6 種 Rootkit 類型：偵測與預防提示

Rootkit 是網路攻擊者用來未經授權存取系統的惡意工具。這些持久且隱匿的惡意軟體程式會深度嵌入您的作業系統中，以維持對應用程式、檔案和資料的長期存取，並避免被偵測。

Rootkit 很危險，因為它們可以操控系統運作、授予攻擊者特權存取、竊取資料，並將惡意程式碼隱藏在遭入侵的系統中以重新取得控制權。它們會中斷您的營運、暴露敏感資料、損害您的品牌聲譽，並造成不合規風險與罰則。

本文涵蓋什麼是 rootkit、rootkit 的類型，以及預防它們的最佳實務。

什麼是 Rootkit？

Rootkit 的定義指出，它是一種惡意程式或一組惡意軟體（malicious software），可讓網路攻擊者對通常不允許存取的電腦、裝置或軟體取得 root 層級的遠端存取權。

Rootkit 通常由多個惡意軟體工具組成，其設計目的是滲透系統，並讓網路犯罪分子取得 root 存取權或特權存取權。在未經授權存取裝置後，rootkit 會在其中隱藏惡意程式碼，以便在不被偵測的情況下控制組織的裝置、作業系統等。

由於 rootkit 可以長時間保持隱藏，因此它是最難發現與清除的惡意軟體之一。有些組織甚至會將 rootkit 用於合法用途，例如在終端使用者知情並同意的情況下提供終端使用者支援。

大多數 rootkit 會為勒索軟體、病毒及其他類型病毒等惡意軟體建立後門路徑，使其能進入組織的系統與網路以發動進一步攻擊。它包含多種惡意工具，包括 bot，可發動鍵擊記錄器與 DDoS （分散式阻斷服務）攻擊。因此，它可以停用安全系統、竊取信用卡詳細資料、竊取密碼及其他個人詳細資料。

「rootkit」一詞是由兩個字組成——「Root」和「Kit」。「Root」指的是類 Unix 系統上的管理員/特權帳戶，而「Kit」則指執行該工具的軟體元件。一旦安裝完成，它便能在不被偵測的情況下執行檔案、修改系統組態等。

為什麼 Rootkit 是威脅？

當 rootkit 被用於惡意目的時，它們就是網路安全威脅，能在偽裝狀態下為攻擊者提供未經授權的存取。如此一來，它們便可存取您的系統、網路、營運和敏感資料，並執行惡意活動，例如竊取資料和要求贖金。讓我們了解 rootkit 的影響：

• 惡意軟體部署：Rootkit 會在您的系統中部署 惡意軟體，例如間諜軟體或勒索軟體。它們會建立無法偵測的後門，讓攻擊者即使在初始入侵已解決後仍可重新進入您的系統。進階惡意軟體可以停用傳統安全工具，讓攻擊者得以降低系統效能。
• 難以偵測與移除：Rootkit 可在低層級運作，例如在韌體或核心內，因此難以從您的系統中偵測與移除。傳統的 rootkit 偵測工具通常無法顯示您的系統中是否存在 rootkit，讓攻擊者更容易利用您的系統與資料。
• 隱匿性與持久性：駭客會將 rootkit 深植於系統中，例如在應用程式、韌體或核心層級。這些 rootkit 可輕易繞過防火牆和傳統防毒軟體等安全工具。即使在重新開機或軟體更新後，它們仍具持久性，並可對您的系統提供隱匿存取。
• 財務與聲譽損害：Rootkit 攻擊者可能竊取或洩露您的敏感業務與客戶資料。未能符合資料安全與隱私準則，將招致監管機關更嚴格的審查、沉重的處罰與罰款。這會損害您的財務與業界聲譽，並使您面臨失去客戶、合作夥伴與投資人的風險。
• 營運中斷：組織希望維持營運持續性，以提供良好的客戶服務並維持客戶信任。Rootkit 會操控並破壞其檔案與資料，導致系統當機與停機。這讓攻擊者得以存取關鍵基礎設施，例如金融系統或供應鏈，進而中斷並延遲您的營運。

