria anziché su hard-disk. Questa tecnica quindi può essere efficace solo contro i rootkit poco sofisticati —per esempio, quelli che rimpiazzano i file binari di Unix, come “ls”, per nascondere la presenza di file.

In modo analogo, la scoperta nel mwalsfirmware può essere ottenuta calcolando l'hash del firmware e comparandolo con una whitelist di valori attesi, oppure estendendo i valori di hash nel registro di configurazione del mwalwTrusted Platform Module (TPM) che vengono poi comparati, anche in questo caso, ad una whitelist di valori attesicite-ref-74[74]. Il codice che esegue l'hash, compara o estende le operazioni deve essere protetto —in questo contesto, la nozione di immutable root-of-trust sostiene che il primo codice per misurare le proprietà di sicurezza di un sistema, deve essere esso stesso attendibile per garantire che un rootkit o un bootkit non compromettano il sistema al suo livello più fondamentalecite-ref-75[75].

Forzare un dump completo della mwamcmemoria virtuale, o un mwamgdump del kernel (nel caso di un rootkit in kernel-mode) può catturare un rootkit attivo, permettendo così un'analisi forense attuata tramite un mwamkdebugger applicato al file di dump, senza che il rootkit sia in grado di utilizzare alcuna misura per nascondersi. Questa tecnica è altamente specializzata, e può essere necessario l'accesso a mwamocodice sorgente non pubblico o debugging symbols. I dump della memoria avviati dal sistema operativo non sempre possono essere usati per scoprire un hypervisor-based rootkit, il quale è in grado di intercettare e compromettere i tentativi a livello più basso e di leggere la memoria —in uno scenario di questo tipo potrebbe essere necessario un dispositivo hardware, come ad esempio uno che implementa un mwamwnon-maskable interrupt, per effettuare il dump della memoriacite-ref-76[76]cite-ref-77[77]. Anche le macchine virtuali rendono più facile l'analisi della memoria di una macchina compromessa dal hypervisor sottostante, per questo motivo alcuni rootkit evitano di infettare macchine virtuali.

La rimozione manuale di un rootkit è spesso troppo complessa per un utente medio, ma molti software di sicurezza contengono tool specifici per la loro ricerca e rimozione, tipicamente questi tool fanno parte delle suite antivirus. A partire dal 2005, lo strumento Microsoft di rimozione malware per Windows è in grado di rilevare e rimuovere diversi tipi di rootkitcite-ref-78[78]cite-ref-79[79]. Alcuni scanner antivirus possono bypassare le API del mwaoafile system, le quali sono vulnerabili alla manipolazione da parte dei rootkit, e accedere direttamente alle strutture dati grezze del file system usando queste informazioni per validare i risultati delle API del sistema e individuare così eventuali differenze che possono essere indicative della presenza di un rootkitcite-ref-80[80]cite-ref-81[81]cite-ref-82[82]cite-ref-83[83].

Ci sono esperti che credono che l'unica via affidabile per rimuovere un rootkit sia reinstallare il sistema operativo tramite un mezzo fidato (trusted)cite-ref-9-84-0[84]cite-ref-85[85]. Questo perché gli antivirus e gli antimalware operano su un sistema non fidato e potrebbero quindi rivelarsi loro stessi inefficaci contro rootkit in kernel-mode ben scritti. Avviare un sistema operativo alternativo tramite un trusted media può consentire una pulizia sicura del sistema infetto e una copia dei dati critici —o, in alternativa, di eseguire un'analisi forensecite-ref-8-24-1[24]. I sistemi operativi leggeri quali Windows PE, Windows Recovery Console, Windows Recovery Environment, mwap4BartPE o le Distro Live possono essere utilizzate per questo proposito, permettendo così una pulizia del sistema.

Anche se il tipo e la natura del rootkit sono noti, un intervento manuale potrebbe essere poco pratico, mentre reinstallare il sistema operativo e le applicazioni è più sicuro, semplice e velocecite-ref-9-84-1[84].

