Rootkits
Mucho se ha hablado sobre el software malicioso (malware)
y las acciones que este puede llegar a realizar en nuestros sistemas, como
prevenirlo, detectarlo y eliminarlo. Sin embargo muchas veces un intruso se
puede valer de otras maneras para estar presente en nuestros sistemas sin que
un antivirus pueda detectarlo, técnicamente llamamos a estas maneras rootkits para referirnos a una
colección de herramientas (programas) que ocultan los procesos que habilitan el acceso a una computadora o a una
red, con derechos de administrador. Este tipo de herramientas comúnmente son
instaladas por alguien que busca explotar una vulnerabilidad del sistema o
crackear alguna contraseña, ya que estas herramientas una vez instaladas,
permiten al atacante enmascarar la intrusión, lo que hace invisible ante un
antivirus, cualquier actividad maliciosa.
Analizando a detalle el funcionamiento de un rootkit, no
podemos dar cuenta que un spyware, un monitor de tráfico de datos asi como un
keylogger (software que captura la secuencia de teclas que el usuario usa) son
algunas de las herramientas que se usan en conjunto con un rootkit, con la
finalidad de abrir y mantener una puerta trasera abierta. Como ejemplo tenemos
un sistema en el cual se instaló un rootkit de manera remota por medio de un
puerto que se dejó abierto (vulnerabilidad causada por un descuido de
seguridad) y se habilitan otros puertos que serán usados por las demás
herramientas para el envió de la información que se está extrayendo; la tarea
que desempeñará el rootkit es ocultar todo proceso y actividad provocada por el
software malicioso (puertos habilitados, ejecución de permisos de
administrador, llamadas al sistema, entre otras), para evitar ser detectados
por un antivirus.
Existen las siguientes clasificaciones de
rootkit por su nivel de sofisticación, estas son: rootkits virtualizados, casi
imposibles de detectar ya que operan a un nivel muy bajo (nivel de kernel) y pueden modificar el arranque
del sistema operativo, de manera que creen un entorno virtual, en el que
nuestro ordenador reconoce al rootkit como sistema operativo huésped,
otorgándole el control casi total del ordenador; luego tenemos rootkits a nivel
de kernel, los cuales realizan importantes modificaciones al sistema operativo,
lo cual puede ser muy complejo y tardado, pero una vez logrado, otorga total
control del sistema; también existen los rootkits a nivel librería, los cuales parchan, adhieren o remplazan
llamadas al sistema, evitando que información sobre el intruso pueda ser
descubierta; finalmente tenemos los rootkits a nivel aplicación, los cuales
remplazan archivos binarios de las aplicaciones por archivos con contenido
malicioso, este tipo de rootkits puede incluso llegar a secuestrar un programa
legitimo realizando acciones en nombre del usuario.
Es importante para proteger nuestro
ordenador de los rootkits instalar una solución de antimalware manteniéndola siempre
activa y actualizada, instalar un software cortafuegos en sistemas pequeños o un
hardware cortafuegos en un sistema robusto, que nos proteja de los accesos no
autorizados, mantener actualizaciones de aplicaciones y sistema operativo al
día, descargando parches desde sitios oficiales. Si se sospecha de la presencia
de un rootkit en nuestro ordenador es importante instalar un anti-rootkit que
son herramientas altamente especializadas capaces de identificar la presencia
de este tipo de herramientas, por medio de técnicas de detección basadas en
firmas, en heurística o comportamiento, en comparación y en integridad. Este
tipo de acciones de prevención y acción en caso de intrusión, nos permiten
salvaguardar la integridad, confiabilidad y disponibilidad de nuestra
información.
No hay comentarios:
Publicar un comentario