網路安全中的 6 種 Rootkit 類型

Rootkit 會進入系統，讓攻擊者在對 rootkit 偵測工具保持隱藏的情況下存取其所有檔案與資料。它們在不同層級運作，並依其目標層與功能進行分類。

網路安全中的不同 rootkit 類型包括：

1. 核心層級 Rootkit

核心層級 rootkit 是在作業系統核心（稱為 Kernel）運作的惡意軟體。這些 rootkit 會修改作業系統核心，以在隱藏其存在的同時執行有害活動。這些活動包括攔截網路通訊、隱藏程序等。由於具有核心層級特權存取權，這些 rootkit 是最難偵測的惡意軟體之一。

核心層級 rootkit 以「kernel mode」執行，這表示它們擁有對您系統資源的最高層級存取權，並讓網路犯罪分子能輕易操控系統功能。它們會變更核心程式碼，以向您的標準安全工具隱藏其惡意行為。它們以與您的作業系統相似的安全層級運作，以避免被偵測。

如何偵測並移除核心層級 Rootkit？

若要偵測組織系統中的異常，您可以使用核心完整性工具，例如用於已知與未知 rootkit 的 RKhunter，以及用於已知 rootkit 的 Chkrootkit。您也可以監控系統中的可疑或異常行為，例如效能突然下降或非預期當機。另一個選項是將核心檔案與記憶體系統結構與未遭變更且已知的基準進行比較，以偵測惡意軟體。

請嘗試使用可信任來源重新安裝您的作業系統，以移除所有惡意修改與核心層級 rootkit。您也可以使用具備 rootkit 移除功能的進階安全解決方案等專用工具。

核心層級 Rootkit 範例： 一些以散布勒索軟體聞名的核心模式 rootkit 包括 Necurs、Demodex、Knark、Diamorphine、Glupteba、Reptile、FudModule、Zero Access 和 Adore。

2. 使用者模式 Rootkit

使用者模式 rootkit 是由網路犯罪分子設計、在電腦網路的應用程式層運作的惡意軟體。這就是為什麼它們也被稱為應用程式 rootkit。它們會透過取代系統程式庫與可執行檔，並修改 API 的行為，在使用者層級應用程式與程序的範圍內運作。

使用者模式 rootkit 的目的是在隱藏其存在的同時，讓 網路攻擊者 能在不被偵測的情況下持續控制您遭入侵的系統。雖然它的侵入性低於核心層級 rootkit，但由於其能操控應用程式行為，因此仍構成威脅。它會先進入您的系統，並取代標準系統檔案以隱藏其惡意檔案。其主要目標是攔截 API 呼叫，以操控您的應用程式運作方式。

如何偵測與移除？

您可以使用各種技術與工具，從系統中偵測並清除使用者模式 rootkit。

• 定期監控您的系統行為，以發現異常活動，例如未知實體造成的記憶體使用量或 CPU 使用率偏高、可疑的網路連線，以及檔案遺失。
• 將您的系統檔案與原始版本進行比較，以偵測系統中的惡意變更。
• 使用 API 監控、rootkit 掃描器和記憶體分析等技術，以輕鬆偵測使用者模式 rootkit。

一旦偵測到 rootkit，移除程序就不會太困難。使用專用工具終止在您電腦上執行的可疑程序，例如 端點偵測與回應（EDR）工具 或工作管理員。您可以從備份還原遭到變更的檔案，以順利執行作業。使用進階防毒與網路資安軟體掃描您的系統是否存在 rootkit。

使用者模式 rootkit 範例： 一些常見的使用者模式 rootkit 包括 Hacker Defender、Vanquish、Adore-ng 和 Aphex。

3. Bootkit

Bootkit 是一種核心層級的 rootkit，會在系統載入前攻擊磁碟區開機記錄、Unified Extensible Firmware Interface、主開機記錄和開機區段。它們會在開機序列的早期階段取得系統控制權，藉此鎖定電腦的開機程序。它們通常透過 USB 隨身碟、外接硬碟或光碟進入，因為這些程序會告訴攻擊者 bootloader 程式的位置。

當網路犯罪分子找到 bootloader 程式時，他們會以惡意 bootloader 取代真正的 bootloader。他們會修改 bootloader 並注入惡意程式碼，讓攻擊者得以控制系統。Bootkit 很難偵測，且可能對您的系統造成嚴重損害。

