Los piratas informáticos utilizan los rootkits para ocultar malware persistente y aparentemente indetectable dentro de su dispositivo que robará silenciosamente datos o recursos, a veces en el transcurso de varios años. También se pueden utilizar en forma de registrador de pulsaciones de teclas, en el que se vigilan las pulsaciones de teclas y las comunicaciones, proporcionando al observador información de privacidad.  

Este método de piratería en particular tuvo más relevancia antes de 2006, antes de que Microsoft Vista requiriera que los proveedores firmaran digitalmente todos los controladores de computadora. Kernel Patch Protection ( KPP ) hizo que los creadores de malware cambiaran sus métodos de ataque y solo recientemente, a partir de 2018, con la operación de fraude publicitario Zacinlo^{(Zacinlo ad fraud operation)} , los rootkits volvieron a ser el centro de atención.

Todos los rootkits anteriores a 2006 estaban específicamente basados ​​en sistemas operativos. La situación de Zacinlo , un rootkit de la familia de malware Detrahere^{(Detrahere malware)} , nos dio algo aún más peligroso en forma de rootkit basado en firmware. Independientemente^(Regardless) , los rootkits representan solo alrededor del uno por ciento de toda la producción de malware que se ve anualmente. 

Aun así, debido al peligro que pueden presentar, sería prudente comprender cómo funciona la detección de rootkits que pueden haberse infiltrado ya en su sistema.

Detección de rootkits en Windows 10 ( en profundidad^(In-Depth) )

Zacinlo había estado en juego durante casi seis años antes de que se descubriera que apuntaba a la plataforma Windows 10 . El componente del rootkit era altamente configurable y se protegía de los procesos que consideraba peligrosos para su funcionalidad y era capaz de interceptar y descifrar las comunicaciones SSL .

Encriptaría y almacenaría todos sus datos de configuración dentro del Registro de Windows^{(Windows Registry)} y, mientras Windows se apagaba, se reescribiría de la memoria al disco con un nombre diferente y actualizaría su clave de registro. Esto lo ayudó a evadir la detección de su software antivirus estándar.

Esto demuestra que un software antivirus o antimalware estándar no es suficiente para detectar rootkits. Sin embargo, hay algunos programas antimalware de primer nivel que lo alertarán sobre las sospechas de un ataque de rootkit. 

Los 5 atributos clave de un buen software antivirus^{(The 5 Key Attributes Of a Good Antivirus Software)}

La mayoría de los programas antivirus destacados en la actualidad realizarán estos cinco métodos notables para detectar rootkits.

• Análisis basado en firmas^{(Signature-based Analysis)} : el software antivirus comparará los archivos registrados con firmas conocidas de rootkits. El análisis también buscará patrones de comportamiento que imiten ciertas actividades operativas de rootkits conocidos, como el uso agresivo de puertos.
• Detección de intercepción^{(Interception Detection)} : el sistema operativo Windows emplea tablas de puntero para ejecutar comandos que se sabe que provocan la acción de un rootkit. Dado que los rootkits intentan reemplazar o modificar cualquier cosa que se considere una amenaza, esto alertará a su sistema de su presencia.
• Comparación de datos de múltiples fuentes^{(Multi-Source Data Comparison)} : los rootkits , en su intento de permanecer ocultos, pueden alterar ciertos datos presentados en un examen estándar. Los resultados devueltos de las llamadas al sistema de alto y bajo nivel pueden revelar la presencia de un rootkit. El software también puede comparar la memoria de proceso cargada en la RAM con el contenido del archivo en el disco duro.
• Verificación de integridad^{(Integrity Check)} : cada biblioteca del sistema posee una firma digital que se crea en el momento en que el sistema se consideró "limpio". Un buen software de seguridad puede verificar las bibliotecas en busca de cualquier alteración del código utilizado para crear la firma digital.
• Comparaciones de registros^{(Registry Comparisons)} : la mayoría de los programas de software antivirus los tienen en un horario preestablecido. Un archivo limpio se comparará con un archivo de cliente, en tiempo real, para determinar si el cliente es o contiene un ejecutable no solicitado (.exe).

Realización de exploraciones de rootkit^{(Performing Rootkit Scans)}

Realizar un análisis de rootkit es el mejor intento para detectar una infección de rootkit. La mayoría de las veces, no se puede confiar en que su sistema operativo identifique un rootkit por sí solo y presenta un desafío para determinar su presencia. Los rootkits son espías maestros, cubren sus huellas en casi todos los sentidos y son capaces de permanecer ocultos a simple vista.

