Bien qu'il soit possible de cacher les logiciels malveillants d'une manière qui trompera même les produits antivirus/anti-logiciels espions traditionnels, la plupart des programmes malveillants utilisent déjà des rootkits pour se cacher en profondeur sur votre PC Windows ... et ils deviennent de plus en plus dangereux ! ^(Windows)Le rootkit DL3 est l'un des rootkits les plus avancés jamais vus dans la nature. Le rootkit était stable et pouvait infecter les systèmes d'exploitation Windows^(Windows) 32 bits ; bien que des droits d'administrateur aient été nécessaires pour installer l'infection dans le système. Mais TDL3 a maintenant été mis à jour et est désormais capable d'infecter même les versions 64 bits de Windows^{(even 64-bit versions  Windows)} !

Qu'est-ce qu'un rootkit

Un virus Rootkit est un type de logiciel malveillant furtif  conçu pour masquer l'existence de certains processus ou programmes sur votre ordinateur aux méthodes de détection habituelles, afin de lui permettre, à lui ou à un autre processus malveillant, un accès privilégié à votre ordinateur.

Les rootkits pour Windows^{(Rootkits for Windows)} sont généralement utilisés pour masquer les logiciels malveillants, par exemple, un programme antivirus. Il est utilisé à des fins malveillantes par des virus, des vers, des portes dérobées et des logiciels espions. Un virus combiné à un rootkit produit ce que l'on appelle des virus furtifs. Les rootkits sont plus courants dans le domaine des logiciels espions, et ils sont également de plus en plus utilisés par les auteurs de virus.

Il s'agit désormais d'un type émergent de Super Spyware qui se cache efficacement et a un impact direct sur le noyau du système d'exploitation. Ils sont utilisés pour masquer la présence d'objets malveillants tels que des chevaux de Troie ou des enregistreurs de frappe sur votre ordinateur. Si une menace utilise la technologie rootkit pour se cacher, il est très difficile de trouver le malware sur votre PC.

Les rootkits en eux-mêmes ne sont pas dangereux. Leur seul but est de cacher les logiciels et les traces laissées dans le système d'exploitation. Qu'il s'agisse de logiciels normaux ou de programmes malveillants.

Il existe essentiellement trois types différents de Rootkit . Le premier type, les " Kernel Rootkits " ajoutent généralement leur propre code à des parties du noyau du système d'exploitation, tandis que le second type, les " User-mode Rootkits " sont spécialement destinés à Windows pour démarrer normalement lors du démarrage du système, ou injecté dans le système par un soi-disant "Dropper". Le troisième type est MBR Rootkits ou Bootkits^{(MBR Rootkits or Bootkits)} .

Lorsque vous constatez que votre antivirus et votre anti- espion^{(AntiSpyware)} échouent, vous devrez peut-être faire appel à un bon utilitaire anti-rootkit^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer de Microsoft Sysinternals est un utilitaire avancé de détection de rootkit. Sa sortie répertorie les divergences entre le registre^(Registry) et l' API du système de fichiers qui peuvent indiquer la présence d'un rootkit en mode utilisateur ou en mode noyau.

^{(Microsoft Malware Protection Center Threat Report)}Rapport sur  les menaces du Microsoft Malware Protection Center concernant les rootkits

Microsoft Malware Protection Center a mis à disposition pour téléchargement son rapport^{(Threat Report)} sur les menaces sur les rootkits . Le rapport examine l'un des types de logiciels malveillants les plus insidieux qui menacent aujourd'hui les organisations et les individus : le rootkit. Le rapport examine comment les attaquants utilisent les rootkits et comment les rootkits fonctionnent sur les ordinateurs concernés. Voici l'essentiel du rapport, en commençant par ce que sont les rootkits - pour le débutant.

Le rootkit^(Rootkit) est un ensemble d'outils qu'un attaquant ou un créateur de malware utilise pour prendre le contrôle de tout système exposé/non sécurisé qui est normalement réservé à un administrateur système. Ces dernières années, le terme 'ROOTKIT' ou 'ROOTKIT FUNCTIONALITY' a été remplacé par MALWARE - un programme conçu pour avoir des effets indésirables sur un ordinateur sain. La fonction principale des logiciels malveillants est de retirer secrètement des données précieuses et d'autres ressources de l'ordinateur d'un utilisateur et de les fournir à l'attaquant, lui donnant ainsi un contrôle total sur l'ordinateur compromis. De plus, ils sont difficiles à détecter et à éliminer et peuvent rester cachés pendant de longues périodes, voire des années, s'ils passent inaperçus.

Alors naturellement, les symptômes d'un ordinateur compromis doivent être masqués et pris en considération avant que l'issue ne s'avère fatale. En particulier, des mesures de sécurité plus strictes doivent être prises pour découvrir l'attaque. Mais, comme mentionné, une fois ces rootkits/malwares installés, ses capacités furtives rendent difficile sa suppression ainsi que ses composants qu'il pourrait télécharger. Pour cette raison, Microsoft a créé un rapport sur ROOTKITS .

Le rapport de 16 pages décrit comment un attaquant utilise les rootkits et comment ces rootkits fonctionnent sur les ordinateurs concernés.

Le seul objectif du rapport est d'identifier et d'examiner de près les logiciels malveillants puissants qui menacent de nombreuses organisations, en particulier les utilisateurs d'ordinateurs. Il mentionne également certaines des familles de logiciels malveillants les plus répandues et met en lumière la méthode utilisée par les attaquants pour installer ces rootkits à leurs propres fins égoïstes sur des systèmes sains. Dans le reste du rapport, vous trouverez des experts faisant des recommandations pour aider les utilisateurs à atténuer la menace des rootkits.

