Руткиты

Коротко: Руткит — вредоносное ПО, которое скрывает себя и другие вредоносные программы от операционной системы и антивирусных сканеров.

Подробнее: Название происходит от «root» — учётной записи администратора в Unix — и «kit» — набора инструментов. Он добивается того, чтобы процессы, файлы и сетевые соединения не появлялись в списках и отображениях.

Подробности

• Уровни: Прикладной (подмена программ), уровня ядра (драйверы или модули изменяют системные вызовы), буткиты (запускаются до операционной системы в загрузочном секторе или во встроенном ПО/UEFI).
• Почему трудно найти: Тот, кто манипулирует самой системой, может лгать проверяющим инструментам.
• Обнаружение: Сравнение изнутри и снаружи (вид работающей системы против образа с чистой загрузочной среды), признаки вроде необъяснимой сетевой нагрузки, специальные инструменты (rkhunter, chkrootkit, офлайн-сканеры).
• Профилактика: Secure Boot, подписанные драйверы, актуальные обновления, минимальные права, никакого ПО из сомнительных источников.
• Удаление: Обычно только переустановкой, при заражении прошивки — перепрошивкой или заменой оборудования.
• Не путать: Легальное ПО (защита от копирования, античит) тоже использует приёмы уровня ядра, но вредоносным кодом не является.

См. также: Вредоносное ПО