Si sospecha que se ha producido un ataque de virus rootkit en su máquina, una buena estrategia para la detección sería apagar la computadora y ejecutar el análisis desde un sistema limpio conocido. Una forma segura de localizar un rootkit dentro de su máquina es a través de un análisis de volcado de memoria. Un rootkit no puede ocultar las instrucciones que le da a su sistema mientras las ejecuta en la memoria de la máquina.

Uso de WinDbg para análisis de malware^{(Using WinDbg For Malware Analysis)}

Microsoft Windows ha proporcionado su propia herramienta de depuración multifunción que se puede utilizar para realizar análisis de depuración en aplicaciones, controladores o el propio sistema operativo. Depurará el código en modo kernel y en modo usuario, ayudará a analizar los volcados de memoria y examinará los registros de la CPU .

Algunos sistemas Windows vendrán con WinDbg ya incluido. Aquellos que no lo tengan deberán descargarlo de Microsoft Store . WinDbg Preview es la versión más moderna de WinDbg , que proporciona imágenes más agradables a la vista, ventanas más rápidas, secuencias de comandos completas y los mismos comandos, extensiones y flujos de trabajo que el original.

Como mínimo, puede usar WinDbg para analizar una memoria o un volcado de memoria, incluida una pantalla azul^{(Blue Screen)} de la muerte^(Death) ( BSOD ). A partir de los resultados, puede buscar indicadores de un ataque de malware. Si cree que uno de sus programas puede verse obstaculizado por la presencia de malware o está usando más memoria de la necesaria, puede crear un archivo de volcado y usar WinDbg para ayudar a analizarlo.

Un volcado de memoria completo puede ocupar un espacio de disco significativo, por lo que puede ser mejor realizar un volcado de modo kernel o un volcado de ^{(Kernel-Mode)}memoria^(Memory) pequeña en su lugar. Un volcado de Kernel-Mode contendrá toda la información de uso de memoria por parte del kernel en el momento del bloqueo. Un volcado de memoria^(Memory) pequeña contendrá información básica sobre diferentes sistemas como controladores, el kernel y más, pero es pequeño en comparación.

Los volcados de memoria^(Memory) pequeños son más útiles para analizar por qué se ha producido un BSOD . Para detectar rootkits, una versión completa o kernel será más útil.

Creación de un archivo de volcado en modo kernel^{(Creating A Kernel-Mode Dump File)}

Un archivo de volcado en modo Kernel^{(Kernel-Mode)} se puede crear de tres maneras:

• Habilite el archivo de volcado desde el Panel^{(Control Panel)} de control para permitir que el sistema se bloquee por sí solo
• Habilite el archivo de volcado desde el Panel^{(Control Panel)} de control para forzar el bloqueo del sistema
• Use una herramienta de depuración para crear una para usted

Iremos con la opción número tres. 

Para realizar el archivo de volcado necesario, solo necesita ingresar el siguiente comando en la ventana de comandos de ^(Command)WinDbg .

Reemplace FileName con un nombre apropiado para el archivo de volcado y el "?" con una f . Asegúrese de que la "f" esté en minúsculas o de lo contrario creará un tipo diferente de archivo de volcado.

Una vez que el depurador haya seguido su curso (el primer escaneo llevará unos minutos considerables), se habrá creado un archivo de volcado y podrá analizar sus hallazgos.

Comprender lo que está buscando, como el uso de memoria volátil ( RAM ), para determinar la presencia de un rootkit requiere experiencia y pruebas. Es posible, aunque no recomendado para principiantes, probar técnicas de detección de malware en un sistema en vivo. Hacer esto nuevamente requerirá experiencia y un conocimiento profundo sobre el funcionamiento de WinDbg para no implementar accidentalmente un virus vivo en su sistema.

Hay formas más seguras y fáciles de usar para principiantes de descubrir a nuestro enemigo bien escondido.

Métodos de escaneo adicionales^{(Additional Scanning Methods)}

La detección manual y el análisis de comportamiento también son métodos confiables para detectar rootkits. Intentar descubrir la ubicación de un rootkit puede ser una gran molestia, por lo que, en lugar de apuntar al propio rootkit, puede buscar comportamientos similares a los de los rootkits.

Puede buscar rootkits en paquetes de software descargados mediante las opciones de instalación avanzada^(Advanced) o personalizada^(Custom) durante la instalación. Lo que deberá buscar son los archivos desconocidos enumerados en los detalles. Estos archivos deben descartarse, o puede hacer una búsqueda rápida en línea para encontrar referencias a software malicioso.

