I rootkit vengono utilizzati dagli hacker per nascondere malware persistente e apparentemente non rilevabile all'interno del tuo dispositivo che ruberà silenziosamente dati o risorse, a volte nel corso di più anni. Possono anche essere utilizzati in modalità keylogger in cui le tue battute e le comunicazioni vengono monitorate fornendo allo spettatore informazioni sulla privacy.  

Questo particolare metodo di hacking ha avuto maggiore rilevanza prima del 2006, prima che Microsoft Vista richiedesse ai fornitori di firmare digitalmente tutti i driver dei computer. La Kernel Patch Protection ( KPP ) ha indotto gli autori di malware a modificare i loro metodi di attacco e solo di recente, a partire dal 2018, con l' operazione di frode pubblicitaria di Zacinlo^{(Zacinlo ad fraud operation)} , i rootkit sono tornati sotto i riflettori.

I rootkit precedenti al 2006 erano tutti specificamente basati sul sistema operativo. La situazione Zacinlo , un rootkit della famiglia di malware Detrahere^{(Detrahere malware)} , ci ha fornito qualcosa di ancora più pericoloso sotto forma di rootkit basato su firmware. Indipendentemente da ciò^(Regardless) , i rootkit rappresentano solo l'uno per cento circa di tutta la produzione di malware rilevata annualmente. 

Anche così, a causa del pericolo che possono presentare, sarebbe prudente capire come funziona il rilevamento dei rootkit che potrebbero essersi già infiltrati nel sistema.

Rilevamento dei rootkit in Windows 10 ( In-Depth )

Zacinlo era effettivamente in gioco da quasi sei anni prima di essere scoperto come bersaglio della piattaforma Windows 10 . Il componente rootkit era altamente configurabile e si proteggeva dai processi ritenuti pericolosi per la sua funzionalità ed era in grado di intercettare e decrittografare le comunicazioni SSL .

Crittografava e archiviava tutti i suoi dati di configurazione all'interno del registro di Windows^{(Windows Registry)} e, mentre Windows si stava spegnendo, si riscriveva dalla memoria al disco utilizzando un nome diverso e aggiornava la sua chiave di registro. Questo lo ha aiutato a eludere il rilevamento da parte del tuo software antivirus standard.

Ciò dimostra che un software antivirus o antimalware standard non è sufficiente per rilevare i rootkit. Tuttavia, ci sono alcuni programmi antimalware di alto livello che ti avviseranno di sospetti di un attacco rootkit. 

I 5 attributi chiave di un buon software antivirus^{(The 5 Key Attributes Of a Good Antivirus Software)}

La maggior parte dei principali programmi antivirus odierni eseguirà tutti e cinque questi metodi notevoli per rilevare i rootkit.

• Analisi basata sulle firme^{(Signature-based Analysis)} : il software antivirus confronterà i file registrati con le firme note dei rootkit. L'analisi cercherà anche modelli comportamentali che imitano alcune attività operative di rootkit noti, come l'uso aggressivo delle porte.
• Rilevamento delle intercettazioni^{(Interception Detection)} : il sistema operativo Windows utilizza tabelle di puntatori per eseguire comandi noti per richiedere l'azione di un rootkit. Poiché i rootkit tentano di sostituire o modificare qualsiasi cosa considerata una minaccia, questo avviserà il tuo sistema alla loro presenza.
• Confronto dei dati multi-sorgente^{(Multi-Source Data Comparison)} : i rootkit^(Rootkits) , nel tentativo di rimanere nascosti, possono alterare alcuni dati presentati in un esame standard. I risultati restituiti dalle chiamate di sistema di alto e basso livello possono rivelare la presenza di un rootkit. Il software può anche confrontare la memoria di processo caricata nella RAM con il contenuto del file sul disco rigido.
• Controllo di integrità^{(Integrity Check)} – Ogni libreria di sistema possiede una firma digitale che viene creata nel momento in cui il sistema è stato considerato “pulito”. Un buon software di sicurezza può controllare le librerie per qualsiasi alterazione del codice utilizzato per creare la firma digitale.
• Confronti del registro^{(Registry Comparisons)} : la maggior parte dei programmi software antivirus li ha in base a una pianificazione preimpostata. Un file pulito verrà confrontato con un file client, in tempo reale, per determinare se il client è o contiene un eseguibile non richiesto (.exe).

