Rootkity, spyware i keyloggery

Podczas gdy wiele rodzajów złośliwego oprogramowania sygnalizuje swoją obecność widocznymi szkodami, pewna klasa złośliwego oprogramowania została zaprojektowana tak, aby pozostawać ukryta przed użytkownikami, administratorami i narzędziami bezpieczeństwa, jednocześnie po cichu realizując cele atakującego. Rootkity, spyware i keyloggery reprezentują skrajnie skrytą kategorię złośliwego oprogramowania. Ich skuteczność zależy od utrzymania się bez wykrycia — mogą pozostawać aktywne przez miesiące lub lata, po cichu wykradając dane uwierzytelniające i dane. Zrozumienie stosowanych przez nie technik ukrywania się ma kluczowe znaczenie podczas analizy kryminalistycznej oraz przy wyborze narzędzi wykrywających, które potrafią znaleźć to, co pomijają standardowe skanowania.

Rootkit modyfikuje system operacyjny lub oprogramowanie niskopoziomowe, aby ukryć obecność atakującego. Termin ten pochodzi od uniksowego słowa „root” (najwyższy poziom uprawnień) oraz „kit” (zestaw narzędzi). Rootkity przechwytują funkcje systemu operacyjnego, aby ukrywać pliki, klucze rejestru, procesy i połączenia sieciowe przed standardowymi narzędziami inspekcji systemu. Proces działający z rootkitem może nie pojawić się w Menedżerze zadań, jego połączenia sieciowe nie będą widoczne w narzędziu netstat, a jego pliki nie pojawią się na listach katalogów — ponieważ wszystkie te narzędzia odpytują system operacyjny za pośrednictwem tych samych interfejsów API, które rootkit przejął. Rootkity są niezwykle trudne do wykrycia z poziomu zainfekowanego systemu operacyjnego.

Rootkity klasyfikuje się na podstawie miejsca ich działania w systemie. Rootkity trybu użytkownika (na poziomie aplikacji) działają w przestrzeni użytkownika i przechwytują wywołania API; najłatwiej je wykryć i usunąć. Rootkity trybu jądra działają z uprawnieniami na poziomie systemu operacyjnego i modyfikują struktury danych jądra — są bardzo trudne do wykrycia i do zainstalowania wymagają sterownika lub wykorzystania luki w jądrze. Bootkit (rootkit MBR) infekuje główny rekord rozruchowy lub rekord rozruchowy woluminu i ładuje się przed systemem operacyjnym — podczas działania pozostaje niewidoczny dla systemu operacyjnego. Rootkity hypervisora (oparte na maszynie wirtualnej) działają poniżej systemu operacyjnego, uruchamiając oryginalny system jako maszynę wirtualną — teoretycznie są niewykrywalne z poziomu systemu gościa.

Ponieważ rootkity przejmują własne mechanizmy raportowania systemu operacyjnego, ich wykrywanie wymaga analizy prowadzonej spoza zainfekowanego systemu operacyjnego. Stosowane techniki obejmują: analizę porównawczą widoków (bezpośrednie porównywanie struktur danych jądra w pamięci z informacjami raportowanymi przez API — rozbieżności ujawniają ukryte elementy), weryfikację integralności (porównywanie skrótów krytycznych plików systemowych ze znanymi poprawnymi wartościami bazowymi pochodzącymi z zaufanego źródła), skanowanie offline (uruchomienie systemu z czystego nośnika USB i przeskanowanie dysku) oraz Secure Boot z atestacją TPM (kryptograficzną weryfikację, że łańcuch rozruchowy nie został zmodyfikowany). Do narzędzi należą GMER, Malwarebytes Anti-Rootkit oraz chkrootkit/rkhunter dla systemu Linux.

Spyware potajemnie monitoruje aktywność użytkownika i przesyła informacje atakującemu bez wiedzy lub zgody użytkownika. Może przechwytywać historię przeglądania, zapytania wyszukiwania, zrzuty ekranu, informacje o używanych aplikacjach oraz dane lokalizacyjne. Część spyware jest komercyjnie oferowana jako „oprogramowanie monitorujące” do kontroli rodzicielskiej lub monitorowania pracowników (choć legalność takich działań zależy od jurysdykcji). Złośliwe spyware jest wykorzystywane przez przestępców i państwa do cichego wykradania poufnych danych biznesowych, informacji osobowych i własności intelektualnej. Spyware często jest dołączane do bezpłatnego oprogramowania (PUP — potencjalnie niepożądanych programów), co utrudnia ustalenie jego źródła.

Stalkerware to spyware zaprojektowane do potajemnego monitorowania osób pozostających w bliskich relacjach, sprzedawane sprawcom przemocy jako narzędzie nadzoru nad partnerem. Przechwytuje lokalizację, połączenia, wiadomości tekstowe i aktywność w mediach społecznościowych. Komercyjne spyware (takie jak Pegasus firmy NSO Group, Candiru i FinFisher) jest sprzedawane rządom i organom ścigania — często w celu atakowania dziennikarzy, aktywistów i dysydentów. Pegasus wykorzystywał luki w iPhone'ach umożliwiające instalację bez żadnej interakcji użytkownika. Coalition Against Stalkerware oraz badacze bezpieczeństwa pracowali nad dodaniem wykrywania stalkerware do popularnych produktów antywirusowych. Wykrywanie często wymaga analizy kryminalistycznej urządzenia przy użyciu narzędzi takich jak Mobile Verification Toolkit (MVT) firmy Amnesty International.

