Embora seja possível ocultar malware de uma forma que enganará até mesmo os produtos antivírus/antispyware tradicionais, a maioria dos programas de malware já está usando rootkits para se esconder profundamente em seu PC com Windows ... e eles estão ficando mais perigosos! O rootkit DL3 é um dos rootkits mais avançados já vistos na natureza. O rootkit era estável e podia infectar sistemas operacionais Windows^(Windows) de 32 bits ; embora fossem necessários direitos de administrador para instalar a infecção no sistema. Mas o TDL3^(TDL3) foi atualizado e agora é capaz de infectar até mesmo versões de 64 bits do Windows^{(even 64-bit versions  Windows)} !

O que é Rootkit

Um vírus Rootkit é um tipo de malware furtivo  projetado para ocultar a existência de determinados processos ou programas em seu computador dos métodos de detecção regulares, de modo a permitir que ele ou outro processo malicioso tenha acesso privilegiado ao seu computador.

Os rootkits para Windows^{(Rootkits for Windows)} geralmente são usados ​​para ocultar softwares mal-intencionados de, por exemplo, um programa antivírus. Ele é usado para fins maliciosos por vírus, worms, backdoors e spyware. Um vírus combinado com um rootkit produz o que é conhecido como vírus full stealth. Os rootkits são mais comuns no campo de spyware e agora também estão se tornando mais usados ​​por autores de vírus.

Eles agora são um tipo emergente de Super Spyware que oculta efetivamente e afeta diretamente o kernel do sistema operacional. Eles são usados ​​para ocultar a presença de objetos maliciosos como trojans ou keyloggers em seu computador. Se uma ameaça usa a tecnologia de rootkit para se esconder, é muito difícil encontrar o malware no seu PC.

Os rootkits em si não são perigosos. Seu único objetivo é ocultar o software e os rastros deixados no sistema operacional. Se este é um software normal ou programas de malware.

Existem basicamente três tipos diferentes de Rootkit . O primeiro tipo, os “ Kernel Rootkits ” geralmente adicionam seu próprio código a partes do núcleo do sistema operacional, enquanto o segundo tipo, os “ Rootkits de modo de usuário^{(User-mode Rootkits)} ” são especialmente direcionados ao Windows para inicializar normalmente durante a inicialização do sistema, ou injetado no sistema por um chamado “Dropper”. O terceiro tipo é MBR Rootkits ou Bootkits^{(MBR Rootkits or Bootkits)} .

Quando você encontrar o seu antivírus^(AntiVirus) e antispyware falhando, talvez seja necessário obter a ajuda de um bom utilitário anti-rootkit^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer da Microsoft Sysinternals é um utilitário avançado de detecção de rootkits. Sua saída lista as discrepâncias da API do sistema de arquivos e do Registro^(Registry) que podem indicar a presença de um rootkit no modo de usuário ou no modo kernel.

Relatório de ameaças do Microsoft Malware Protection Center^{(Microsoft Malware Protection Center Threat Report)} sobre  rootkits

O Microsoft Malware Protection Center^{(Microsoft Malware Protection Center)} disponibilizou para download seu Relatório de Ameaças^{(Threat Report)} em Rootkits . O relatório examina um dos tipos mais insidiosos de malware que ameaçam organizações e indivíduos hoje – o rootkit. O relatório examina como os invasores usam rootkits e como os rootkits funcionam nos computadores afetados. Aqui está um resumo do relatório, começando com o que são Rootkits – para o iniciante.

Rootkit é um conjunto de ferramentas que um invasor ou criador de malware usa para obter controle sobre qualquer sistema exposto/não seguro que normalmente é reservado para um administrador de sistema. Nos últimos anos, o termo 'ROOTKIT' ou 'FUNCIONALIDADE DO ROOTKIT' foi substituído por MALWARE – um programa projetado para ter efeitos indesejáveis ​​em um computador saudável. A principal função do malware é retirar dados valiosos e outros recursos do computador de um usuário secretamente e fornecê-los ao invasor, dando a ele controle total sobre o computador comprometido. Além disso, eles são difíceis de detectar e remover e podem permanecer ocultos por longos períodos, possivelmente anos, se passarem despercebidos.

Então, naturalmente, os sintomas de um computador comprometido precisam ser mascarados e levados em consideração antes que o resultado seja fatal. Particularmente, medidas de segurança mais rigorosas devem ser tomadas para descobrir o ataque. Mas, como mencionado, uma vez que esses rootkits/malware são instalados, seus recursos furtivos tornam difícil removê-lo e seus componentes que podem ser baixados. Por esse motivo, a Microsoft criou um relatório sobre ROOTKITS .

O relatório de 16 páginas descreve como um invasor usa rootkits e como esses rootkits funcionam nos computadores afetados.

O único objetivo do relatório é identificar e examinar de perto o malware potente que ameaça muitas organizações, principalmente os usuários de computador. Ele também menciona algumas das famílias de malware predominantes e traz à tona o método que os invasores usam para instalar esses rootkits para seus próprios propósitos egoístas em sistemas saudáveis. No restante do relatório, você encontrará especialistas fazendo algumas recomendações para ajudar os usuários a mitigar a ameaça dos rootkits.