Come molti malware utilizzati dagli attaccanti, così anche molte implementazioni di rootkit sono condivise e facilmente reperibili in rete. Non è raro vedere un sistema compromesso nel quale un rootkit sofisticato e disponibile pubblicamente nasconde la presenza di un mwaqyworm molto più semplice oppure tool di attacco apparentemente scritti da programmatori inesperticite-ref-8-24-2[24].

La maggior parte dei rootkit disponibili in rete sono nati come exploit o come “mwaqwproof of concept" accademici per dimostrare la veridicità di metodi per nascondere qualcosa all'interno del sistema di un computer oppure per prendere il controllo di essocite-ref-86[86]. Spesso hanno sistemi per nascondersi non ottimizzati, talvolta infatti lasciano prove involontarie della loro presenza. Comunque, nonostante questo, quando sono utilizzati per un attacco, si rivelano comunque efficaci il più delle volte. Altri rootkit con feature di keylogging come GameGuard sono installati insieme a giochi online.

Il system mwarqhardening rappresenta il primo strato di difesa contro i rootkit, impedendo direttamente l'installazionecite-ref-87[87]. Applicare patch di sicurezza, applicare il mwarkprincipio del privilegio minimo, ridurre la mwarosuperficie di attacco e installare software antivirus sono le migliori e più comuni pratiche di difesa contro tutti i tipo di malwarecite-ref-88[88].

Le nuove specifiche di avvio sicuro come mwasaUnified Estensibile Firmware Interface sono state progettate per affrontare la minaccia dei bootkit, ma anche queste si rivelano inefficaci se le caratteristiche di sicurezza che offrono non vengono utilizzate.

Per i sistemi server vengono utilizzate tecnologie come la mwasiTrusted Execution Technology (TXT) di Intel, la quale fornisce un sistema per validare questi server che rimangono così in uno stato fidato. Per esempio, Microsoft mwasmBitlocker cripta i data-at-rest convalidando i server che sono in uno stato fidato all avvio.

PrivateCore Cage è un software che protegge i data-in-use (memoria), per evitare rootkit e bootkit, convalidando i server che si trovano in uno stato riconosciuto come “buono” all'avvio.

Tra i più noti si possono annoverare FU, NT Rootkit e mwasoLinkOptimizer.

Un particolare tipo di rootkit è presente anche nel sistema operativo (versione 3.56 o superiori) della mwaswPlayStation 3. Questo è stato introdotto da mwas0Sony con l'aggiornamento alla versione 3.56 del firmware e serve a prevenire l'accesso a mwas4PlayStation Network delle console modificate, con successivo ban dell'mwas8Indirizzo MAC della loro scheda di rete.

cite-note-0-11. ↑ mwat4McAfee, mwat8Proven Security 2006, in mwauamwauehttps://web.archive.org/web/20060823090948/http://www.mcafee.com/us/local_content/white_papers/threat_center/wp_akapoor_rootkits1_en.pdf.

cite-note-22. ↑ mwauu(mwauymwaucEN) mwaugmwaukRootkit Removal from a Windows System, su mwauoTechnibble, 25 ottobre 2011. mwausURL consultato l'8 giugno 2016.

cite-note-1-33. ↑ mwavmSymantec, mwavqWindows rootkit overview, mwavuhttps://www.symantec.com/avcenter/reference/windows.rootkit.overview.pdf.

cite-note-44. ↑ mwavkSparks, Sherri; Butler, Jamie (2005-08-01), mwavoRaising The Bar For Windows Rootkit Detection.

cite-note-5-55. ↑ mwawqMyers, Michael; Youndt, Stephen (2007-08-07), mwawuAn Introduction to Hardware-Assisted Virtual Machine (HVM) Rootkits.

cite-note-66. ↑ mwawk(mwawomwawsEN) Rory Bray, Daniel Cid e Andrew Hay, mwawwmwaw0OSSEC Host-Based Intrusion Detection Guide, Syngress, 9 aprile 2008, mwaw4ISBNmwaw8 978-0-08-055877-6. mwaxeURL consultato l'8 giugno 2016.

cite-note-77. ↑ mwaxuThompson, Ken (August 1984), mwaxyReflections on Trusting Trust, in mwaxcmwaxghttps://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf.

