Rootkit

Fiche express
Type	Famille de malwares de dissimulation
Objectif	Masquer une compromission (fichiers, processus, réseau)
Niveaux	Userland, noyau (LKM/driver), firmware/UEFI
Détection	Chkrootkit, Rkhunter, RootkitRevealer
Voir aussi	Hacker defender · FU · Vanquish

Un rootkit est un logiciel qui remplace ou détourne des fonctions système par des versions malicieuses portant le même nom, afin de dissimuler la présence d'un attaquant : processus, fichiers, connexions réseau, clés de registre. Selon le niveau où il opère, on distingue les rootkits en mode utilisateur (userland), en mode noyau (module / driver, ex. DKOM) et au niveau du firmware (UEFI).

Exemples

• Hacker defender — rootkit Windows userland (HxDef)
• AFXRootkit 2005 — rootkit Windows userland
• FU — rootkit Windows noyau (DKOM)
• Vanquish — rootkit Windows par injection de DLL
• Lojax — rootkit UEFI (firmware)

Liste de rootkits connus

Liste (non exhaustive) de rootkits, vers et backdoors répertoriés par les détecteurs de type Rkhunter :

    55808 Trojan - Variant A
    ADM Worm
    AjaKit Rootkit
    Adore Rootkit
    aPa Kit
    Apache Worm
    Ambient (ark) Rootkit
    Balaur Rootkit
    BeastKit Rootkit
    beX2 Rootkit
    BOBKit Rootkit
    cb Rootkit
    CiNIK Worm (Slapper.B variant)
    Danny-Boy's Abuse Kit
    Devil RootKit
    Dica-Kit Rootkit
    Dreams Rootkit
    Duarawkz Rootkit
    Enye LKM
    Flea Linux Rootkit
    Fu Rootkit
    Fuck`it Rootkit
    GasKit Rootkit
    Heroin LKM
    HjC Kit
    ignoKit Rootkit
    IntoXonia-NG Rootkit
    Irix Rootkit
    Jynx Rootkit
    KBeast Rootkit
    Kitko Rootkit
    Knark Rootkit
    ld-linuxv.so Rootkit
    Li0n Worm
    Lockit / LJK2 Rootkit
    Mood-NT Rootkit
    MRK Rootkit
    Ni0 Rootkit
    Ohhara Rootkit
    Optic Kit (Tux) Worm
    Oz Rootkit
    Phalanx Rootkit
    Phalanx2 Rootkit
    Phalanx2 Rootkit (extended tests)
    Portacelo Rootkit
    R3dstorm Toolkit
    RH-Sharpe's Rootkit
    RSHA's Rootkit
    Scalper Worm
    Sebek LKM
    Shutdown Rootkit
    SHV4 Rootkit
    SHV5 Rootkit
    Sin Rootkit
    Slapper Worm
    Sneakin Rootkit
    'Spanish' Rootkit
    Suckit Rootkit
    Superkit Rootkit
    TBD (Telnet BackDoor)
    TeLeKiT Rootkit
    T0rn Rootkit
    trNkit Rootkit
    Trojanit Kit
    Tuxtendo Rootkit
    URK Rootkit
    Vampire Rootkit
    VcKit Rootkit
    Volc Rootkit
    Xzibit Rootkit
    zaRwT.KiT Rootkit
    ZK Rootkit

Détection

• RootkitRevealer (RKR) — Windows, comparaison des vues API / accès brut
• Chkrootkit / Rkhunter — Linux/Unix

Voir aussi

• Chkrootkit · Rkhunter · RootkitRevealer
• Botnet — usage des machines compromises