如何偵測並移除 Bootkit？

偵測與移除 Bootkit 具有挑戰性，因為它們會在作業系統載入前於低層級運作。不過，透過進階工具與技術，您可以輕鬆識別並清除系統中的它們。持續監控您的系統，以檢查系統是否變慢或出現異常行為。使用端點偵測工具來識別威脅。

移除 Bootkit 的過程可能會對您的系統造成某些損害。因此，請將關鍵檔案備份到外接磁碟或雲端儲存空間，並掃描是否含有惡意軟體。使用高階網路資安工具從您的 bootloader 中移除 Bootkit。您也可以使用命令提示字元修復 bootloader，或更新韌體以覆寫惡意程式碼。

Bootkit 範例： 一些常見的 Bootkit 包括 Stoned Bootkit、Rovnix、Olmasco、TDL4、Mebroot、MoonBounce、GrayFish、FinFisher 和 Petya。

4. 記憶體型 Rootkit

記憶體型 rootkit 會佔用系統的 RAM，並設計成具揮發性且可隱匿運作。即使您使用傳統威脅偵測工具，它們甚至也能繞過偵測。記憶體型 rootkit 的問題在於，它們不會在檔案系統中留下任何可供調查的痕跡，因此通常更難偵測與修復。如果您重新啟動電腦，它們可能會消失，但在活躍期間會造成大量損害。

記憶體型 rootkit 會透過惡意程式消耗大量 RAM 資源，以妨礙效能並降低生產力。它們會修改記憶體中的系統功能、核心結構和 API 來隱藏其存在。它們使用處理程序鏤空、程式碼注入和 DLL 注入等方法進入系統記憶體並危害執行中的處理程序。

如何偵測並移除記憶體型 Rootkit？

留意異常的系統變慢、網路流量異常，以及非預期的記憶體使用量激增，以偵測記憶體型 rootkit。使用核心偵錯器等進階網路資安工具來監控並識別對核心結構的未授權修改。

記憶體型 rootkit 具有揮發性，因此您可以重新啟動系統來移除 rootkit。不過，您需要先保護所有檔案與資料，並檢查攻擊的根本原因，以便在安全重新啟動後備份所有資訊。如果您偵測到其存在，請立即將系統與網路中斷連線，以防止惡意軟體進一步擴散。請務必使用安全環境來修復系統，並在不中斷的情況下持續執行作業。

記憶體型 rootkit 範例： DarkComet RAT、Duqu、Stuxnet、Fanny Worm 和 Code Red 都是會利用組織系統的記憶體型 rootkit。

5. 韌體 Rootkit

韌體 rootkit 會鎖定裝置的韌體，例如網路卡、硬碟和 BIOS。它們是持久性惡意軟體，即使您重新啟動或重新安裝作業系統，也能輕易存活。它們利用平台或裝置，將持久性惡意軟體映像植入網路卡、BIOS、硬碟或路由器中，並長時間保持隱匿。

韌體是管理系統功能的低層級軟體，並在高層級軟體與硬體之間提供介面。韌體 rootkit 在相同層級運作，並在相同介面上活動以竊取關鍵資訊。這類 rootkit 也有合法用途，例如第三方供應商預先安裝在 BIOS 映像中的防盜技術。然而，網路犯罪分子會利用此程序來竊取您的系統資料。

如何偵測並移除韌體 Rootkit？

韌體 rootkit 具有持久性與隱匿性，駐留在裝置韌體中並於低層級運作。您可以監控系統，留意非預期的系統重新啟動、無法重新刷寫韌體、開機程序中的異常，以及系統重新安裝後再次感染等情況。此外，也要留意來自韌體層級元件的異常網路流量、效能問題等，以偵測韌體 rootkit。

使用來自硬體製造商、可信任且乾淨的版本重新刷寫韌體；如果刷寫後 rootkit 仍然存在，請更換已遭入侵的硬體。您可以使用進階安全工具來偵測並移除韌體 rootkit，而不影響系統效能或危及資料。

韌體 rootkit 範例： 一些韌體 rootkit 包括 LoJax、MoonBounce、Shamoon、VGA、Cloaker、Thunderstrike，以及 hacking team 的 UEFI rootkit。

