Les rootkits sont susceptibles de s'installer à différents niveaux d'une machine en conjonction éventuelle avec d'autres formes d'infection. On en trouve depuis les niveaux applicatifs jusqu'aux firmwares les plus intimes, au plus près du matériel.

1. Les rookits en mode utilisateur. Ce type de rootkit est installé par l'action de l'utilisateur lui-même, lorsqu'il clique sur des liens proposés par phishing, ou en naviguant sur des pages Web infectées. Le rootkit comprend fréquemment un mode d'escalade des privilèges afin d'obtenir un accès plus profond au noyau de la machine. Se défendre : utiliser un navigateur dont les protections sont à jour, installer des anti-virus et de la prévention d'intrusion sur son terminal et des passerelles de protection sur le réseau.

2. Les rootkits en mode noyau. Les rootkits pour noyau existent pour les principaux systèmes d'exploitation. La possibilité d'un rootkit pour l'IOS de Cisco a même été démontrée. Se défendre : les anti-virus peinent à détecter ce type de rootkit, car ils fonctionnent au niveau applicatif, alors que le rootkit s'exécute au niveau du noyau. Afin de placer l'anti-malware à un niveau de privilèges supérieur à celui du noyau, on peut regarder l'anti-malware basé sur le gestionnaire de machine virtuelle récemment proposé par VMware sous le nom de VMSafe.

3. Les packages. Les rootkits tels que Rustock.C se diffusent comme des virus agissant au niveau du noyau, et lancent des « spam bots » (PC transformés en émetteurs de spam à leur insu). Ce packaging crée une certaine confusion entre ce qui est un rootkit et ce qui est un « bot » (un ordinateur contrôlé à distance). Se défendre : utiliser les outils de surveillance des performances du PC et du réseau afin de détecter les signes de virus, de bot et d'autres malwares qui effectuent des appels, ouvrent des connexions, etc ...Etant donné que ces packages peuvent désactiver les défenses des postes de travail, il faut surveiller les performances des passerelles. Il faut traquer toutes les activités anormales entrantes et surtout tous les comportements sortants. Regarder aussi le trafic chiffré, qui est utilisé afin de commander les bots via le protocole IRC.

Vos commentaires

. Web-profils.com, la place de marché du conseil et de l'ingénierie