Esecuzione di scansioni rootkit^{(Performing Rootkit Scans)}

L'esecuzione di una scansione del rootkit è il miglior tentativo per rilevare l'infezione da rootkit. Molto spesso non ci si può fidare del proprio sistema operativo per identificare un rootkit da solo e rappresenta una sfida per determinarne la presenza. I rootkit sono spie maestre, che coprono le loro tracce quasi ad ogni turno e sono in grado di rimanere nascosti in bella vista.

Se si sospetta che si sia verificato un attacco di virus rootkit sul computer, una buona strategia per il rilevamento sarebbe spegnere il computer ed eseguire la scansione da un sistema noto pulito. Un modo infallibile per individuare un rootkit all'interno della tua macchina è attraverso un'analisi di dump della memoria. Un rootkit non può nascondere le istruzioni che fornisce al tuo sistema mentre le esegue nella memoria della macchina.

Utilizzo di WinDbg per l'analisi del malware^{(Using WinDbg For Malware Analysis)}

Microsoft Windows ha fornito il proprio strumento di debug multifunzione che può essere utilizzato per eseguire scansioni di debug su applicazioni, driver o sul sistema operativo stesso. Eseguirà il debug del codice in modalità kernel e modalità utente, aiuterà ad analizzare i dump di arresto anomalo ed esaminerà i registri della CPU .

Alcuni sistemi Windows verranno forniti con WinDbg già in bundle. Quelli senza dovranno scaricarlo da Microsoft Store . WinDbg Preview è la versione più moderna di WinDbg , che fornisce immagini più facili da vedere, finestre più veloci, scripting completo e gli stessi comandi, estensioni e flussi di lavoro dell'originale.

Come minimo, puoi usare WinDbg per analizzare una memoria o un crash dump, incluso un Blue Screen Of Death ( BSOD ). Dai risultati, puoi cercare gli indicatori di un attacco malware. Se ritieni che uno dei tuoi programmi possa essere ostacolato dalla presenza di malware o stia utilizzando più memoria di quella necessaria, puoi creare un file dump e utilizzare WinDbg per analizzarlo.

Un dump della memoria completo può occupare molto spazio su disco, quindi potrebbe essere meglio eseguire un dump in modalità kernel o un dump di ^{(Kernel-Mode)}memoria^(Memory) ridotta . Un dump in modalità kernel conterrà tutte le informazioni sull'utilizzo della memoria da parte del kernel al momento dell'arresto anomalo. Un dump di piccola memoria^(Memory) conterrà informazioni di base su vari sistemi come driver, kernel e altro, ma in confronto è minuscolo.

I dump di memoria^(Memory) piccola sono più utili per analizzare il motivo per cui si è verificato un BSOD . Per rilevare i rootkit, sarà più utile una versione completa o del kernel.

Creazione di un file di dump in modalità kernel^{(Creating A Kernel-Mode Dump File)}

Un file di dump in modalità kernel^{(Kernel-Mode)} può essere creato in tre modi:

• Abilita il file di dump dal Pannello^{(Control Panel)} di controllo per consentire al sistema di bloccarsi da solo
• Abilita il file dump dal Pannello^{(Control Panel)} di controllo per forzare l'arresto anomalo del sistema
• Usa uno strumento debugger per crearne uno per te

Andremo con la scelta numero tre. 

Per eseguire il file di dump necessario, devi solo inserire il seguente comando nella finestra dei comandi di ^(Command)WinDbg .

