Rootkits

Rootkits: Schadsoftware mit Fremdzugriff als Administrator

Mit spezi­ellen Schad­soft­ware­paketen, soge­nannten Root­kits, kann auf der tiefsten Ebene die Kontrolle über ein Betriebs­system über­nommen werden. Wir geben einen Über­blick über Root­kits.
Von Julian Ruecker
AAA

Rootkits: Fremdzugriff als Administrator Rootkits: Fremdzugriff als Administrator
Image licensed by Ingram Image

Über­blick

Ein Rootkit (aus dem Engli­schen "Root" = "Wurzel" und "Kit" = "Baukasten") ist ein Soft­ware­paket, das einem Angreifer die admi­nis­tra­tive Kontrolle über den ange­grif­fenen Rechner gibt. Im Gegen­satz zu Viren oder ähnli­cher Schad­soft­ware handelt es sich dabei nicht um eine sich selbst repli­zie­rende oder per se schäd­liche Datei, die andere Dateien auf dem Computer ändert oder löscht. Eine beliebte Methode, um Root­kits auf einen Computer zu bringen, sind Trojaner. Da Root­kits tief im System veran­kert sind, können sie meist die Spuren ihrer Exis­tenz verwi­schen.

Rootkits: Fremdzugriff als Administrator Rootkits: Fremdzugriff als Administrator
Image licensed by Ingram Image Neben Troja­nern können Root­kits auch per Dropper, Loader, Messa­ging-Programmen, anderer (eigent­lich vertrau­ens­wür­diger) Soft­ware, anderer Malware oder inhalts­rei­cher Dateien auf den Computer gelangen. Prin­zipiell wird zwischen sechs verschie­denen Rootkit-Arten unter­schieden, die alle­samt andere Charak­teris­tika haben: User-Mode-Root­kits, Kernel-Mode-Root­kits, Hybrid-Root­kits, Firm­ware-Root­kits, Boot­kits und virtu­elle Root­kits.

Ratgeber zum Thema "Sicherheit im Internet"

Entste­hung und Verbrei­tung

Der Name Rootkit geht ursprüng­lich auf eine Samm­lung von vornehm­lich schäd­lichen Soft­ware­werk­zeugen zurück, die in unixo­iden Betriebs­sys­temen Zugriff auf die unterste Kontroll­ebene ("Root") geben. Der Angreifer könnte so die vorhan­denen System­werk­zeuge durch ein Rootkit ersetzen, ohne dass der Benutzer davon etwas mitbe­kommt. Durch bestimmte Soft­ware - z. B. Trip­wire - konnten die ersten Root­kits aller­dings leicht erkannt und unschäd­lich gemacht werden. Das erste bekannte Rootkit wurde 1990 für Sun Micro­sys­tems SunOS, einem UNIX-Betriebs­system, geschrieben, 1999 wurde mit der Veröf­fent­lichung einer detail­lierten Anlei­tung zum Erstellen des Toja­ners NTRootkit - einem Rootkit-Virus, der im Kernel-Modus aktiv wird - das erste Rootkit für Windows bekannt.

In der Vergan­gen­heit kam es immer wieder zu teil­weise Aufsehen erre­genden Rootkit-Angriffen, von denen eine Auswahl im Folgenden kurz beleuchtet wird. 2003 erschien das User-Mode-Rootkit HackerDefender für Windows 2000 und Windows XP. Nach seiner Entde­ckung kam es zu einem Katz-und-Maus-Spiel mit dem Anti-Rootkit-Tool RootkitRevealer. 2004 kam es zum soge­nannten "Greek Water­gate" oder auch "Greek Wire­tap­ping Case". Im Zuge dieses Skan­dals wurden mehr als 100 Mobil­tele­fone im Netz von Voda­fone Grie­chen­land ange­zapft. Darunter befanden sich neben denen zahl­rei­cher Mitglieder der grie­chi­schen Regie­rung und rang­hoher Staats­beamter auch das des dama­ligen Regie­rungs­chefs. 2005 wurde ein weiterer massiver Skandal bekannt. Sony BMG vertrieb CDs mit einer Kopier­schutz- und DRM-Soft­ware mit dem Namen "Extended Copy Protec­tion", program­miert von First 4 Internet. Diese instal­lierte ohne Wissen oder Zustim­mung des Käufers ein Rootkit, das den Zugriff auf die CD beschränkte.

Mit dem Rootkit "Machia­velli" wurden 2008 zum ersten Mal auch Mac-Rechner ange­griffen, womit deren Verwund­bar­keit bewiesen wurde. Der Wurm "Stuxnet", der mutmaß­lich in Zusam­men­arbeit zwischen den USA und Israel entwi­ckelt wurde, sorgte 2010 für den nächsten Skandal. "Stuxnet" verwen­dete ein Rootkit, um seine Präsenz zu verbergen, während er das irani­sche Atom­pro­gramm torpe­dieren sollte. Mit "Flame", einem mit 20 MB sehr großen Rootkit, wurden 2012 beson­ders im Nahen Osten und Nord­afrika Windows-Rechner ange­griffen. So konnten Angreifer Audio, Tasta­tur­akti­vität, Netz­werk­ver­kehr und Bild­schirm­fotos aufnehmen und spei­chern. 2018 wurde mit "LoJax" das erste Rootkit bekannt, das sich im UEFI einnistet und somit auch eine Neuin­stal­lation des Betriebs­sys­tems über­steht.

Weitere Tipps und Hinweise finden Sie in unserem Themen­spe­cial Sicher­heit im Internet.

Ratgeber zu Sicher­heit bei teltarif.de