Keylogger rejestruje każde naciśnięcie klawisza, przechwytując hasła, wiadomości, numery kart kredytowych i wszelkie inne wprowadzane dane. Keyloggery programowe działają na różnych poziomach: wykorzystują mechanizmy przechwytywania w trybie użytkownika (API SetWindowsHookEx), sterowniki w trybie jądra (zapewniające większą skrytość) lub mechanizmy przechwytywania formularzy, które przechwytują dane przesyłane przez formularze przeglądarki przed ich zaszyfrowaniem. Sprzętowe keyloggery to fizyczne urządzenia podłączane między klawiaturą a komputerem — całkowicie niewidoczne dla detekcji opartej na oprogramowaniu. Przechowują naciśnięcia klawiszy w pamięci wewnętrznej do późniejszego odczytu. Organizacje chroniące obszary o wysokim poziomie bezpieczeństwa powinny regularnie sprawdzać porty sprzętowe pod kątem nieautoryzowanych urządzeń.

Mechanizmy przechwytywania formularzy przechwytują dane przesyłane w formularzach przeglądarki, zanim zostaną zaszyfrowane i wysłane przez sieć — przechwytując nazwy użytkowników, hasła i numery kart kredytowych w momencie ich wprowadzania. Zeus (Zbot), osławiony trojan bankowy, wykorzystywał mechanizmy przechwytywania wstrzykiwane do procesów przeglądarki. W przeciwieństwie do snifferów działających na poziomie sieci, które blokuje HTTPS, mechanizmy przechwytywania formularzy działają na poziomie aplikacji, przez co szyfrowanie nie ma znaczenia. Zwykle przechwytują funkcje przeglądarki, takie jak InternetReadFile, lub wstrzykują kod do pamięci procesu przeglądarki. Współczesne narzędzia EDR wykrywają wzorce wstrzykiwania procesów i przechwytywania API przeglądarki wskazujące na aktywność tego typu mechanizmów.

Adware wyświetla niechciane reklamy i może przekierowywać ruch przeglądarki, aby generować przychody dla operatorów. Choć adware jest mniej destrukcyjne niż inne rodzaje złośliwego oprogramowania, obniża wydajność systemu, narusza prywatność i stwarza zagrożenia bezpieczeństwa, przekierowując użytkownika do złośliwych witryn lub dołączając się do bardziej niebezpiecznego oprogramowania. PUP (Potentially Unwanted Programs) to programy, których użytkownicy mogli nie instalować celowo; często są dołączane do bezpłatnego oprogramowania za pomocą wprowadzających w błąd okien instalatora. PUP zajmują obszar pośredni — nie muszą być jednoznacznie złośliwe, ale zużywają zasoby, naruszają prywatność i tworzą drogę dla poważniejszych infekcji.

Po zainstalowaniu złośliwego oprogramowania z wystarczającymi uprawnieniami dumpowanie poświadczeń pozwala wyodrębnić poświadczenia przechowywane w pamięci lub na dysku w celu przeprowadzenia ruchu lateralnego. Proces Windows LSASS przechowuje poświadczenia w pamięci na potrzeby jednokrotnego logowania. Narzędzia takie jak Mimikatz zrzucają hasła w postaci jawnego tekstu lub skróty NTLM z pamięci LSASS. Obrońcy przeciwdziałają temu za pomocą Credential Guard (Windows 10 i nowsze, wykorzystuje zabezpieczenia oparte na wirtualizacji do odizolowania LSASS w bezpiecznym kontenerze), członkostwa w grupie Protected Users (zapobiega buforowaniu poświadczeń) oraz reguł EDR, które generują alerty przy dostępie do pamięci LSASS z procesów niesystemowych.

Próba usunięcia rootkita z działającego systemu jest ryzykowna — rootkit aktywnie się ukrywa i może wykryć próby usunięcia. Najlepszą praktyką przy usuwaniu rootkita jest odtworzenie obrazu systemu na podstawie zaufanej konfiguracji bazowej po zabezpieczeniu dowodów kryminalistycznych. Jeśli pełne odtworzenie obrazu nie jest od razu możliwe, należy uruchomić komputer z zaufanego nośnika zewnętrznego (pamięci USB z skanerem offline), uruchomić narzędzia do wykrywania rootkitów przed załadowaniem systemu operacyjnego, udokumentować wszystkie artefakty oraz zaplanować odtworzenie obrazu przy najbliższej okazji. W przypadku bootkitów należy używać funkcji Secure Boot z UEFI, aby uniemożliwić uruchamianie niepodpisanych programów rozruchowych, a przed ponowną instalacją systemu operacyjnego rozważyć wyzerowanie MBR.

Sprawdź swoją znajomość zagadnień z egzaminu CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że rootkity przechwytują interfejsy API systemu operacyjnego, aby ukrywać procesy, pliki i połączenia sieciowe, przez co wykrywanie zagrożenia z poziomu zainfekowanego systemu operacyjnego jest niewiarygodne i wymaga skanowania offline lub analizy porównawczej, spyware i keyloggery po cichu wykradają poświadczenia i dane, a ich wskaźniki behawioralne można wykrywać za pomocą monitorowania sieci i inspekcji procesów EDR, natomiast narzędzia do dumpowania poświadczeń, takie jak Mimikatz, atakujące LSASS są ograniczane przez Windows Credential Guard i zasady grupy Protected Users. W następnej części omówimy bezplikowe złośliwe oprogramowanie oraz ataki typu living-off-the-land.