Sostituisci FileName con un nome appropriato per il file dump e "?" con una f . Assicurati che la "f" sia minuscola, altrimenti creerai un tipo diverso di file dump.

Una volta che il debugger ha fatto il suo corso (la prima scansione richiederà parecchi minuti), sarà stato creato un file dump e sarai in grado di analizzare i tuoi risultati.

Comprendere cosa stai cercando, come l'utilizzo della memoria volatile ( RAM ), per determinare la presenza di un rootkit richiede esperienza e test. È possibile, anche se non consigliato per un principiante, testare le tecniche di rilevamento del malware su un sistema attivo. Per fare ciò ci vorrà ancora una volta esperienza e conoscenza approfondita sul funzionamento di WinDbg in modo da non distribuire accidentalmente un virus vivo nel tuo sistema.

Ci sono modi più sicuri e più adatti ai principianti per scoprire il nostro nemico ben nascosto.

Metodi di scansione aggiuntivi^{(Additional Scanning Methods)}

Anche il rilevamento manuale e l'analisi comportamentale sono metodi affidabili per rilevare i rootkit. Il tentativo di scoprire la posizione di un rootkit può essere un grosso problema, quindi, invece di prendere di mira il rootkit stesso, puoi invece cercare comportamenti simili a rootkit.

È possibile cercare i rootkit nei bundle di software scaricati utilizzando le opzioni di installazione avanzate^(Advanced) o personalizzate^(Custom) durante l'installazione. Quello che dovrai cercare sono tutti i file sconosciuti elencati nei dettagli. Questi file devono essere eliminati oppure è possibile eseguire una rapida ricerca online per eventuali riferimenti a software dannoso.

I firewall e i relativi rapporti di registrazione sono un modo incredibilmente efficace per scoprire un rootkit. Il software ti avviserà se la tua rete è sotto controllo e dovrebbe mettere in quarantena tutti i download irriconoscibili o sospetti prima dell'installazione. 

Se sospetti che un rootkit possa essere già sulla tua macchina, puoi immergerti nei rapporti di registrazione del firewall e cercare qualsiasi comportamento insolito.

Revisione dei rapporti di registrazione del firewall^{(Reviewing Firewall Logging Reports)}

Ti consigliamo di rivedere i rapporti di registrazione del firewall correnti, creando un'applicazione open source come IP Traffic Spy con funzionalità di filtraggio dei registri del firewall, uno strumento molto utile. I rapporti ti mostreranno cosa è necessario vedere in caso di attacco. 

Se si dispone di una rete di grandi dimensioni con un firewall di filtraggio in uscita autonomo, IP Traffic Spy non sarà necessario. Dovresti invece essere in grado di vedere i pacchetti in entrata e in uscita verso tutti i dispositivi e le workstation sulla rete tramite i registri del firewall.

Che tu sia in un ambiente domestico o di una piccola impresa, puoi utilizzare il modem fornito dal tuo ISP o, se ne possiedi uno, un firewall o un router personale per richiamare i registri del firewall. Potrai identificare il traffico per ogni dispositivo connesso alla stessa rete. 

Potrebbe anche essere utile abilitare i file di registro di Windows Firewall . ^{(Windows Firewall Log)}Per impostazione predefinita, il file di registro è disabilitato, il che significa che non vengono scritte informazioni o dati.

• Per creare un file di registro, apri la funzione Esegui^(Run) premendo il Windows key + R .
• Digita wf.msc nella casella e premi Invio^(Enter) .

• Nella finestra Windows Firewall e sicurezza avanzata^{(Advanced Security)} , evidenziare "Windows Defender Firewall con sicurezza avanzata^{(Advanced Security)} su computer locale" nel menu a sinistra. Nel menu all'estrema destra in "Azioni", fai clic su Proprietà^(Properties) .

• Nella nuova finestra di dialogo, vai alla scheda "Profilo privato" e seleziona Personalizza^(Customize) , che si trova nella sezione "Registrazione".