6. Hypervisor（虛擬化）Rootkit

Hypervisor rootkit 是網路犯罪分子用來攻擊您系統虛擬化技術並取得控制權的進階惡意軟體。它們也稱為虛擬化工具組，會鎖定軟體層以利用虛擬機器（VM）。它們會在您的作業系統中建立惡意虛擬機器作為 guest，以在不被偵測的情況下互動並操控系統作業。

Hypervisor rootkit 不需要修改或變更作業系統核心，就能拖垮系統效能。相反地，它們會將自己安裝為惡意 VM，或修改現有 VM，使其位於 OS 與硬體之間。它們也會取得作業系統的控制權並修改系統行為，以竊取敏感資訊。

如何偵測並移除 Hypervisor Rootkit？

由於是在低層級運作，使用傳統安全工具與方法來偵測和移除 Hypervisor rootkit 相當複雜。您需要部署進階網路資安解決方案，以在不危及資料與系統效能的情況下識別並清除 rootkit。您也可以執行外部與內部監控，以找出效能變慢、資源使用異常，以及 Hypervisor 層中的問題。

從可信任供應商取得官方 Hypervisor 安裝套件並重新安裝，以重新取得所有安全設定。您可以套用最新更新來更新 Hypervisor 與韌體軟體，輕鬆修補弱點。移除隱匿型 rootkit 的最佳方式，是先備份所有資料、清除包含韌體與儲存驅動程式在內的整個系統，然後在系統中重新安裝 Hypervisor 與 OS，以清除虛擬化 rootkit。

Hypervisor rootkit 範例： 一些 Hypervisor 或虛擬化 rootkit，例如 Blue Pill、SubVirt 和 Vitriol，被用來展示 Hypervisor 層級攻擊的潛力。

預防 Rootkit：最佳實務

Rootkit 是最具隱匿性且最持久的惡意軟體形式之一，能夠隱藏其存在，同時讓攻擊者未經授權存取系統。為了維持營運持續性並維護公司的聲譽，請實施以下最佳實務，以防止 rootkit 進入您系統的應用程式、核心或韌體層。

• 讓系統保持更新： 網路攻擊者會鎖定過時的韌體或軟體，因為其中包含容易被利用的弱點。您必須定期更新作業系統、韌體和應用程式，以修補已知與未知弱點。導入自動化以減少延遲，並保護您的應用程式與韌體層。

• 改善驗證機制： 遭入侵且薄弱的憑證會讓攻擊者得以遠端安裝 rootkit。因此，您必須透過為所有人實施多重要素驗證、執行強式密碼政策，以及監控可疑登入嘗試，來強化驗證機制。

• 實施最小權限存取： 過多的存取權限會增加您的攻擊面，並為 rootkit 進入系統鋪路。限制使用者權限可降低取得管理員存取權的機會，並縮小攻擊面。僅指派使用者履行其工作職責所需的必要權限，並限制管理員權限。請隨時留意未授權存取、調查事件，並防止 rootkit 入侵。
• 使用進階威脅偵測解決方案: Rootkit 的設計就是為了規避傳統安全工具與防毒軟體。使用進階網路安全解決方案來偵測並清除 rootkit。這將協助您 24/7 分析 rootkit 活動。
• 保護開機程序： Rootkit 會鎖定 bootloader，以在系統啟動時存取您的系統開機程式。您可以使用 Unified Extensible Firmware Interface（UEFI）取代 BIOS，以提升開機安全性。將系統設定為從可信任來源開機，以降低網路攻擊。
• 定期備份：當您嘗試從系統中清除 rootkit 時，可能會影響您的系統檔案和資料，例如刪除重要資訊。因此，請務必備份您的敏感資料，以便在修復 rootkit 後進行還原。您也可以考慮離線備份資料，因為這樣更能防範網路威脅。

結論

Rootkit 透過隱匿性與深度系統整合來危害系統運作與安全性，並規避偵測。它們在不同層級運作，例如核心空間、使用者空間、韌體、開機載入程式和虛擬機器，以維持長期控制並隱藏惡意程式碼。

了解 rootkit 的類型及其運作方式，有助於您制定穩固的防禦策略來對抗它們。若要偵測 rootkit，您需要結合進階資安工具、持續監控，以及採用最小權限存取。此外，請優先落實安全最佳實務，包括系統完整性檢查、員工安全意識，以及定期更新，以確保您的系統安全。