Was ist eigentlich ein... Rootkit (Teil 3)

10 Dinge, die Sie über Rootkits wissen sollten (Teil 3)

und Teil 3:

7. Firmware Rootkits

Firmware Rootkits wurden zwar noch nicht gesichtet, sind aber theoretisch möglich. Zuerst tritt der Dropper auf, dann der Loader und zuletzt das Rootkit selbst, welches sich beispielsweise durch einen BIOS-Reflash im Hintergrund versteckt. Die betroffene Firmware kann jedes Gerät im Computer sein, welches einen BIOS-Baustein besitzt. Also nahezu alle Komponenten. Selbst eine Entfernung durch Antivirus-Programme hilft nur temporär, da beim nächsten Neustart das Rootkit wieder neu geladen wird.
Siehe auch John Heasman's "Implementing and Detecting a PCI Rootkit".

8. Virtuelle Rootkits

... sind ganz neu und haben einen innovativen Ansatz. Der virtuelle Rootkit agiert wie eine Software-Implementierung von Hardware-Sets, ähnlich dem, wie sie von Virtual-Machine-Software verwendet wird. Virtuelle Rootkits sind fast nicht aufspürbar. Siehe auch Artikel bei heise.de:
http://www.heise.de/newsticker/meldung/Virtualisierungs-Rootkit-Blue-Pill-frei-verfuegbar-158672.html

9. Anzeichen für einen Rootkit-Befall

Hier eine Liste erwähnenswerter Anzeichen:

- Wenn sich der Computer gegen Zugriffe sperrt oder fehlerhafte Ausgaben auf
irgendeine Eingabe durch Mouse oder Tastatur liefert, könnte das eine Folge eines installierten Kernel-Modus Rootkit sein.

- Einstellungen in Windows ändern sich ohne ihr Zutun, z.B. anderes Hintergrundbild oder der Taskmanager läßt sich nicht mehr öffnen.

- Webseiten-Verbindungen werden langsamer, Netzwerk-Aktivitäten fallen vollständig aus oder der Datenverkehr (Netzwerk-Traffic) steigt enorm an. Rootkits können ihren Traffic (Kommunikation) nicht verbergen, besonders dann nicht, wenn der Computer als Spam-Maschine agiert oder in eine DDoS-Attacke verwickelt ist.


10. Präventivmaßnahmen (Erkennung und Entfernung)

Stellen Sie sicher, dass Ihre Antivirus- und Antispyware, sowie jegliche eingesetzte Software immer aktualisiert ist. Malware vorzubeugen ist viel besser, als sie entfernen zu müssen.
Bei der Aktualisierung können Tools wie "Vulnerability Scanning" von Secunia helfen ( secunia.com/vulnerability_scanning ).