• La nuova finestra ti consentirà di selezionare la dimensione di un file di registro da scrivere, dove desideri che il file venga inviato e se registrare solo i pacchetti persi, la connessione riuscita o entrambi.

• ^(Dropped)I pacchetti eliminati sono quelli che Windows Firewall^{(Windows Firewall)} ha bloccato per tuo conto.
• Per impostazione predefinita, le voci del registro di Windows Firewall memorizzeranno solo gli ultimi 4 MB di dati e possono essere trovate in %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Tieni presente che l'aumento del limite di dimensioni sull'utilizzo dei dati per i registri può influire sulle prestazioni del tuo computer.
• Premere OK al termine.
• Quindi, ripeti gli stessi passaggi che hai appena eseguito nella scheda "Profilo privato", solo questa volta nella scheda "Profilo pubblico".
  • I log verranno ora generati sia per le connessioni pubbliche che per quelle private. Puoi visualizzare i file in un editor di testo come Blocco note^(Notepad) o importarli in un foglio di calcolo.
  • È ora possibile esportare i file di registro in un programma di analisi del database come IP Traffic Spy per filtrare e ordinare il traffico per una facile identificazione.

Tieni d'occhio qualsiasi cosa fuori dall'ordinario nei file di registro. Anche il minimo errore di sistema può indicare un'infezione da rootkit. Qualcosa sulla falsariga di un utilizzo eccessivo della CPU o della larghezza di banda quando non stai eseguendo nulla di troppo impegnativo, o per niente, può essere un indizio importante.

How to Detect Rootkits In Windows 10 (In-Depth Guide)

Rootkits arе used by hackers to hide persіstent, seemingly undetectable malware within yoυr device thаt will silently ѕteal data or rеsources, sometimeѕ over the course of multiple years. Theу can аlso be used in keylogger fashion where your keystrokes and commυnications are ѕurveilled providing the onlоoker with privаcy information.  

This particular hacking method saw more relevance pre-2006, prior to Microsoft Vista requiring vendors to digitally sign all computer drivers. The Kernel Patch Protection (KPP) caused malware writers to change their attack methods and only recently as of 2018 with the Zacinlo ad fraud operation, did rootkits re-enter the spotlight.

The rootkits pre-dating 2006 were all specifically operating system-based. The Zacinlo situation, a rootkit from the Detrahere malware family, gave us something even more dangerous in the form of a firmware-based rootkit. Regardless, rootkits are only around one percent of all malware output seen annually. 

Even so, because of the danger they can present, it would be prudent to understand how detecting rootkits that may have already infiltrated your system works.

Detecting Rootkits in Windows 10 (In-Depth)

Zacinlo had actually been in play for almost six years before being discovered targeting the Windows 10 platform. The rootkit component was highly configurable and protected itself from processes it deemed dangerous to its functionality and was capable of intercepting and decrypting SSL communications.

It would encrypt and store all of its configuration data within the Windows Registry and, while Windows was shutting down, rewrite itself from memory to disk using a different name, and update its registry key. This helped it to evade detection by your standard antivirus software.

This goes to show that a standard antivirus or antimalware software is not enough for detecting rootkits. Although, there are a few top tier antimalware programs that will alert you to suspicions of a rootkit attack. 

The 5 Key Attributes Of a Good Antivirus Software

Most of the prominent antivirus programs today will perform all five of these notable methods for detecting rootkits.

