Rootkits

Was sind eigentlich Rootkits?

Bei dem Begriff Rootkit handelt es sich lediglich um eine Sammlung aus teilweise modifizierten Programmen, Scripten und Befehlen die die täglichen Verwaltungsaufgaben eines Administrators erleichtern. Diese Rootkits sind auch unter dem Namen "Application Rootkits" bekannt und sind sozusagen ein "Werkzeugkasten des Administrators".

Rootkits verstecken Prozesse und Anwendungen und dienen im ursprünglichen Sinne der Aufrechterhaltung der Systemfunktionalität, deren Optimierung und der Systemmanipulation.

Sie können jedoch auch Spyware wie beispielsweise Keylogger verbergen, oder wie Trojaner agieren, wenn sie sich unbemerkt die Rechte des Administrators aneignen. Wenn dies erfolgreich war stehen dem Angreifer sämtliche Türen zum System offen. Der Angreifer kann sich anschließend eine Backdoor zum Internet öffnen bzw. offen halten, um später unbemerkt auf das System zuzugreifen.

Die bekanntesten und mittlerweile am weitesten verbreiteten Rootkits sind die so genannten Kernelrootkits - auch LKM Rootkits genannt. Diese laden sich zur Laufzeit als Modul in den Kernel ein und sind schwer aufzuspüren, da sie als versteckte Prozesse arbeiten.

Sicherheitsvorkehrungen und Abwehrmaßnahmen gegen Rootkits

Es ist für einen Anwender sehr schwierig ein Rootkit aufzuspüren, da es sich als Prozess ausgeben kann und in der Regel im Hintergrund agiert. Wichtig ist es grundsätzlich alle laufenden Prozesse und den Netzwerkverkehr mittels entsprechender Software im Auge zu behalten.

Die meisten Rootkits verbergen gezielt den Pfad der auf sie selbst verweist. Der einzige Vorteil beim Aufspüren und Identifizieren ist der Aspekt, dass auch wenn ein Rootkit sich selbst oder Verzeichnisse versteckt, es jedoch immer physikalisch gespeichert ist.

Es sind auch Tools auf dem Markt erhältlich, die alle Systemdienste überprüfen, die nicht auf den Systemkernel verweisen. Diese Systemdienste können potentielle Rootkits sein.

Als effektive Abwehrmaßnahme gegen unerwünschte Rootkits haben sich auch die sogenannten Rootkit-Remover bewährt. Diese Programme durchsuchen gezielt die Registry nach Einträgen die vom Rootkit erstellt wurden.

Auch die großen Hersteller von Antivirensoftware haben sich dem Problem der unerwünschten Rootkits angenommen und ihre Searchengines dementsprechend erweitert.

Der Opensourcemarkt bietet auch einige sehr effektive und zudem kostenlose Rootkit-Remover an.