ROOTKIT.CZ: Detailní informace

Reklama

Článek

Detailní informace

Pokud se zaměříme na rootkity pod operačním systémem MS Windows, pak lze hovořit o dvou hlavních skupinách rootkitů, které využívají k maskování:

modifikaci "cest",
modifikaci systémových struktur.

Tyto metody slouží především k maskování změn v registrech, v procesech, popř. k maskování zvýšené síťové aktivity. Odlišné může být například dělení podle vrstvy systému, na které rootkit pracuje: tzv. user mode nebo kernel mode. Typickou ukázkou "modifikace cest" může být "podchycení" (přesměrování, hooking apod.) některých důležitých API funkcí operačního systému (viz. teorie fungování virů v knize o virech a část "import / export table"), kdy rootkit "sedí" mezi aplikací uživatele a DLL knihovnou, která danou API funkci obsahuje (typicky funkce FindFirstFile / FindNextFile).

Oproti tomu druhá metoda je specialitou "kernel mode" rootkitů. Tyto aplikace obvykle modifikují často né příliš dobře dokumentované systémové struktury (okolo čehož se motají pojmy jako KeServiceDescriptorTable, PsActiveProcessList). Toto může nakonec vést například k tomu, že rootkit dokáže zcela zakrýt libovolný proces před jiným softwarem.