Tipos de rootkits

Existem muitos lugares onde o malware pode se instalar em um sistema operacional. Assim, principalmente o tipo de rootkit é determinado pela sua localização onde ele realiza sua subversão do caminho de execução. Isso inclui:

1. Rootkits de modo de usuário
2. Rootkits do modo kernel
3. MBR Rootkits/bootkits

O possível efeito de um comprometimento de rootkit no modo kernel é ilustrado por meio de uma captura de tela abaixo.

O terceiro tipo, modifica o Master Boot Record para obter o controle do sistema e iniciar o processo de carregamento do ponto mais antigo possível na sequência de inicialização3. Ele oculta arquivos, modificações de registro, evidências de conexões de rede, bem como outros possíveis indicadores que podem indicar sua presença.

Famílias de malware notáveis ​​que usam a funcionalidade Rootkit

• Win32/Sinowal 13 – Uma família de malware multicomponente que tenta roubar dados confidenciais, como nomes de usuário e senhas para diferentes sistemas. Isso inclui tentar roubar detalhes de autenticação para uma variedade de contas de FTP , HTTP e de e-mail, bem como credenciais usadas para transações bancárias on-line e outras transações financeiras.
• Win32/Cutwail 15 – Um Trojan que baixa e executa arquivos arbitrários. Os arquivos baixados podem ser executados do disco ou injetados diretamente em outros processos. Embora a funcionalidade dos arquivos baixados seja variável, o Cutwail^(Cutwail) geralmente baixa outros componentes que enviam spam. Ele usa um rootkit no modo kernel e instala vários drivers de dispositivo para ocultar seus componentes dos usuários afetados.
• Win32/Rustock  – Uma família multicomponente de cavalos^(Trojans) de Troia de backdoor habilitados para rootkit, inicialmente desenvolvida para auxiliar na distribuição de e-mail “spam” por meio de uma botnet . Um botnet é uma grande rede de computadores comprometidos controlada por invasores.

Proteção contra rootkits

Impedir a instalação de rootkits é o método mais eficaz para evitar a infecção por rootkits. Para isso, é necessário investir em tecnologias de proteção, como produtos antivírus e firewall. Esses produtos devem adotar uma abordagem abrangente de proteção usando detecção tradicional baseada em assinatura, detecção heurística, capacidade de assinatura dinâmica e responsiva e monitoramento de comportamento.

Todos esses conjuntos de assinaturas devem ser mantidos atualizados usando um mecanismo de atualização automatizado. As soluções antivírus da Microsoft^(Microsoft) incluem várias tecnologias projetadas especificamente para mitigar rootkits, incluindo monitoramento do comportamento do kernel ao vivo que detecta e relata tentativas de modificar o kernel de um sistema afetado e análise direta do sistema de arquivos que facilita a identificação e remoção de drivers ocultos.

Se um sistema for encontrado comprometido, uma ferramenta adicional que permita inicializar em um ambiente bom ou confiável conhecido pode ser útil, pois pode sugerir algumas medidas de correção apropriadas.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Sob tais circunstâncias,

1. A ferramenta Standalone System Sweeper (parte do Microsoft Diagnostics and Recovery Toolset ( DaRT )
2. O Windows Defender Offline pode ser útil.

Para obter mais informações, você pode baixar o relatório em PDF do ^(PDF)Centro de Download da Microsoft.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While it is possible to hide malware in a way that will fool even the traditional antivіrus/antispyware products, moѕt mаlware programѕ are already using rootkits to hide deep on your Windows PC … and they are getting more dangerous! Τhe DL3 rootkit is one of thе most adνancеd rootkits ever ѕeen in the wild. The rootkit waѕ stable and could infect 32 bit Windowѕ operating systems; although administrator rights wеre needed to instаll the infection in the system. But ΤDL3 has now been updated and is now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Como evitar o Phishing Scams and Attacks?

• O que é remoto Access Trojan? Prevenção, Detection & Removal

• Remove virus de USB Flash Drive usando Command Prompt or Batch File

• Rogue Security Software or Scareware: Como verificar, prevenir, eliminar?

• O que é Win32: BogEnt e como removê-lo?

• Como usar o Malwarebytes Anti-Malware para remover Malware

• Potencialmente indesejado Programs or Applications; Avoid Instalando PUP/PUA

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Dicas para proteger seu computador contra Thunderspy attack

• Melhor software gratuito de remoção de spyware e malware

• Como verificar se um arquivo é malicioso ou não no Windows 11/10

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Melhor online Online Malware Scanners para digitalizar um arquivo

• Cyber Attacks - Definição, Types, Prevenção

• Verifique se o seu computador foi infectado pelo ASUS Update Malware

• O que é CandyOpen? Como remover CandyOpen de Windows 10?

• Como você pode obter um computer virus, trojan, trabalho, spyware or malware?

• IObit Malware Fighter Free review & download

• Como remover Chromium Virus de Windows 11/10

• O que é vírus idp.generic e como removê-lo?