Los cortafuegos y sus informes de registro son una forma increíblemente eficaz de descubrir un rootkit. El software le notificará si su red está bajo escrutinio y debe poner en cuarentena cualquier descarga sospechosa o irreconocible antes de la instalación. 

Si sospecha que un rootkit ya puede estar en su máquina, puede sumergirse en los informes de registro del firewall y buscar cualquier comportamiento fuera de lo normal.

Revisión de informes de registro de firewall^{(Reviewing Firewall Logging Reports)}

Querrá revisar sus informes de registro de firewall actuales, haciendo una aplicación de código abierto como IP Traffic Spy con capacidades de filtrado de registros de firewall, una herramienta muy útil. Los informes le mostrarán lo que es necesario ver en caso de que ocurra un ataque. 

Si tiene una red grande con un firewall de filtrado de salida independiente, IP Traffic Spy no será necesario. En cambio, debería poder ver los paquetes entrantes y salientes a todos los dispositivos y estaciones de trabajo en la red a través de los registros del firewall.

Ya sea que se encuentre en un hogar o en una pequeña empresa, puede usar el módem provisto por su ISP o, si posee uno, un firewall o enrutador personal para obtener los registros del firewall. Podrás identificar el tráfico de cada dispositivo conectado a la misma red. 

También puede ser beneficioso habilitar los archivos de registro de Firewall de Windows . ^{(Windows Firewall Log)}De forma predeterminada, el archivo de registro está deshabilitado, lo que significa que no se escribe información ni datos.

• Para crear un archivo de registro, abra la función Ejecutar^(Run) presionando la tecla de Windows key + R
• Escriba wf.msc en el cuadro y presione Entrar^(Enter) .

• En la ventana Firewall de Windows^{(Windows Firewall)} y seguridad avanzada,^{(Advanced Security)} resalte "Firewall de Windows Defender con seguridad avanzada^{(Advanced Security)} en la computadora local" en el menú del lado izquierdo. En el menú del extremo derecho, debajo de "Acciones", haga clic en Propiedades^(Properties) .

• En la nueva ventana de diálogo, navegue hasta la pestaña "Perfil privado" y seleccione Personalizar^(Customize) , que se puede encontrar en la sección "Inicio de sesión".

• La nueva ventana le permitirá seleccionar el tamaño de un archivo de registro para escribir, dónde desea que se envíe el archivo y si desea registrar solo los paquetes descartados, la conexión exitosa o ambos.

• Los paquetes descartados^(Dropped) son aquellos que el Firewall de Windows^{(Windows Firewall)} ha bloqueado en su nombre.
• De forma predeterminada, las entradas de registro de Firewall de Windows^{(Windows Firewall)} solo almacenarán los últimos 4 MB de datos y se pueden encontrar en %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Tenga en cuenta que aumentar el límite de tamaño en el uso de datos para los registros puede afectar el rendimiento de su computadora.
• Pulse Aceptar^(OK) cuando haya terminado.
• A continuación, repita los mismos pasos que acaba de seguir en la pestaña "Perfil privado", solo que esta vez en la pestaña "Perfil público".
  • Ahora se generarán registros para conexiones públicas y privadas. Puede ver los archivos en un editor de texto como el Bloc^(Notepad) de notas o importarlos a una hoja de cálculo.
  • Ahora puede exportar los archivos de registros a un programa analizador de base de datos como IP Traffic Spy para filtrar y ordenar el tráfico para una fácil identificación.

Esté atento a cualquier cosa fuera de lo común en los archivos de registro. Incluso la más mínima falla del sistema puede indicar una infección de rootkit. Algo como el uso excesivo de CPU o ancho de banda cuando no está ejecutando nada demasiado exigente, o en absoluto, puede ser una pista importante.

How to Detect Rootkits In Windows 10 (In-Depth Guide)

Rootkits are used by hackers to hide persistent, seemingly undetectable malware within your device that will silently steal data or resourceѕ, sometimes over the cоurse of multiple yearѕ. They can also be used in keylogger fashion whеrе your keystrokes and communications are surνeilled providing the оnlooker with privacy information.  

This particular hacking method saw more relevance pre-2006, prior to Microsoft Vista requiring vendors to digitally sign all computer drivers. The Kernel Patch Protection (KPP) caused malware writers to change their attack methods and only recently as of 2018 with the Zacinlo ad fraud operation, did rootkits re-enter the spotlight.

The rootkits pre-dating 2006 were all specifically operating system-based. The Zacinlo situation, a rootkit from the Detrahere malware family, gave us something even more dangerous in the form of a firmware-based rootkit. Regardless, rootkits are only around one percent of all malware output seen annually. 

