Rootkits, spionprogrammer og keyloggere

Rootkits klassifiseres etter hvor i systemet de opererer. Rootkits i brukermodus (programnivå) kjører i brukerområdet og kobler seg på API-kall; de er enklest å oppdage og fjerne. Rootkits i kjernemodus opererer med privilegier på operativsystemnivå og endrer datastrukturer i kjernen — de er svært skjulte og krever en driver eller en kjerneutnyttelse for å installeres. Bootkit (MBR-rootkit) infiserer Master Boot Record eller Volume Boot Record og lastes inn før operativsystemet — det er usynlig for operativsystemet under kjøringen. Hypervisor-rootkits (VM-baserte) ligger under operativsystemet og kjører det opprinnelige operativsystemet som en virtuell maskin — de er i teorien umulige å oppdage fra gjestesystemet.

Fordi rootkits kompromitterer operativsystemets egne rapporteringsmekanismer, krever oppdagelse at man undersøker fra utsiden av det infiserte operativsystemet. Teknikker omfatter: analyse på tvers av visninger (sammenligning av kjernedatastrukturer direkte i minnet med det API-ene rapporterer — avvik avslører skjulte elementer), integritetskontroll (sammenligning av hasher for kritiske systemfiler med kjente, pålitelige referanseverdier fra en klarert kilde), frakoblet skanning (oppstart fra en ren USB-enhet og skanning av stasjonen) og Secure Boot med TPM-attestering (kryptografisk kontroll av at oppstartskjeden ikke er endret). Verktøy omfatter GMER, Malwarebytes Anti-Rootkit og chkrootkit/rkhunter for Linux.

Spyware overvåker brukeraktivitet i hemmelighet og overfører informasjon til angriperen uten brukerens viten eller samtykke. Det kan samle inn nettleserhistorikk, søk, skjermbilder, bruk av programmer og posisjonsdata. Noe spyware markedsføres kommersielt som «overvåkingsprogramvare» for foreldrekontroll eller ansattovervåking (lovligheten varierer imidlertid mellom jurisdiksjoner). Ondsinnet spyware brukes av kriminelle og nasjonalstater til å hente ut sensitive forretningsdata, personopplysninger og immateriell eiendom i det skjulte. Spyware følger ofte med gratis programvare (PUP-er — Potentially Unwanted Programs), noe som gjør det vanskelig å identifisere kilden.

Stalkerware er spyware som er utformet for å overvåke nære partnere i det skjulte, og markedsføres til overgripere som verktøy for partnerovervåking. Det samler inn posisjon, samtaler, tekstmeldinger og aktivitet på sosiale medier. Kommersiell spyware (som NSO Groups Pegasus, Candiru og FinFisher) selges til myndigheter og politimyndigheter — ofte for å overvåke journalister, aktivister og dissidenter. Pegasus utnyttet zero-click-sårbarheter i iPhone for å installeres uten brukerinteraksjon. Coalition Against Stalkerware og sikkerhetsforskere har arbeidet for å legge til deteksjon av stalkerware i vanlige AV-produkter. Oppdagelse krever ofte en rettsmedisinsk analyse av enheten med verktøy som Amnesty Internationals Mobile Verification Toolkit (MVT).

En keylogger registrerer hvert tastetrykk brukeren skriver, inkludert passord, meldinger, kredittkortnumre og alle andre innskrevne data. Programvarebaserte keyloggere opererer på ulike nivåer: koblinger i brukermodus (SetWindowsHookEx API), drivere i kjernemodus (mer skjulte) eller form-grabbing-koblinger som fanger opp innsendinger av nettleserskjemaer før kryptering. Maskinvarebaserte keyloggere er fysiske enheter som kobles mellom tastaturet og datamaskinen — helt usynlige for programvarebasert deteksjon. De lagrer tastetrykk i internt minne for senere uthenting. Organisasjoner som beskytter områder med høye sikkerhetskrav, bør regelmessig kontrollere maskinvareporter for uautoriserte enheter.

Skjemafangere fanger opp data som sendes inn i nettleserskjemaer før de krypteres og sendes over nettverket — og samler dermed inn brukernavn, passord og kredittkortnumre idet de skrives inn. Zeus (Zbot), en beryktet banktrojaner, brukte skjemafangingskoblinger som ble injisert i nettleserprosesser. I motsetning til sniffere på nettverksnivå, som blokkeres av HTTPS, opererer skjemafangere på programnivå, slik at kryptering blir irrelevant. De kobler seg vanligvis på nettleserfunksjoner som InternetReadFile eller injiserer kode i nettleserprosessens minne. Moderne EDR-verktøy oppdager prosessinjeksjon og mønstre for kobling på nettleser-API-er som tyder på aktivitet fra skjemafangere.

Adware viser uønskede annonser og kan omdirigere nettlesertrafikk for å generere inntekter til operatørene. Selv om adware er mindre ødeleggende enn annen skadevare, svekker det systemytelsen, krenker personvernet og skaper sikkerhetsrisiko ved å omdirigere til ondsinnede nettsteder eller følge med på annen, farligere programvare. PUP-er (Potentially Unwanted Programs) er programvare som brukere kanskje ikke har installert med hensikt, og som ofte følger med gratis programvare gjennom villedende installasjonsdialoger. PUP-er befinner seg i en gråsone — de er kanskje ikke direkte ondsinnede, men bruker ressurser, krenker personvernet og skaper en inngangsvei for farligere infeksjoner.

Når skadevare er installert med tilstrekkelige privilegier, henter credential dumping lagrede legitimasjonsopplysninger fra minnet eller disken for lateral forflytning. Windows-prosessen LSASS lagrer legitimasjonsopplysninger i minnet for single sign-on. Verktøy som Mimikatz henter passord i klartekst eller NTLM-hasher fra LSASS-minnet. Forsvarere motvirker dette med Credential Guard (Windows 10+, bruker virtualiseringsbasert sikkerhet til å isolere LSASS i en sikker container), medlemskap i gruppen Protected Users (forhindrer bufring av legitimasjonsopplysninger) og EDR-regler som varsler ved tilgang til LSASS-minnet fra prosesser som ikke er systemprosesser.

Det er risikabelt å forsøke å fjerne et rootkit fra et system som kjører – rootkitet skjuler seg aktivt og kan oppdage forsøk på fjerning. Beste praksis ved håndtering av rootkits er å installere systemet på nytt fra et pålitelig grunnlag etter at rettsmedisinske bevis er sikret. Hvis det ikke er mulig å installere systemet på nytt umiddelbart: start fra et pålitelig eksternt medium (USB-medie med frakoblet skanner), kjør verktøy for rootkit-deteksjon før operativsystemet lastes inn, dokumenter alle artefakter og planlegg ny installasjon så snart som mulig. For bootkits bør De bruke Secure Boot med UEFI for å hindre usignerte oppstartslastere, og vurdere å skrive nuller til MBR før operativsystemet installeres på nytt.

I denne leksjonen har De lært at rootkits omgår API-er i operativsystemet for å skjule prosesser, filer og nettverkstilkoblinger, noe som gjør det upålitelig å oppdage dem fra det infiserte operativsystemet – det krever frakoblet skanning eller sammenligning av ulike visninger; spyware og keyloggere eksfiltrerer legitimasjonsopplysninger og data i det skjulte, med atferdsindikatorer som kan oppdages gjennom nettverksovervåking og inspeksjon av prosesser i EDR; og verktøy for credential dumping, som Mimikatz, som angriper LSASS, motvirkes av Windows Credential Guard og gruppepolicyer for Protected Users. Neste tema er filløs skadevare og living-off-the-land-angrep.