Types de rootkits

Il existe de nombreux endroits où les logiciels malveillants peuvent s'installer dans un système d'exploitation. Ainsi, la plupart du temps, le type de rootkit est déterminé par son emplacement où il effectue sa subversion du chemin d'exécution. Ceci comprend:

1. Rootkits en mode utilisateur
2. Rootkits en mode noyau
3. Rootkits/bootkits MBR

L'effet possible d'un rootkit en mode noyau compromis est illustré par une capture d'écran ci-dessous.

Le troisième type consiste à modifier le Master Boot Record pour prendre le contrôle du système et démarrer le processus de chargement le plus tôt possible dans la séquence de démarrage3. Il cache les fichiers, les modifications du registre, les preuves des connexions réseau ainsi que d'autres indicateurs possibles qui peuvent indiquer sa présence.

Familles de logiciels malveillants^(Malware) notables qui utilisent la fonctionnalité Rootkit

• Win32/Sinowal 13 – Une famille de logiciels malveillants à plusieurs composants qui tente de voler des données sensibles telles que les noms d'utilisateur et les mots de passe pour différents systèmes. Cela inclut les tentatives de vol des informations d'authentification pour une variété de comptes FTP , HTTP et de messagerie, ainsi que les informations d'identification utilisées pour les opérations bancaires en ligne et d'autres transactions financières.
• Win32/Cutwail 15 – Un cheval de Troie^(Trojan) qui télécharge et exécute des fichiers arbitraires. Les fichiers téléchargés peuvent être exécutés à partir du disque ou injectés directement dans d'autres processus. Bien que la fonctionnalité des fichiers téléchargés soit variable, Cutwail télécharge généralement d'autres composants qui envoient du spam. Il utilise un rootkit en mode noyau et installe plusieurs pilotes de périphériques pour masquer ses composants aux utilisateurs concernés.
• Win32/Rustock  – Une famille multi-composants de chevaux de Troie^(Trojans) de porte dérobée compatibles avec les rootkits initialement développés pour aider à la distribution de courriers indésirables via un botnet . Un botnet est un vaste réseau d'ordinateurs compromis contrôlé par des pirates.

Protection contre les rootkits

Empêcher l'installation des rootkits est la méthode la plus efficace pour éviter l'infection par les rootkits. Pour cela, il est nécessaire d'investir dans des technologies de protection telles que des produits anti-virus et pare-feu. Ces produits doivent adopter une approche globale de la protection en utilisant la détection traditionnelle basée sur les signatures, la détection heuristique, la capacité de signature dynamique et réactive et la surveillance du comportement.

Tous ces ensembles de signatures doivent être tenus à jour à l'aide d'un mécanisme de mise à jour automatisé. Les solutions antivirus Microsoft^(Microsoft) incluent un certain nombre de technologies conçues spécifiquement pour atténuer les rootkits, y compris la surveillance en direct du comportement du noyau qui détecte et signale les tentatives de modification du noyau d'un système affecté, et l'analyse directe du système de fichiers qui facilite l'identification et la suppression des pilotes cachés.

Si un système est trouvé compromis, un outil supplémentaire qui vous permet de démarrer sur un bon environnement connu ou de confiance peut s'avérer utile car il peut suggérer des mesures correctives appropriées.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

Dans de telles circonstances,

1. L' outil Standalone System Sweeper (qui fait partie de ^{(Standalone System Sweeper)}Microsoft Diagnostics and Recovery Toolset ( DaRT )
2. Windows Defender hors ligne^{(Defender Offline)} peut être utile.

Pour plus d'informations, vous pouvez télécharger le rapport PDF à partir du ^(PDF)Centre de téléchargement Microsoft.^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While іt iѕ possible to hide mаlware in a way that will fool even the traditional antivirus/antispyware produсts, most malware programs are already using rootkits to hide deep on your Windows PС … and they are getting more dangeroυs! The DL3 rootkit is one of the most advanсed rootkits ever seen in the wild. The rоotkit wаs stable and could infect 32 bit Windows operating systems; although administrator rights were needed to іnstall the infection in the system. But TDL3 has now been updated and is now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• Comment faire pour éviter Phishing Scams and Attacks?

• Qu'est-ce que la télécommande Access Trojan? Prévention, Detection & Removal

• Remove virus à partir de USB Flash Drive en utilisant Command Prompt or Batch File

• Rogue Security Software or Scareware: Comment vérifier, empêcher, supprimer?

• Qu'est-ce que WIN32: BogEnt et comment le supprimer?

• Microsoft Windows Logo process dans Task Manager; Est-ce un virus?

• Cyber Attacks - Définition, Types, prévention

• Qu'est-ce qu'un Backdoor attack? Meaning, Examples, Definitions

• Comment désinstaller ou supprimer Driver Tonic de Windows 10

• Malware Removal Tools libre Specific Virus en Windows 11/10

• Fileless Malware Attacks, Protection and Detection

• Meilleur logiciel gratuit de suppression de logiciels espions et de logiciels malveillants

• Comment vérifier si un fichier est malveillant ou non sous Windows 11/10

• Quels sont vivant des Land attaques? Comment rester en sécurité?

• Malware Submission: Où soumettre des fichiers malveillants au Microsoft & others?

• Les meilleurs scanners de virus et de logiciels malveillants GARANTIS pour nuke n'importe quel virus

• IObit Malware Fighter Free review & download

• Comment supprimer Chromium Virus de Windows 11/10

• Comment checter Registry pour les logiciels malveillants dans Windows 10

• Comment supprimer les virus de Windows 10; Malware Removal Guide