Руткіти

Коротко: Руткіт — шкідливе ПЗ, що приховує себе та інші шкідливі програми від операційної системи й антивірусних сканерів.

Докладніше: Назва походить від «root» — облікового запису адміністратора в Unix — і «kit» — набору інструментів. Він домагається, щоб процеси, файли й мережеві з’єднання не з’являлися в списках і відображеннях.

Подробиці

• Рівні: Прикладний (підміна програм), рівня ядра (драйвери чи модулі змінюють системні виклики), буткіти (запускаються до операційної системи в завантажувальному секторі або у вбудованому ПЗ/UEFI).
• Чому важко знайти: Той, хто маніпулює самою системою, може брехати перевірним інструментам.
• Виявлення: Порівняння зсередини й ззовні (вигляд працюючої системи проти образу з чистого завантажувального середовища), ознаки на кшталт незрозумілого мережевого навантаження, спеціальні інструменти (rkhunter, chkrootkit, офлайн-сканери).
• Профілактика: Secure Boot, підписані драйвери, актуальні оновлення, мінімальні права, жодного ПЗ з сумнівних джерел.
• Видалення: Зазвичай лише перевстановленням, за зараження прошивки — перепрошиванням або заміною обладнання.
• Не плутати: Легальне ПЗ (захист від копіювання, античит) теж використовує прийоми рівня ядра, але шкідливим кодом не є.

Див. також: Шкідливе ПЗ