Ein Rootkit ist Schadsoftware, die sich und andere Schadsoftware vor dem System verbirgt. Der Name kommt vom Benutzer root, dem Verwalter auf Unix-Systemen: Ein Rootkit ist das Werkzeugpaket, mit dem ein Angreifer diese Rechte behält.
- Rootkit
Schadsoftware, die sich und andere Schadsoftware vor dem System verbirgt.
Beispiel: „Das Rootkit hatte die Prozessliste manipuliert, sodass der Schädling nirgends auftauchte.“Auch: Nach der Ebene unterscheidet man Rootkits im Benutzerbereich, im Kern des Betriebssystems und in der Firmware. Je tiefer, desto schwerer zu finden.
Abgrenzung zur Backdoor: Die Hintertür hält den Zugang offen, das Rootkit hält ihn unsichtbar. Meist kommen beide zusammen.
Wie ein Rootkit sich verbirgt
Indem es die Antworten des Systems fälscht. Es klinkt sich zwischen die Programme und den Kern des Betriebssystems und streicht aus jeder Antwort das heraus, was es verbergen soll: den eigenen Prozess aus der Prozessliste, die eigenen Dateien aus dem Verzeichnis, die eigene Verbindung aus der Liste offener Verbindungen. Ein Werkzeug, das auf demselben System läuft, bekommt also eine beschönigte Auskunft.
Warum ein Fund die Neuinstallation bedeutet
Weil dem befallenen System nichts mehr zu glauben ist. Wenn der Kern manipuliert ist, kann kein Programm auf diesem Rechner zuverlässig feststellen, was sonst noch verändert wurde. Die saubere Vorgehensweise ist deshalb immer dieselbe: von einem anderen Medium starten, Daten sichern, System neu aufsetzen und erst dann die Daten zurückspielen. Wie das vorbereitet wird, steht bei der Backup-Strategie.
Welche Schutzmittel gegen Rootkits greifen
Die, die vor dem Betriebssystem ansetzen. Ein gesicherter Startvorgang prüft die Signatur jeder Stufe, bevor sie geladen wird, und ein Kern, der nur signierte Module annimmt, lässt sich nicht einfach erweitern. Beides ist in heutigen Systemen vorhanden und sollte eingeschaltet bleiben. Dazu kommt die wirksamste Vorsorge überhaupt: Least Privilege, denn ohne Verwalterrechte kommt kein Rootkit in den Kern.