cite-note-2-88. ↑ mwax4(mwax8mwayaEN) Greg Hoglund e James Butler, mwayemwayiRootkits: Subverting the Windows Kernel, Addison-Wesley Professional, 1º gennaio 2006, mwaymISBNmwayq 978-0-321-29431-9. mwayyURL consultato l'8 giugno 2016.

cite-note-99. ↑ mwayomwaysAdvanced OSX Rootkits, in mwaywmway0https://www.blackhat.com/presentations/bh-usa-09/DAIZOVI/BHUSA09-Daizovi-AdvOSXRootkits-SLIDES.pdf.

cite-note-1010. ↑ mwazemwazimwazmStuxnet Introduces the First Known Rootkit for Industrial Control Systems, su mwazqSymantec Security Response. mwazuURL consultato l'8 giugno 2016.

cite-note-1111. ↑ mwazkmwazomwazsXCP.Sony.Rootkit - CA Technologies, su mwazwca.com, 18 agosto 2010. mwaz0URL consultato l'8 giugno 2016 mwaz4(archiviato dall'mwaz8url originale il 18 agosto 2010).

cite-note-1212. ↑ mwa0mmwa0qmwa0uSony, Rootkits and Digital Rights Management Gone Too Far, su mwa0yMark's Blog. mwa0cURL consultato l'8 giugno 2016.

cite-note-1313. ↑ mwa0smwa0wmwa00Sony's long-term rootkit CD woes, in mwa04BBC, 21 novembre 2005. mwa08URL consultato l'8 giugno 2016.

cite-note-1414. ↑ mwa1mmwa1qmwa1uSony's Web-Based Uninstaller Opens a Big Security Hole; Sony to Recall Discs, su mwa1yfreedom-to-tinker.com. mwa1cURL consultato l'8 giugno 2016.

cite-note-1515. ↑ mwa1s(mwa1wmwa10EN) Will Knight, mwa14mwa18Sony BMG sued over cloaking software on music CD, su mwa2aNew Scientist. mwa2eURL consultato l'8 giugno 2016.

cite-note-1616. ↑ mwa2umwa2yGreek Watergate, in mwa2cmwa2ghttp://www.tiscali.co.uk/news/newswire.php/news/reuters/2006/02/03/odd/34greekwatergate34scandalsendspoliticalshockwaves.html.

cite-note-3-1717. ↑ mwa24mwa28mwa3aThe Athens Affair, su mwa3eIEEE Spectrum: Technology, Engineering, and Science News. mwa3iURL consultato l'8 giugno 2016 mwa3m(archiviato dall'mwa3qurl originale il 21 settembre 2012).

cite-note-1818. ↑ mwa3gmwa3kmwa3oUnearthing Root Kits, su mwa3swindowsitpro.com. mwa3wURL consultato l'8 giugno 2016 mwa30(archiviato dall'mwa34url originale il 18 settembre 2012).

cite-note-1919. ↑ mwa4iApple patches critical iTunes bug, mwa4mmwa4qWorld of Warcraft hackers using Sony BMG rootkit, su mwa4utheregister.co.uk. mwa4yURL consultato l'8 giugno 2016.

cite-note-2020. ↑ mwa4omwa4sUsing Rootkit Technology for Honeypot-Based Malware Detection, in mwa4wmwa40http://www.vividmachines.com/download/icsicceid.pdf.

cite-note-2121. ↑ mwa5emwa5imwa5mUsing Rootkits to Defeat Digital Rights Managementmwa5y, su mwa54Mark's Blog. mwa58URL consultato l'8 giugno 2016.

cite-note-2222. ↑ mwa6mmwa6qDeactivate the Rootkit: Attacks on BIOS anti-theft technologies, in mwa6umwa6yhttps://www.blackhat.com/presentations/bh-usa-09/ORTEGA/BHUSA09-Ortega-DeactivateRootkit-PAPER.pdf.

cite-note-2323. ↑ mwa6oPeter Kleissner, mwa6smwa6wPeter Kleissner (mwa60mwa64PDF), su mwa68stoned-vienna.com. mwa7aURL consultato l'8 giugno 2016 mwa7e(archiviato dall'mwa7iurl originale il 18 giugno 2012).

