Sebbene sia possibile nascondere il malware in un modo tale da ingannare anche i tradizionali prodotti antivirus/antispyware, la maggior parte dei programmi malware utilizza già i rootkit per nascondersi in profondità sul tuo PC Windows ... e stanno diventando sempre più pericolosi! Il rootkit DL3 è uno dei rootkit più avanzati mai visti in natura. Il rootkit era stabile e poteva infettare i sistemi operativi Windows^(Windows) a 32 bit ; sebbene fossero necessari i diritti di amministratore per installare l'infezione nel sistema. Ma TDL3 ora è stato aggiornato ed è ora in grado di infettare anche le versioni a 64 bit di Windows^{(even 64-bit versions  Windows)} !

Cos'è il Rootkit

Un virus Rootkit è un tipo di malware  invisibile progettato per nascondere l'esistenza di determinati processi o programmi sul tuo computer dai normali metodi di rilevamento, in modo da consentire a esso o a un altro processo dannoso l'accesso privilegiato al tuo computer.

I rootkit per Windows^{(Rootkits for Windows)} vengono in genere utilizzati per nascondere il software dannoso, ad esempio, da un programma antivirus. Viene utilizzato per scopi dannosi da virus, worm, backdoor e spyware. Un virus combinato con un rootkit produce i cosiddetti virus completamente invisibili. I rootkit sono più comuni nel campo degli spyware e ora stanno diventando più comunemente usati anche dagli autori di virus.

Ora sono un tipo emergente di Super Spyware che si nasconde in modo efficace e ha un impatto diretto sul kernel del sistema operativo. Sono usati per nascondere la presenza di oggetti dannosi come trojan o keylogger sul tuo computer. Se una minaccia utilizza la tecnologia rootkit per nascondersi, è molto difficile trovare il malware sul tuo PC.

I rootkit di per sé non sono pericolosi. Il loro unico scopo è nascondere il software e le tracce lasciate nel sistema operativo. Che si tratti di un normale software o di programmi malware.

Esistono fondamentalmente tre diversi tipi di Rootkit . Il primo tipo, i " Rootkit del kernel^{(Kernel Rootkits)} " di solito aggiungono il proprio codice a parti del core del sistema operativo, mentre il secondo tipo, i " Rootkit in modalità utente^{(User-mode Rootkits)} " sono particolarmente mirati a Windows per avviarsi normalmente durante l'avvio del sistema, oppure iniettato nell'impianto da un cosiddetto “Dropper”. Il terzo tipo è MBR Rootkit o Bootkit^{(MBR Rootkits or Bootkits)} .

Quando trovi che il tuo AntiVirus e AntiSpyware non funziona, potresti dover ricorrere all'aiuto di una buona utilità Anti-Rootkit^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer di Microsoft Sysinternals è un'utilità di rilevamento rootkit avanzata. Il suo output elenca le discrepanze tra le API del ^(API)registro^(Registry) e del file system che possono indicare la presenza di un rootkit in modalità utente o kernel.

^{(Microsoft Malware Protection Center Threat Report)}Report sulle  minacce di Microsoft Malware Protection Center sui rootkit^(Rootkits)

Microsoft Malware Protection Center ha reso disponibile per il download il Report^{(Threat Report)} sulle minacce sui rootkit^(Rootkits) . Il rapporto esamina uno dei tipi più insidiosi di malware che minacciano organizzazioni e individui oggi: il rootkit. Il rapporto esamina il modo in cui gli aggressori utilizzano i rootkit e il funzionamento dei rootkit sui computer interessati. Ecco una sintesi del rapporto, a partire da cosa sono i Rootkit^(Rootkits) , per i principianti.

Rootkit è un insieme di strumenti che un utente malintenzionato o un creatore di malware utilizza per ottenere il controllo su qualsiasi sistema esposto/non protetto che altrimenti è normalmente riservato a un amministratore di sistema. Negli ultimi anni il termine "ROOTKIT" o "FUNZIONALITÀ ROOTKIT" è stato sostituito da MALWARE, un programma progettato per avere effetti indesiderati su un computer sano. La funzione principale del malware è quella di ritirare segretamente dati preziosi e altre risorse dal computer di un utente e fornirli all'attaccante, dandogli così il controllo completo sul computer compromesso. Inoltre, sono difficili da rilevare e rimuovere e possono rimanere nascosti per lunghi periodi, anche anni, se non vengono notati.

Quindi, naturalmente, i sintomi di un computer compromesso devono essere mascherati e presi in considerazione prima che l'esito si riveli fatale. In particolare, dovrebbero essere adottate misure di sicurezza più rigorose per scoprire l'attacco. Ma, come accennato, una volta installati questi rootkit/malware, le sue capacità stealth rendono difficile rimuoverlo e i suoi componenti che potrebbe scaricare. Per questo motivo Microsoft ha creato un report su ROOTKITS .

Il rapporto di 16 pagine illustra come un utente malintenzionato utilizza i rootkit e come funzionano questi rootkit sui computer interessati.

L'unico scopo del rapporto è identificare ed esaminare da vicino i potenti malware che minacciano molte organizzazioni, in particolare gli utenti di computer. Cita anche alcune delle famiglie di malware prevalenti e mette in luce il metodo utilizzato dagli aggressori per installare questi rootkit per i propri scopi egoistici su sistemi sani. Nella parte restante del rapporto, troverai esperti che formulano alcune raccomandazioni per aiutare gli utenti a mitigare la minaccia dei rootkit.

