Trojaner-Board - Was sind Rootkits?

Was ist ein Rootkit?

Ein Rootkit (englisch etwa: „Administratorenbausatz“; root: Benutzer mit Administratorrechten) ist eine Sammlung von Softwarewerkzeugen, die vorrangig dazu dienen die ferngesteuerte Bedienung (Backdoor) eines Rechners und das Ausspähen installierter Software inklusive Passwörtern zu ermöglichen.

Rootkits erlauben es dem Angreifer, die administrative Kontrolle über einen Rechner zu übernehmen.

Antivirensoftware versucht, die Ursache einer Kompromittierung zu entdecken. Zweck eines Rootkits ist es jedoch, Malware vor den Antivirenprogrammen und dem Benutzer zu verbergen (zu tarnen).

Ist ein Rootkit erst einmal aktiv, so kann es aus dem laufenden System heraus schwierig bis unmöglich sein, die dazugehörigen Prozesse und Dateien ausfindig zu machen, weil das Rootkit im Hintergrund dem System falsche Tatsachen vorgaukelt - ein solches System ist nicht mehr vertrauenswürdig.

Wie kommt ein Rootkit auf den Rechner?

Rootkits können sich nicht selbstständig ausbreiten. Es reicht jedoch nur eine Komponente eines Rootkits, die eine Kombination von Attacken gegen unterschiedliche Schwachstellen eines Systems (meistens Drittsoftware) ausgenutzt wird, um diesen einzuschleusen. Bei dieser Vorgehensweise setzten sich die Rootkits aus folgenden Komponenten zusammen: einem Dropper, einem Loader und dem Rootkit selbst.

Der Dropper ist der Code, der die Rootkit-Installation startet. Um den Dropper zu aktivieren, bedarf es eines Auslöser, z. B.
- Klicken auf einen bösartigen Link in einer eMail,
- Cracks Keygens,
- einer Webseite,
- einem Messenger oder
- das Öffnen eines infizierten PDF-Dokumentes oder
- eines infizierten Bildschirmschoners etc.
  
  Auch vermeintlichen Foto- oder Musikdateien sind eine Gefahrenquelle. Daher sollte man am besten die Datei-Endungen immer einblenden lassen, um das Risiko zu vermindern.

Einmal gestartet setzt der Dropper das Loader-Programm ein und löscht sich dann selbst. Wenn der Loader erstmal aktiv ist, verursacht er einen Buffer-Overflow (Puffer-Überlauf - Überlastung des Speichers), der den Rootkit dann in den Speicher lädt.

Das eigentliche Rootkit kann jetzt ALLES im System ändern.

Hinweis: es gibt nicht nur schädliche Rootkits, sondern durchaus auch Legitime, z. B. in Kopierschutz-Systemen und in jeder VNC-Software.