cite-note-8-2424. ↑ mwa7o(mwa7smwa7wEN) Steven Anson e Steve Bunting, mwa70mwa74Mastering Windows Network Forensics and Investigation, John Wiley & Sons, 2 aprile 2007, mwa78ISBNmwa8a 978-0-470-09762-5. mwa8iURL consultato l'8 giugno 2016.

cite-note-6-2525. ↑ mwa8gmwa8kRootkits Part 2: A Technical Primer, in mwa8omwa8shttps://web.archive.org/web/20081205031526/http://www.mcafee.com/us/local_content/white_papers/wp_rootkits_0407.pdf.

cite-note-2626. ↑ mwa88mwa9amwa9e.:: Phrack Magazinemwa9i ::., su mwa9mphrack.org. mwa9qURL consultato l'8 giugno 2016.

cite-note-4-2727. ↑ mwa9wmwa90understanding anti-malware technologies, in mwa94mwa98https://download.microsoft.com/download/a/b/e/abefdf1c-96bd-40d6-a138-e320b6b25bd3/understandingantimalwaretechnologies.pdf.

cite-note-2828. ↑ mwa-mmwa-qmwa-u.:: Phrack Magazinemwa-y ::., su mwa-cphrack.org. mwa-gURL consultato l'8 giugno 2016.

cite-note-2929. ↑ mwa-wAlisa Shevchenko, mwa-0mwa-4Rootkit Evolution, su mwa-8Help Net Security, 1º settembre 2008. mwa-aURL consultato l'8 giugno 2016.

cite-note-3030. ↑ mwa-qmwa-uAn overview of Unix Rootkits, in mwa-ymwa-chttp://www.megasecurity.org/papers/Rootkits.pdf.

cite-note-3131. ↑ mwa-smwa-wmwa-0Windows rootkits of 2005, part two | Symantec Connect, su mwa-4symantec.com. mwa-8URL consultato l'8 giugno 2016.

cite-note-3232. ↑ mwbammwbaqmwbauWindows rootkits of 2005, part one | Symantec Connect, su mwbaysymantec.com. mwbacURL consultato l'8 giugno 2016.

cite-note-3333. ↑ mwbasmwbawmwba0Detecting Rootkits And Kernel-level Compromises In Linux | Symantec Connect, su mwba4symantec.com. mwba8URL consultato l'8 giugno 2016.

cite-note-3434. ↑ mwbbmmwbbqZeroAccess – an advanced kernel mode rootkit, in mwbbumwbbyhttp://pxnow.prevx.com/content/blog/zeroaccess_analysis.pdf.

cite-note-3535. ↑ mwbbomwbbsmwbbwDriver Signing Requirements for Windows - Windows 10 hardware dev, su mwbb0microsoft.com. mwbb4URL consultato l'8 giugno 2016.

cite-note-3636. ↑ mwbcimwbcmmwbcqSecurity Tools | eEye Digital Security, su mwbcueeye.com, 17 agosto 2013. mwbcyURL consultato l'8 giugno 2016 mwbcc(archiviato dall'mwbcgurl originale il 17 agosto 2013).

cite-note-3737. ↑ mwbcwmwbc0mwbc4"Evil Maid" Attacks on Encrypted Hard Drives - Schneier on Security, su mwbc8schneier.com. mwbdaURL consultato l'8 giugno 2016.

cite-note-3838. ↑ mwbdqmwbdumwbdyVBootkit:Compromising Windows Vista security (mwbdcmwbdgPDF), su mwbdkblackhat.com.

cite-note-3939. ↑ mwbd0mwbd4mwbd8BOOT KIT: Custom boot sector based Windows 2000/XP/2003 Subversion - NVlabs | Analyzing Security, su mwbeanvlabs.in, 10 giugno 2010. mwbeeURL consultato l'8 giugno 2016 mwbei(archiviato dall'mwbemurl originale il 10 giugno 2010).

cite-note-4040. ↑ mwbecPeter Kleissner, mwbegmwbekPeter Kleissner, su mwbeostoned-vienna.com. mwbesURL consultato l'8 giugno 2016.