Even so, because of the danger they can present, it would be prudent to understand how detecting rootkits that may have already infiltrated your system works.

Detecting Rootkits in Windows 10 (In-Depth)

Zacinlo had actually been in play for almost six years before being discovered targeting the Windows 10 platform. The rootkit component was highly configurable and protected itself from processes it deemed dangerous to its functionality and was capable of intercepting and decrypting SSL communications.

It would encrypt and store all of its configuration data within the Windows Registry and, while Windows was shutting down, rewrite itself from memory to disk using a different name, and update its registry key. This helped it to evade detection by your standard antivirus software.

This goes to show that a standard antivirus or antimalware software is not enough for detecting rootkits. Although, there are a few top tier antimalware programs that will alert you to suspicions of a rootkit attack. 

The 5 Key Attributes Of a Good Antivirus Software

Most of the prominent antivirus programs today will perform all five of these notable methods for detecting rootkits.

• Signature-based Analysis – The antivirus software will compare logged files with known signatures of rootkits. The analysis will also look for behavioral patterns that mimic certain operating activities of known rootkits, such as aggressive port use.
• Interception Detection – The Windows operating system employs pointer tables to run commands that are known to prompt a rootkit to act. Since rootkits attempt to replace or modify anything considered a threat, this will tip off your system to their presence.
• Multi-Source Data Comparison – Rootkits, in their attempt to remain hidden, may alter certain data presented in a standard examination. The returned results of high and low-level system calls can give away the presence of a rootkit. The software may also compare the process memory loaded into the RAM with the content of the file on the hard disk.
• Integrity Check – Every system library possesses a digital signature that is created at the time the system was considered “clean”. Good security software can check the libraries for any alteration of the code used to create the digital signature.
• Registry Comparisons – Most antivirus software programs have these on a preset schedule. A clean file will be compared with a client file, in real-time, to determine if the client is or contains an unrequested executable (.exe).

Performing Rootkit Scans

Performing a rootkit scan is the best attempt for detecting rootkit infection. Most often your operating system cannot be trusted to identify a rootkit on its own and presents a challenge to determine its presence. Rootkits are master spies, covering their tracks at almost every turn and capable of remaining hidden in plain sight.

If you suspect a rootkit virus attack has taken place on your machine, a good strategy for detection would be to power down the computer and execute the scan from a known clean system. A surefire way to locate a rootkit within your machine is through a memory dump analysis. A rootkit cannot hide the instructions it gives your system as it executes them in the machine’s memory.

Using WinDbg For Malware Analysis

Microsoft Windows has provided its own multi-function debugging tool that can be used to perform debugging scans on applications, drivers, or the operating system itself. It will debug kernel-mode and user-mode code, help analyze crash dumps, and examine the CPU registers.

Some Windows systems will come with WinDbg already bundled in. Those without will need to download it from the Microsoft Store. WinDbg Preview is the more modern version of WinDbg, providing easier on the eyes visuals, faster windows, complete scripting, and the same commands, extensions, and workflows as the original.

At the bare minimum, you can use WinDbg to analyze a memory or crash dump, including a Blue Screen Of Death (BSOD). From the results, you can look for indicators of a malware attack. If you feel that one of your programs may be hindered by the presence of malware, or is using more memory than is required, you can create a dump file and use WinDbg to help analyze it.

A complete memory dump can take up significant disk space so it may be better to perform a Kernel-Mode dump or Small Memory dump instead. A Kernel-Mode dump will contain all memory usage information by the kernel at the time of the crash. A Small Memory dump will contain basic information on varying systems like drivers, the kernel, and more, but is tiny in comparison.

Small Memory dumps are more useful in analyzing why a BSOD has occurred. For detecting rootkits, a complete or kernel version will be more helpful.

Creating A Kernel-Mode Dump File

A Kernel-Mode dump file can be created in three ways:

• Enable the dump file from Control Panel to allow the system to crash on its own
• Enable the dump file from Control Panel to force the system to crash
• Use a debugger tool to create one for you

We’ll be going with choice number three. 

To perform the necessary dump file, you only need to enter the following command into the Command window of WinDbg.

Replace FileName with an appropriate name for the dump file and the “?” with an f. Make sure that the “f” is lowercase or else you’ll create a different kind of dump file.

Once the debugger has run its course (the first scan will take considerable minutes), a dump file will have been created and you’ll be able to analyze your findings.

