Rootkit

Che cos'è un rootkit?

Un rootkit è un programma software dannoso che dà accesso a utenti non autorizzati, come hacker e cybercriminali, al livello root o amministrativo di un computer, nascondendo la sua presenza agli utenti verificati.

Una volta installati su un dispositivo, questi pacchetti software sono difficili da rilevare e possono causare danni significativi come manipolare e rubare dati del computer. Quando un rootkit si attiva, gli hacker possono prendere il controllo completo di un dispositivo da una posizione remota.

Il software di sicurezza centrato sui dati viene utilizzato per identificare e prevenire che i rootkit accedano a file importanti, sebbene alcuni riescano persino a bypassare questi sistemi e disattivarli senza che nessuno se ne accorga. Se ciò accade, i rootkit possono quindi installare malware aggiuntivi sui dispositivi, compromettere la privacy e creare punti di rientro permanenti.

Software Rootkit

Software che menzionano rootkit come caratteristica o termine.

ThreatDown

REVE Antivirus

HitmanPro

Symantec End-user Endpoint Security

WithSecure Elements Endpoint Protection

ESET PROTECT

Tipi di rootkit

Come la maggior parte dei malware, i rootkit possono essere unici ogni volta che vengono creati, ma gli esperti di sicurezza solitamente assegnano i rootkit a una delle sei categorie.

• Rootkit in modalità utente, il tipo più comune, infettano un sistema a livello amministrativo di un dispositivo per accedere a tutte le parti di un computer. La maggior parte del software di sicurezza può rilevare questo tipo, anche quando l'infezione si carica all'avvio del dispositivo.
• Rootkit in modalità kernel vanno un passo oltre la modalità utente, compromettendo l'intero sistema operativo (OS). Questo può essere incredibilmente difficile da rimuovere e probabilmente sfuggirà a qualsiasi software di sicurezza.
• Rootkit ibridi combinano modalità utente e kernel per infettare più livelli del dispositivo. Questo li rende uno dei rootkit più popolari per i cybercriminali.
• Rootkit del bootloader prendono di mira il Master Boot Record (MBR). Si caricano contemporaneamente all'MBR poiché non risiedono effettivamente nel (OS) ma più in profondità nel dispositivo. La maggior parte dei computer aggiornati ora ha una funzione di avvio sicuro che impedisce a questi rootkit di funzionare.
• Rootkit virtuali si caricano sotto un sistema operativo, quindi spostano l'OS su una macchina virtuale, duplicando essenzialmente i dati del dispositivo in tempo reale. Questo li rende molto difficili da rilevare poiché non stanno effettivamente funzionando sul dispositivo originale ma hanno comunque accesso alle sue informazioni.
• Rootkit hardware o firmware si nascondono all'interno dell'hardware del computer che si attiva quando un dispositivo viene spento. Quando la macchina si accende, il firmware si riattiva. Anche se un rootkit viene rimosso quando il dispositivo è acceso, può ancora accedere ai dati, semplicemente ricaricandosi ogni volta che il dispositivo viene spento e riacceso.

Come vengono installati i rootkit

I cybercriminali hanno le competenze tecniche sofisticate per raggruppare e installare codice dannoso su un dispositivo. Inizialmente usano un dropper per importare un rootkit su un computer, quindi attivano un loader per installare il malware nella sua memoria. Un certo numero di punti di accesso può consentire che ciò accada, tra cui:

• Utilizzando altri malware. Se un dispositivo ha già un virus o altro malware installato, i rootkit possono accedere al computer tramite questo punto di ingresso vulnerabile. Questo è particolarmente comune nei dispositivi in cui l'utente non è consapevole che un pezzo di malware è già in funzione.
• Lavorando attraverso software e file di contenuto affidabili. Il codice dannoso può essere installato su software altrimenti affidabile, app, o file come PDF, rendendo facile per gli utenti scaricare accidentalmente un rootkit.
• Aprendo link in strumenti di messaggistica o app web. Quando gli utenti cliccano su un link su un social media app o all'interno di un file, i rootkit possono facilmente scaricarsi e infettare un dispositivo. Ecco perché è fondamentale sapere esattamente cosa è un link e dove va prima di intraprendere qualsiasi azione.

Come rilevare un rootkit

Sebbene i rootkit possano essere difficili da rilevare, alcuni segni suggeriscono che il malware è in funzione su un dispositivo. Questi segni potrebbero includere:

• Malfunzionamenti ripetuti del software. Se il software o le applicazioni utilizzate regolarmente iniziano a rallentare, chiudersi da sole o cambiare impostazioni senza azione da parte di un utente, questo potrebbe indicare la presenza di malware.
• Crash dell'intero sistema. I rootkit del bootloader spesso causano lo spegnimento dei dispositivi da soli nel tentativo di riavviarsi e caricare il rootkit quando il dispositivo si accende.
• Disattivazione spontanea dell'antivirus. Gli hacker sanno che il software antivirus scansiona i rootkit, quindi cercano sempre di installare un evitante antivirus. Se questo software si chiude continuamente senza azione dell'utente o fallisce ripetutamente nella scansione, è possibile che un rootkit sia installato sul dispositivo. 

Migliori pratiche per prevenire i rootkit

Trovare proattivamente modi per evitare il malware è il modo migliore per rimanere protetti mentre si utilizza un dispositivo. Un certo numero di passaggi può essere intrapreso per ridurre il rischio di installazione di rootkit, come:

• Scansione regolare dei dispositivi. Installare ed eseguire software antivirus almeno su base mensile rileva eventuali minacce possibili a un dispositivo e identifica eventuali file potenzialmente corrotti. Questi strumenti spesso hanno pulitori integrati che rimuovono automaticamente qualsiasi codice dannoso.
• Non cliccare mai su link sconosciuti in email o messaggi. Le truffe di phishing stanno diventando più comuni e difficili da evitare. Prestare sempre attenzione quando si ricevono email o messaggi inaspettati che contengono link. Se possibile, verificare il mittente prima di aprire un messaggio.
• Eseguire aggiornamenti di software e applicazioni. Gli sviluppatori lavorano costantemente su aggiornamenti e correzioni per varie piattaforme software. È importante installare le versioni più recenti, poiché molti aggiornamenti contengono patch per bug precedenti che davano accesso agli hacker a un dispositivo.

Mantieni i tuoi dispositivi digitali aggiornati e protetti dal codice dannoso monitorando i punti di accesso con software di gestione della superficie di attacco.