cite-note-4141. ↑ mwbe8Exploit Code, mwbfamwbfeWorld's most advanced rootkit penetrates 64-bit Windows, su mwbfitheregister.co.uk. mwbfmURL consultato l'8 giugno 2016.

cite-note-4242. ↑ mwbfcmwbfgmwbfkWindows Loader. Get the software safe and easy., su mwbfoSoftware Informer. mwbfsURL consultato l'8 giugno 2016.

cite-note-4343. ↑ mwbf8Android, mwbgamwbgeMicrosoft tightens grip on OEM Windows 8 licensing, su mwbgitheregister.co.uk. mwbgmURL consultato l'8 giugno 2016.

cite-note-4444. ↑ mwbgc(mwbggmwbgkEN) Joel Scambray, mwbgomwbgsHacking Exposed Windows: Microsoft Windows Security Secrets and Solutions, Third Edition: Microsoft Windows Security Secrets and Solutions, Third Edition, McGraw Hill Professional, 25 dicembre 2007, mwbgwISBNmwbg0 978-0-07-159669-5. mwbg8URL consultato l'8 giugno 2016.

cite-note-4545. ↑ mwbhmmwbhqmwbhu2006 IEEE Symposium on Security and Privacy, su mwbhycomputer.org mwbhc(archiviato dall'mwbhgurl originale l'11 settembre 2014).

cite-note-4646. ↑ mwbhwmwbh0Countering Kernel Rootkits with Lightweight Hook Protection, in mwbh4mwbh8http://research.microsoft.com/en-us/um/people/wdcui/papers/hooksafe-ccs09.pdf.

cite-note-4747. ↑ mwbimmwbiqmwbiuDevice Guard overview (Windows 10), su mwbiymsdn.microsoft.com. mwbicURL consultato l'8 giugno 2016.

cite-note-4848. ↑ mwbismwbiwCloser to metal: Reverse engineering the Broadcom NetExtreme’s firmware, in mwbi0mwbi4http://esec-lab.sogeti.com/dotclear/public/publications/10-hack.lu-nicreverse_slides.pdf.

cite-note-4949. ↑ mwbji(mwbjmmwbjqEN) mwbjumwbjyHacking Team Uses UEFI BIOS Rootkit to Keep RCS 9 Agent in Target Systems - TrendLabs Security Intelligence Blog, su mwbjcTrendLabs Security Intelligence Blog, 13 luglio 2015. mwbjgURL consultato l'8 giugno 2016.

cite-note-5050. ↑ mwbjwmwbj0mwbj4Implementi and detecting an ACPI BIOS Rootkit (mwbj8mwbkaPDF), su mwbkeblackhat.com.

cite-note-5151. ↑ mwbkumwbkyImplementing and Detecting a PCI Rootkit, in mwbkcmwbkghttp://www.ngsconsulting.com/research/papers/Implementing_And_Detecting_A_PCI_Rootkit.pdf.

cite-note-5252. ↑ mwbkwIbm, mwbk0mwbk4Organized crime tampers with European card swipe devices, su mwbk8theregister.co.uk. mwblaURL consultato l'8 giugno 2016.

cite-note-5353. ↑ mwblqmwbluPersistent BIOS infection, in mwblymwblchttps://cansecwest.com/csw09/csw09-sacco-ortega.pdf.

cite-note-5454. ↑ mwblsExploit Code, mwblwmwbl0Newfangled rootkits survive hard disk wiping, su mwbl4theregister.co.uk. mwbl8URL consultato l'8 giugno 2016.

cite-note-5555. ↑ mwbmmmwbmqmwbmu.:: Phrack Magazinemwbmy ::., su mwbmcphrack.org. mwbmgURL consultato l'8 giugno 2016.

cite-note-5656. ↑ mwbmwJohn Wiley & Sons, mwbm0Professional Rootkits, 2007, p.mwbm4 244, mwbm8ISBNmwbna 978-0-470-14954-6.

cite-note-5757. ↑ mwbnumwbnyTDL3: The Rootkit of All Evil?, in mwbncmwbnghttps://www.eset.com/resources/white-papers/TDL3-Analysis.pdf.