Understanding what it is your looking for, such as volatile memory (RAM) usage, to determine the presence of a rootkit takes experience and testing. It is possible, though not recommended for a novice, to test malware discovering techniques on a live system. To do this will again take expertise and in-depth knowledge on workings of WinDbg so as not to accidentally deploy a live virus into your system.

There are safer, more beginner-friendly ways to uncover our well-hidden enemy.

Additional Scanning Methods

Manual detection and behavioral analysis are also reliable methods for detecting rootkits. Attempting to discover the location of a rootkit can be a major pain so, instead of targeting the rootkit itself, you can instead look for rootkit-like behaviors.

You can look for rootkits in downloaded software bundles by using Advanced or Custom install options during installation. What you’ll need to look for are any unfamiliar files listed in the details. These files should be discarded, or you can do a quick search online for any references to malicious software.

Firewalls and their logging reports are an incredibly effective way to discover a rootkit. The software will notify you if your network is under scrutiny, and should quarantine any unrecognizable or suspicious downloads prior to installation. 

If you suspect that a rootkit may already be on your machine, you can dive into the firewall logging reports and look for any out of the ordinary behavior.

Reviewing Firewall Logging Reports

You’ll want to review your current firewall logging reports, making an open-source application like IP Traffic Spy with firewall log filtering capabilities, a very useful tool. The reports will show you what is necessary to see should an attack occur. 

If you have a large network with a standalone egress filtering firewall, IP Traffic Spy will not be necessary. Instead, you should be able to see the inbound and outbound packets to all devices and workstations on the network via the firewall logs.

Whether you’re in a home or small business setting, you can use the modem provided by your ISP or, if you own one, a personal firewall or router to pull up the firewall logs. You’ll be able to identify the traffic for each device connected to the same network. 

It may also be beneficial to enable Windows Firewall Log files. By default, the log file is disabled meaning no information or data is written.

• To create a log file, open up the Run function by pressing the Windows key + R.
• Type wf.msc into the box and press Enter.

• In the Windows Firewall and Advanced Security window highlight “Windows Defender Firewall with Advanced Security on Local Computer” in the left side menu. On the far right side menu under “Actions” click Properties.

• In the new dialog window, navigate over to the “Private Profile” tab and select Customize, which can be found in the “Logging” section.

• The new window will allow you to select how big of a log file to write, where you’d like the file sent, and whether to log only dropped packets, successful connection, or both.

• Dropped packets are those that Windows Firewall has blocked on your behalf.
• By default, Windows Firewall log entries will only store the last 4MB of data and can be found in the %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Keep in mind that increasing the size limit on data usage for logs can impact your computer’s performance.
• Press OK when finished.
• Next, repeat the same steps you just went through in the “Private Profile” tab, only this time in the “Public Profile” tab.
  • Logs will now be generated for both public and private connections. You can view the files in a text editor like Notepad or import them into a spreadsheet.
  • You can now export the logs’ files into a database parser program like IP Traffic Spy to filter and sort the traffic for easy identification.

Keep an eye out for anything out of the ordinary in the log files. Even the slightest system fault can indicate a rootkit infection. Something along the lines of excessive CPU or bandwidth usage when you’re not running anything too demanding, or at all, can be a major clue.

Related posts

• Download Quick Start Guide a Windows 10 de Microsoft

• Cómo usar Windows 10 PC - Basic Tutorial y consejos para principiantes

• Download Windows Ink Guide para Windows 10 de Microsoft

• Conocer Windows 10 Guide para Employees de Microsoft

• Group Policy Settings Reference Guide para Windows 10

• Hide Toolbars option en Taskbar Context Menu en Windows 10

• Step-by-Step Guide para instalar FFmpeg en Windows 10

• [Guía] Cómo proteger Windows 10

• Desactive el Lock Screen en Windows 10 [Guía]

• Cómo deshabilitar las salvaguardas para Feature Updates en Windows 10

• ¿Qué es el paquete de habilitación en Windows 10?

• Guía del Administrador de tareas de Windows 10 - Parte II

• No se puede conectar al Xbox Live; Fix Xbox Live Networking issue en Windows 10

• Guía del Administrador de tareas de Windows 10 – Parte I

• Top 3 Reddit apps para Windows 10 que están disponibles en Windows Store

• Una guía completa para la configuración del mouse en Windows 10

• Cómo deshabilitar las clases de almacenamiento extraíbles y el acceso en Windows 10

• Cómo instalar NumPy usando PIP en Windows 10

• Guía del Administrador de tareas de Windows 10 - Parte III

• Reset Network Data Usage en Windows 10 [Guía]