Si bien es posible ocultar el malware de una manera que engañe incluso a los productos antivirus/antispyware tradicionales, la mayoría de los programas de malware ya utilizan rootkits para ocultarse profundamente en su PC con Windows ... ¡y se están volviendo más peligrosos! El rootkit DL3 es uno de los rootkits más avanzados jamás vistos en la naturaleza. El rootkit era estable y podía infectar sistemas operativos Windows de 32 bits ; aunque se necesitaban derechos de administrador para instalar la infección en el sistema. ¡ Pero TDL3 ahora se ha actualizado y ahora puede infectar incluso las versiones de Windows de 64 bits^{(even 64-bit versions  Windows)} !

¿Qué es Rootkit?

Un virus Rootkit es un tipo de malware sigiloso  que está diseñado para ocultar la existencia de ciertos procesos o programas en su computadora de los métodos de detección habituales, a fin de permitir que este u otro proceso malicioso tenga acceso privilegiado a su computadora.

Los rootkits para Windows^{(Rootkits for Windows)} generalmente se usan para ocultar software malicioso, por ejemplo, de un programa antivirus. Es utilizado con fines maliciosos por virus, gusanos, puertas traseras y spyware. Un virus combinado con un rootkit produce lo que se conoce como virus completamente sigilosos. Los rootkits son más comunes en el campo del software espía, y ahora también los autores de virus los utilizan con mayor frecuencia.

Ahora son un tipo emergente de Super Spyware que se oculta de manera efectiva e impacta directamente en el kernel del sistema operativo. Se utilizan para ocultar la presencia de objetos maliciosos como troyanos o keyloggers en su computadora. Si una amenaza utiliza la tecnología de rootkit para ocultarse, es muy difícil encontrar el malware en su PC.

Los rootkits en sí mismos no son peligrosos. Su único propósito es ocultar el software y los rastros que dejan en el sistema operativo. Ya sea que se trate de software normal o programas de malware.

Hay básicamente tres tipos diferentes de Rootkit . El primer tipo, los " Kernel Rootkits " generalmente agregan su propio código a partes del núcleo del sistema operativo, mientras que el segundo tipo, los " User-mode Rootkits " están especialmente destinados a que Windows se inicie normalmente durante el inicio del sistema. o inyectado en el sistema por un llamado "Gotero". El tercer tipo son los MBR Rootkits o Bootkits^{(MBR Rootkits or Bootkits)} .

Cuando encuentre que su AntiVirus y AntiSpyware fallan, es posible que necesite la ayuda de una buena Utilidad Anti-Rootkit^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer de Microsoft Sysinternals es una utilidad avanzada de detección de rootkits. Su salida enumera las discrepancias de la API del ^(API)registro^(Registry) y del sistema de archivos que pueden indicar la presencia de un rootkit en modo usuario o en modo kernel.

Informe de amenazas del Centro de protección contra malware de Microsoft^{(Microsoft Malware Protection Center Threat Report)} sobre  rootkits

Microsoft Malware Protection Center ha puesto a disposición para su descarga su Informe de amenazas^{(Threat Report)} sobre rootkits . El informe examina uno de los tipos de malware más insidiosos que amenazan a las organizaciones y a las personas en la actualidad: el rootkit. El informe examina cómo los atacantes usan los rootkits y cómo funcionan los rootkits en las computadoras afectadas. Esta es la esencia del informe, comenzando con lo que son los rootkits , para principiantes.

Rootkit es un conjunto de herramientas que un atacante o un creador de malware utiliza para obtener el control de cualquier sistema expuesto/no seguro que, de lo contrario, normalmente está reservado para un administrador del sistema. En los últimos años, el término 'ROOTKIT' o 'FUNCIONALIDAD DE ROOTKIT' ha sido reemplazado por MALWARE, un programa diseñado para tener efectos no deseados en una computadora sana. La función principal del malware es extraer datos valiosos y otros recursos de la computadora de un usuario en secreto y proporcionarlos al atacante, lo que le otorga un control total sobre la computadora comprometida. Además, son difíciles de detectar y eliminar y pueden permanecer ocultos durante períodos prolongados, posiblemente años, si pasan desapercibidos.

Entonces, naturalmente, los síntomas de una computadora comprometida deben enmascararse y tenerse en cuenta antes de que el resultado sea fatal. En particular, se deben tomar medidas de seguridad más estrictas para descubrir el ataque. Pero, como se mencionó, una vez que se instalan estos rootkits/malware, sus capacidades ocultas dificultan su eliminación y los componentes que podría descargar. Por este motivo, Microsoft ha creado un informe sobre ROOTKITS .

El informe de 16 páginas describe cómo un atacante usa rootkits y cómo funcionan estos rootkits en las computadoras afectadas.

El único propósito del informe es identificar y examinar de cerca el malware potente que amenaza a muchas organizaciones, en particular a los usuarios de computadoras. También menciona algunas de las familias de malware predominantes y saca a la luz el método que utilizan los atacantes para instalar estos rootkits para sus propios fines egoístas en sistemas sanos. En el resto del informe, encontrará expertos que hacen algunas recomendaciones para ayudar a los usuarios a mitigar la amenaza de los rootkits.