cite-note-5858. ↑ mwbnwmwbn0mwbn4IT Security Resources| News, Whitepapers & Videos | ESET | ESET (mwbn8mwboaPDF), su mwboeeset.com. mwboiURL consultato l'8 giugno 2016 mwbom(archiviato dall'mwboqurl originale il 29 luglio 2015).

cite-note-5959. ↑ mwbogmwbokmwbooUSENIX | The Advanced Computing Systems Association, su mwbosusenix.org. mwbowURL consultato l'8 giugno 2016.

cite-note-7-6060. ↑ mwbpgmwbpkHacking Exposed Malware & Rootkits (Chapter10), in mwbpomwbpshttp://www.mhprofessional.com/downloads/products/0071591184/0071591184_chap10.pdf.

cite-note-6161. ↑ mwbp8mwbqaTrlokom Rootkit Defense White Paper, in mwbqemwbqihttp://www.trlokom.com/pdf/TrlokomRootkitDefenseWhitePaper.pdf.

cite-note-6262. ↑ mwbqymwbqcSANS Institute InfoSec Reading Room. Kernel Rootkits, in mwbqgmwbqkhttps://web.archive.org/web/20120910164327/http://www.sans.org:80/reading_room/whitepapers/threats/kernel-rootkits_449.

cite-note-6363. ↑ mwbq0mwbq4mwbq8zeppoo, su mwbraSourceForge. mwbreURL consultato l'8 giugno 2016.

cite-note-6464. ↑ mwbrumwbrymwbrcRootkitRevealer, su mwbrgtechnet.microsoft.com. mwbrkURL consultato l'8 giugno 2016.

cite-note-6565. ↑ mwbr0mwbr4mwbr8Anti-Rootkit Scanner | Free Rootkit Detection and Removal Tool | Sophos Virus Protection, su mwbsasophos.com. mwbseURL consultato l'8 giugno 2016.

cite-note-6666. ↑ mwbsumwbsymwbscF-Secure UK and Ireland | Switch on Freedom, su mwbsgf-secure.com. mwbskURL consultato l'8 giugno 2016 mwbso(archiviato dall'mwbssurl originale il 21 settembre 2012).

cite-note-6767. ↑ mwbs8mwbtamwbteRadix, su mwbtiusec.at mwbtm(archiviato dall'mwbtqurl originale il 21 settembre 2012).

cite-note-6868. ↑ mwbtgmwbtkmwbtoGMER - Rootkit Detector and Remover, su mwbtsgmer.net. mwbtwURL consultato l'8 giugno 2016.

cite-note-6969. ↑ mwbuatesting_methodology_for_rootkit_removal, mwbueTesting methodology for rootkit removal, in mwbuimwbumhttps://www.symantec.com/avcenter/reference/testing_methodology_for_rootkit_removal.pdf.

cite-note-7070. ↑ mwbucmwbugmwbukTidserv and MS10-015, su mwbuoSymantec Security Response. mwbusURL consultato l'8 giugno 2016.

cite-note-7171. ↑ mwbu8mwbvamwbveRestart issues after installing MS10-015, su mwbviMSRC. mwbvmURL consultato l'8 giugno 2016.

cite-note-7272. ↑ mwbvcYi-Min Wang, mwbvgmwbvkThe Strider GhostBuster Project, su mwbvoresearch.microsoft.com. mwbvsURL consultato l'8 giugno 2016 mwbvw(archiviato dall'mwbv0url originale il 29 luglio 2012).

cite-note-7373. ↑ mwbwemwbwimwbwmSigning and Checking Code with Authenticode (Windows), su mwbwqmsdn.microsoft.com. mwbwuURL consultato l'8 giugno 2016.

cite-note-7474. ↑ mwbwk(mwbwomwbwsEN) mwbwwmwbw0Stopping Rootkits at the Network Edge | Trusted Computing Group (mwbw4mwbw8PDF), su mwbxaTrusted Computing Group, 1º giugno 2009. mwbxeURL consultato l'8 giugno 2016.