Tipi di rootkit

Ci sono molti posti in cui il malware può installarsi in un sistema operativo. Quindi, principalmente il tipo di rootkit è determinato dalla sua posizione in cui esegue la sovversione del percorso di esecuzione. Ciò comprende:

1. Rootkit modalità utente
2. Rootkit in modalità kernel
3. Rootkit/bootkit MBR

Il possibile effetto di una compromissione di un rootkit in modalità kernel è illustrato tramite uno screenshot qui sotto.

Il terzo tipo, modifica il Master Boot Record per ottenere il controllo del sistema e avviare il processo di caricamento il primo punto possibile nella sequenza di avvio3. Nasconde file, modifiche del registro, prove di connessioni di rete e altri possibili indicatori che possono indicarne la presenza.

Notevoli famiglie di malware che utilizzano la funzionalità Rootkit

• Win32/Sinowal 13 – Una famiglia di malware multicomponente che tenta di rubare dati sensibili come nomi utente e password per diversi sistemi. Ciò include il tentativo di rubare i dettagli di autenticazione per una varietà di account FTP , HTTP e di posta elettronica, nonché le credenziali utilizzate per operazioni bancarie online e altre transazioni finanziarie.
• Win32/Cutwail 15 – Un Trojan che scarica ed esegue file arbitrari. I file scaricati possono essere eseguiti dal disco o iniettati direttamente in altri processi. Sebbene la funzionalità dei file scaricati sia variabile, Cutwail di^(Cutwail) solito scarica altri componenti che inviano spam. Utilizza un rootkit in modalità kernel e installa diversi driver di dispositivo per nascondere i suoi componenti agli utenti interessati.
• Win32/Rustock  – Una famiglia multicomponente di trojan^(Trojans) backdoor abilitati per rootkit inizialmente sviluppata per aiutare nella distribuzione di e-mail di "spam" attraverso una botnet . Una botnet è una grande rete di computer compromessi controllata da un utente malintenzionato.

Protezione contro i rootkit

La prevenzione dell'installazione dei rootkit è il metodo più efficace per evitare l'infezione da parte dei rootkit. Per questo è necessario investire in tecnologie di protezione come prodotti antivirus e firewall. Tali prodotti dovrebbero adottare un approccio completo alla protezione utilizzando il rilevamento tradizionale basato sulla firma, il rilevamento euristico, la capacità di firma dinamica e reattiva e il monitoraggio del comportamento.

Tutti questi set di firme devono essere mantenuti aggiornati utilizzando un meccanismo di aggiornamento automatico. Le soluzioni antivirus Microsoft^(Microsoft) includono una serie di tecnologie progettate specificamente per mitigare i rootkit, incluso il monitoraggio in tempo reale del comportamento del kernel che rileva e segnala i tentativi di modificare il kernel di un sistema interessato e l'analisi diretta del file system che facilita l'identificazione e la rimozione dei driver nascosti.

Se un sistema viene trovato compromesso, uno strumento aggiuntivo che consente di eseguire l'avvio in un ambiente noto o affidabile potrebbe rivelarsi utile in quanto potrebbe suggerire alcune misure correttive appropriate.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

In tali circostanze,

1. Lo strumento Standalone System Sweeper (parte del Microsoft Diagnostics and Recovery Toolset ( DaRT )
2. Windows Defender Offline può essere utile.

Per ulteriori informazioni, è possibile scaricare il report in PDF dall'Area download Microsoft.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While it is poѕsible to hide malware in a way thаt will fool even the traditional antivirus/antispyware рroducts, most malware programs are already using rootkits to hide deep on your Windows PC … and they are getting more dangerous! The DL3 rootkit is one of the most advanced rootkits ever seen in the wild. The rootkit was stable and could infect 32 bit Windowѕ operating systems; although administrator rights were needed to install the infеctiоn in the system. But TDL3 has now been updated аnd is now able tо infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Come evitare Phishing Scams and Attacks?

• Che cos'è il Trojan di accesso remoto? Prevenzione, rilevamento e rimozione

• Remove virus da USB Flash Drive utilizzando Command Prompt or Batch File

• Rogue Security Software or Scareware: Come controllare, prevenire, rimuovere?

• Cos'è Win32: BogEnt e come rimuoverlo?

• Cryptojacking Il nuovo browser mining threat Devi sapere

• Come utilizzare Chrome browser Inbuilt Malware Scanner & Cleanup Tool

• Come disinstallare o rimuovere Driver Tonic da Windows 10

• In che modo Microsoft identificano le applicazioni indesiderate Malware & Potentially

• Il miglior software gratuito per la rimozione di spyware e malware

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Come utilizzare Avast Boot Scan per rimuovere Malware da Windows PC

• Che cosa è Cyber crime? Come trattare con esso?

• Controlla se il tuo computer è stato infettato dallo ASUS Update Malware

• Come si può ottenere uno computer virus, un trojan, il lavoro, spyware or malware?

• Microsoft Windows Logo process in Task Manager; È un virus?

• Cyber Attacks - Definizione, Types, Prevenzione

• Come rimuovere Malware dal PC in Windows 10

• Malware Submission: dove inviare i file di malware a Microsoft & others?