Tipos de rootkits

Hay muchos lugares donde el malware puede instalarse en un sistema operativo. Por lo tanto, en su mayoría, el tipo de rootkit está determinado por su ubicación donde realiza su subversión de la ruta de ejecución. Esto incluye:

1. Rootkits de modo de usuario
2. Rootkits en modo kernel
3. Rootkits/bootkits de MBR

El posible efecto de un compromiso de rootkit en modo kernel se ilustra a través de una captura de pantalla a continuación.

El tercer tipo, modifica el Registro de inicio maestro^{(Master Boot Record)} para obtener el control del sistema e iniciar el proceso de carga en el punto más temprano posible en la secuencia de inicio3. Oculta archivos, modificaciones de registro, evidencia de conexiones de red así como otros posibles indicadores que pueden indicar su presencia.

Familias de malware notables que utilizan la funcionalidad de rootkit^(Rootkit)

• Win32/Sinowal 13: una familia de malware de varios componentes que intenta robar datos confidenciales, como nombres de usuario y contraseñas para diferentes sistemas. Esto incluye intentar robar detalles de autenticación para una variedad de cuentas FTP , HTTP y de correo electrónico, así como las credenciales utilizadas para la banca en línea y otras transacciones financieras.
• Win32/Cutwail 15: un troyano^(Trojan) que descarga y ejecuta archivos arbitrarios. Los archivos descargados pueden ejecutarse desde el disco o inyectarse directamente en otros procesos. Si bien la funcionalidad de los archivos descargados es variable, Cutwail generalmente descarga otros componentes que envían spam. Utiliza un rootkit en modo kernel e instala varios controladores de dispositivos para ocultar sus componentes a los usuarios afectados.
• Win32/Rustock  : una familia de múltiples componentes de troyanos^(Trojans) de puerta trasera habilitados para rootkits desarrollados inicialmente para ayudar en la distribución de correo electrónico "spam" a través de una botnet . Una botnet es una gran red de computadoras comprometidas controlada por un atacante.

Protección contra rootkits

Evitar la instalación de rootkits es el método más efectivo para evitar la infección por rootkits. Para ello, es necesario invertir en tecnologías de protección como productos antivirus y cortafuegos. Dichos productos deben adoptar un enfoque integral de la protección mediante el uso de la detección tradicional basada en firmas, la detección heurística, la capacidad de firma dinámica y receptiva y el monitoreo del comportamiento.

Todos estos conjuntos de firmas deben mantenerse actualizados mediante un mecanismo de actualización automatizado. Las soluciones antivirus de Microsoft^(Microsoft) incluyen una serie de tecnologías diseñadas específicamente para mitigar los rootkits, incluida la supervisión del comportamiento del kernel en vivo que detecta e informa sobre los intentos de modificar el kernel de un sistema afectado, y el análisis directo del sistema de archivos que facilita la identificación y eliminación de controladores ocultos.

Si se encuentra que un sistema está comprometido, una herramienta adicional que le permita arrancar en un entorno bueno o confiable conocido puede resultar útil, ya que puede sugerir algunas medidas de remediación apropiadas.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Bajo tales circunstancias,

1. La herramienta de limpieza del sistema independiente^{(Standalone System Sweeper)} (parte del conjunto de herramientas de diagnóstico^{(Diagnostics)} y recuperación de ^{(Recovery Toolset)}Microsoft ( DART )
2. Windows Defender Offline puede ser útil.

Para obtener más información, puede descargar el informe en PDF desde ^(PDF)el Centro de descarga de Microsoft.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While it is possible to hide malwarе in a way that will fool even the traditiоnal antiνirus/antiѕpyware products, most malwarе programs are already usіng rootkits to hide deep on your Windоws PC … and they are getting more dangerous! The DL3 rootkit is one of the most advanced rootkits ever seen іn the wild. The rootkit was stable and could infect 32 bit Windows operating systems; although administrator rights were needed to install the infection in the system. But ΤDL3 has now been updatеd and is now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• ¿Cómo evitar Phishing Scams and Attacks?

• ¿Qué es remoto Access Trojan? Prevención, Detection & Removal

• Remove virus de USB Flash Drive usando Command Prompt or Batch File

• Rogue Security Software or Scareware: ¿Cómo comprobar, prevenir, eliminar?

• ¿Qué es Win32: BogEnt y cómo eliminarlo?

• Cómo prevenir Malware - Consejos para asegurar Windows 11/10

• Compruebe si su computadora ha sido infectada por el ASUS Update Malware

• Cómo eliminar el virus de Windows 10; Malware Removal Guide

• REMOTO Administration Tools: RIESGOS, Threats, Prevention

• ¿Qué es el virus IDP.GENERIC y cómo eliminarlo?

• BUNDLEWARE: DEFINICIÓN, Prevention, Removal Guide

• Consejos para proteger su computadora contra Thunderspy attack

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Cómo usar el Chrome browser incorporado Malware Scanner & Cleanup Tool

• Los mejores escáneres de virus y malware GARANTIZADOS para destruir cualquier virus

• El mejor software gratuito de eliminación de spyware y malware

• Cómo usar Avast Boot Scan para eliminar Malware de Windows PC

• Cómo verificar si un archivo es malicioso o no en Windows 11/10

• Prevent Drive-by descargas y ataques de malware relacionados

• Crystal Security es un Cloud gratuito basado en Malware Detection Tool para PC