• Signature-based Analysis – The antivirus software will compare logged files with known signatures of rootkits. The analysis will also look for behavioral patterns that mimic certain operating activities of known rootkits, such as aggressive port use.
• Interception Detection – The Windows operating system employs pointer tables to run commands that are known to prompt a rootkit to act. Since rootkits attempt to replace or modify anything considered a threat, this will tip off your system to their presence.
• Multi-Source Data Comparison – Rootkits, in their attempt to remain hidden, may alter certain data presented in a standard examination. The returned results of high and low-level system calls can give away the presence of a rootkit. The software may also compare the process memory loaded into the RAM with the content of the file on the hard disk.
• Integrity Check – Every system library possesses a digital signature that is created at the time the system was considered “clean”. Good security software can check the libraries for any alteration of the code used to create the digital signature.
• Registry Comparisons – Most antivirus software programs have these on a preset schedule. A clean file will be compared with a client file, in real-time, to determine if the client is or contains an unrequested executable (.exe).

Performing Rootkit Scans

Performing a rootkit scan is the best attempt for detecting rootkit infection. Most often your operating system cannot be trusted to identify a rootkit on its own and presents a challenge to determine its presence. Rootkits are master spies, covering their tracks at almost every turn and capable of remaining hidden in plain sight.

If you suspect a rootkit virus attack has taken place on your machine, a good strategy for detection would be to power down the computer and execute the scan from a known clean system. A surefire way to locate a rootkit within your machine is through a memory dump analysis. A rootkit cannot hide the instructions it gives your system as it executes them in the machine’s memory.

Using WinDbg For Malware Analysis

Microsoft Windows has provided its own multi-function debugging tool that can be used to perform debugging scans on applications, drivers, or the operating system itself. It will debug kernel-mode and user-mode code, help analyze crash dumps, and examine the CPU registers.

Some Windows systems will come with WinDbg already bundled in. Those without will need to download it from the Microsoft Store. WinDbg Preview is the more modern version of WinDbg, providing easier on the eyes visuals, faster windows, complete scripting, and the same commands, extensions, and workflows as the original.

At the bare minimum, you can use WinDbg to analyze a memory or crash dump, including a Blue Screen Of Death (BSOD). From the results, you can look for indicators of a malware attack. If you feel that one of your programs may be hindered by the presence of malware, or is using more memory than is required, you can create a dump file and use WinDbg to help analyze it.

A complete memory dump can take up significant disk space so it may be better to perform a Kernel-Mode dump or Small Memory dump instead. A Kernel-Mode dump will contain all memory usage information by the kernel at the time of the crash. A Small Memory dump will contain basic information on varying systems like drivers, the kernel, and more, but is tiny in comparison.

Small Memory dumps are more useful in analyzing why a BSOD has occurred. For detecting rootkits, a complete or kernel version will be more helpful.

Creating A Kernel-Mode Dump File

A Kernel-Mode dump file can be created in three ways:

• Enable the dump file from Control Panel to allow the system to crash on its own
• Enable the dump file from Control Panel to force the system to crash
• Use a debugger tool to create one for you

We’ll be going with choice number three. 

To perform the necessary dump file, you only need to enter the following command into the Command window of WinDbg.

Replace FileName with an appropriate name for the dump file and the “?” with an f. Make sure that the “f” is lowercase or else you’ll create a different kind of dump file.

Once the debugger has run its course (the first scan will take considerable minutes), a dump file will have been created and you’ll be able to analyze your findings.

Understanding what it is your looking for, such as volatile memory (RAM) usage, to determine the presence of a rootkit takes experience and testing. It is possible, though not recommended for a novice, to test malware discovering techniques on a live system. To do this will again take expertise and in-depth knowledge on workings of WinDbg so as not to accidentally deploy a live virus into your system.

There are safer, more beginner-friendly ways to uncover our well-hidden enemy.

Additional Scanning Methods

Manual detection and behavioral analysis are also reliable methods for detecting rootkits. Attempting to discover the location of a rootkit can be a major pain so, instead of targeting the rootkit itself, you can instead look for rootkit-like behaviors.

You can look for rootkits in downloaded software bundles by using Advanced or Custom install options during installation. What you’ll need to look for are any unfamiliar files listed in the details. These files should be discarded, or you can do a quick search online for any references to malicious software.