cite-note-7575. ↑ mwbxumwbxyTCG PC Specific Implementation Specification, Version 1.1, in mwbxcmwbxghttps://www.trustedcomputinggroup.org/files/resource_files/87B92DAF-1D09-3519-AD80984BBE62D62D/TCG_PCSpecificSpecification_v1_1.pdf.

cite-note-7676. ↑ mwbxwmwbx0mwbx4https://support.microsoft.com/en-us/kb/927069, su mwbx8support.microsoft.com. mwbyaURL consultato l'8 giugno 2016.

cite-note-7777. ↑ mwbyqSeshadri, Arvind; et al, mwbyuPioneer: Verifying Code Integrity and Enforcing Untampered Code Execution on Legacy Systems, 2005.

cite-note-7878. ↑ mwbyk(mwbyomwbysEN) mwbywmwby0Rootkit battle: Rootkit Revealer vs. Hacker Defender, su mwby4SearchEnterpriseDesktop. mwby8URL consultato l'8 giugno 2016.

cite-note-7979. ↑ mwbzmmwbzqmwbzuhttps://support.microsoft.com/en-us/kb/890830, su mwbzysupport.microsoft.com. mwbzcURL consultato l'8 giugno 2016.

cite-note-8080. ↑ mwbzsSteve Hultquist, mwbzwmwbz0Rootkits: The next big enterprise threat?, su mwbz4InfoWorld. mwbz8URL consultato l'8 giugno 2016.

cite-note-8181. ↑ mwbammwbaqmwbauSecurity Watch: Rootkits for fun and profit - CNET Reviews, su mwbayreviews.cnet.com, 8 ottobre 2012. mwbacURL consultato l'8 giugno 2016 mwbag(archiviato dall'mwbakurl originale l'8 ottobre 2012).

cite-note-8282. ↑ mwba0mwba4mwba8Six ways to fight back against botnets, su mwbbaPCWorld. mwbbeURL consultato l'8 giugno 2016 mwbbi(archiviato dall'mwbbmurl originale il 23 maggio 2016).

cite-note-8383. ↑ mwbbcmwbbgmwbbkHandling Today's Tough Security Threats: Rootkits, su mwbboSymantec Security Response. mwbbsURL consultato l'8 giugno 2016.

cite-note-9-8484. ↑ mwbcemwbcimwbcmRootkits: The Obscure Hacker Attack, su mwbcqtechnet.microsoft.com. mwbcuURL consultato l'8 giugno 2016.

cite-note-8585. ↑ mwbckEllen Messmer, mwbcomwbcsExperts divided over rootkit detection and removal, su mwbcwNetwork World. mwbc0URL consultato l'8 giugno 2016.

cite-note-8686. ↑ mwbde(mwbdimwbdmEN) Larry Stevenson e Nancy Altholz, mwbdqmwbduRootkits For Dummies, John Wiley & Sons, 11 dicembre 2006, mwbdyISBNmwbdc 978-0-470-10183-4. mwbdkURL consultato l'8 giugno 2016.

cite-note-8787. ↑ mwbd0(mwbd4mwbd8EN) Ed Skoudis, mwbeamwbeeMalware: Fighting Malicious Code, Prentice Hall PTR, 1º gennaio 2004, mwbeiISBNmwbem 978-0-13-101405-3. mwbeuURL consultato l'8 giugno 2016.

cite-note-8888. ↑ mwbekmwbeoLinux RootKits For Beginners - From Prevention to Removal, in mwbesmwbewhttps://web.archive.org/web/20101024164136/http://www.sans.org:80/reading_room/whitepapers/linux/linux-rootkits-beginners-prevention-removal_901.

• mwbfaKernel

• mwbfiBootkit

• mwbfqRootkits

• mwbfyHost-based intrusion detection system

• mwbfgAttacco man in the middle

* [[The Rootkit Arsenal: Escape and Evasion in the Dark Corners of the System]]

Altri progetti

• Wikimedia Commons

• Wikimedia Commons contiene immagini o altri file sui rootkit

• citerefbritannica-com(EN) rootkit, su Enciclopedia Britannica, Encyclopædia Britannica, Inc.

• mwbf8(EN) mwbgaLa prima segnalazione del rootkit contenuto in alcuni CD audio della mwbgeSony.