Firewalls and their logging reports are an incredibly effective way to discover a rootkit. The software will notify you if your network is under scrutiny, and should quarantine any unrecognizable or suspicious downloads prior to installation. 

If you suspect that a rootkit may already be on your machine, you can dive into the firewall logging reports and look for any out of the ordinary behavior.

Reviewing Firewall Logging Reports

You’ll want to review your current firewall logging reports, making an open-source application like IP Traffic Spy with firewall log filtering capabilities, a very useful tool. The reports will show you what is necessary to see should an attack occur. 

If you have a large network with a standalone egress filtering firewall, IP Traffic Spy will not be necessary. Instead, you should be able to see the inbound and outbound packets to all devices and workstations on the network via the firewall logs.

Whether you’re in a home or small business setting, you can use the modem provided by your ISP or, if you own one, a personal firewall or router to pull up the firewall logs. You’ll be able to identify the traffic for each device connected to the same network. 

It may also be beneficial to enable Windows Firewall Log files. By default, the log file is disabled meaning no information or data is written.

• To create a log file, open up the Run function by pressing the Windows key + R.
• Type wf.msc into the box and press Enter.

• In the Windows Firewall and Advanced Security window highlight “Windows Defender Firewall with Advanced Security on Local Computer” in the left side menu. On the far right side menu under “Actions” click Properties.

• In the new dialog window, navigate over to the “Private Profile” tab and select Customize, which can be found in the “Logging” section.

• The new window will allow you to select how big of a log file to write, where you’d like the file sent, and whether to log only dropped packets, successful connection, or both.

• Dropped packets are those that Windows Firewall has blocked on your behalf.
• By default, Windows Firewall log entries will only store the last 4MB of data and can be found in the %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Keep in mind that increasing the size limit on data usage for logs can impact your computer’s performance.
• Press OK when finished.
• Next, repeat the same steps you just went through in the “Private Profile” tab, only this time in the “Public Profile” tab.
  • Logs will now be generated for both public and private connections. You can view the files in a text editor like Notepad or import them into a spreadsheet.
  • You can now export the logs’ files into a database parser program like IP Traffic Spy to filter and sort the traffic for easy identification.

Keep an eye out for anything out of the ordinary in the log files. Even the slightest system fault can indicate a rootkit infection. Something along the lines of excessive CPU or bandwidth usage when you’re not running anything too demanding, or at all, can be a major clue.

Related posts

• Download Quick Start Guide a Windows 10 da Microsoft

• Come utilizzare Windows 10 PC - Tutorial Basic Tutorial e suggerimenti per principianti

• Download Windows Ink Guide per Windows 10 da Microsoft

• Conoscere Windows 10 Guide per Employees da Microsoft

• Group Policy Settings Reference Guide per Windows 10

• Crea un Keyboard Shortcut per aprire il tuo preferito Website in Windows 10

• Ashampoo WinOptimizer è un software gratuito per ottimizzare Windows 10

• Scorciatoie da tastiera di Windows 10: la guida definitiva

• Guida OTT a backup, immagini di sistema e ripristino in Windows 10

• Rapidamente Clear All Cache in Windows 10 [The Ultimate Guide]

• Errore Event ID 158 - Disco identico GUIDs assignment in Windows 10

• Disabilita la Lock Screen in Windows 10 [GUIDA]

• PicsArt offerte Custom Stickers & Exclusive 3D Editing su Windows 10

• Guida al Task Manager di Windows 10 – Parte I

• Guida al Task Manager di Windows 10 – Parte II

• Step-by-Step Guide per installare FFmpeg su Windows 10

• Come utilizzare Performance Monitor su Windows 10 (Detailed GUIDE)

• Guida definitiva di HDG per acquisire schermate in Windows 10

• Come utilizzare Network Sniffer Tool PktMon.exe in Windows 10

• Come disabilitare le classi di stoccaggio rimovibili e l'accesso in Windows 10