RootKit olarak bilinen yazılımlar ilk olarak UNIX isletim sistemlerinde ortaya çıkmıstır ve orijinal UNIX isletim sistemi dosyaları ile yer degistirip normal bir kullanıcıya root erisim hakkı vermeyi hedeflemislerdir. Zamanla bu yazılımlar Windows ortamına çalısabilir olmustur. Windows NT tabanlı isletim sistemlerinde çalısabilen ilk Rootkit ise 1999 yılında gözlenmistir. Yine de bu dönemde normal bilgisayar kullanıcısının güvenlik konusunda dikkatini çekememis, sadece güvenlik uzmanlarının uzaktan izledigi bir yazılım türü olarak kalmıstır. 2005 yılında ise Sony Digital Rights Management (DRM) Rootkit’inin tespit edilmesi Rootkit konusunun önemini gözler önüne sermistir. İste bu noktadan sonra rootkit’ler tüm güvenlik çevrelerince önemli ve tehlikeli bir tehtid olarak tanımlanmıstır. Çünkü Sony DRM rootkit zararsız bir rootkit olsa da tüm rootkit yazılımları kötü niyetli kullanıcılar tarafından zararlı hale getirilebilmektedir yani zararsız rootkitler de potansiyel bir tehlike olusturmaktadır.
Adından da anlasılabilecegi gibi RootKit iki parçadan olusmaktadır;
Root = Unix sistemlerinde herseyi yapma yetkisine sahip olan kullanıcı ya da kullanıcı yetkisi,
Kit = Bu yetki sahibi olabilmek için kullanılan gerekli araç kutusu seklinde ifade edilebilir.
Bunu yaparken sistem araçları ile yer degistirmis olmaları, tanınmalarını engellemekte ve arkaplanda hiçbir kullanıcının ya da tarayıcının fark edemeyecegi biçimde çalısmalarını saglamaktadır. Bu özellikleri zararlı yazılımları yazan programcılar (hacker) tarafından çok cazip bulunmakta ve ilk baslarda kötü amaçlarla kullanılmayan bu yazılımlardan yanlıs kimselerin elinde çok tehlikeli olabilecekleri için günümüzde kötü niyetli yazılımlar olarak bahsedilmektedir.
Rootkit’lerin fark ettirmeden islemler yapabildiginden bahsetmistim. Bunu biraz açmak gerekirse; Rootkit yazılımların bu derece tehlikeli olmalarının en önemli nedeni sadece kendilerini gizleyebilmeleri degil aynı zamanda ne yapmak için programlandılarsa yapacakları islemlerde kullandıkları araçları, dosyaları, kayıt defteri anahtarları, portları ve hatta sistem dosyalarını da gizleyebilmeleridir.
Rootkit’ler bu kötü özelliklerine ragmen daha önce UNIX örneginde verdigim gibi tamamen kötü niyetli yazılımlar olmayabilirler ancak sistemde bir rootkit olması bile bu yazılımların kötü niyetli olarak yeniden düzenlenebilmesinden sagladıgı için potansiyel bir tehlike olusturmaktadır.
Rootkit’lerin kullanılıs amaçları aslında diger kötü niyetli yazılımlardan çok farklı degildir, sisteminize aldıgınız bir Rootkit baska birininin (hacker) bilgisayarınıza girmesini ve kendi yasal olmayan amaçları için bilgisayarınızı kullanmasını saglayabilir. Mesela bir Rootkit yazılımı bilgisayarınıza baska bir kötü niyetli yazılımı (virüs, spyware, keylogger vs…) daha öncede bahsettigim gibi gizleyebilmektedir.
Rootkitler Nasıl Gizlenir
Rootkit yazılımlarının asıl etkili olmasının nedeni isletim sisteminin zayıflıklarından yararlanmalarıdır. Bu zayıflıkları kullanarak isletim sistemine sızarlar ve bu sayede kendilerini isletim sistemi dosyaları ile degistirebilirler.
Önceden de belirttigim gibi rootkit yazılımları çogu zararlı program tarayıcısından kendisini saklayabilir ve tarama sonuçlarında görünmezler. Tarama yapılırken isletim sisteminin kendileri için, tarama yapan güvenlik yazılımına yanlıs bilgiler vermesini saglarlar ve böylece isletim sistemi herhangi bir rootkit bulundurmadıgını tarama yazılımına belirtir. Her ne zaman bir tarayıcı ya da kullanıcı, isletim sisteminden dogrudan bilgi isterse, isletim sisteminden gelen bilginin dogru oldugu kabul edilir. Bu bir kural gibidir. Tarama yapan bir araç isletim sistemine zararlı bir yazılım olup olmadıgını sordugunda ya da tarama yaptıgında isletim sisteminde eger rootkit varsa rootkit geri dönecek olan bu bilgiyi kendi çıkarı için düzenler ve hem kendisini hem de iliski kurdugu diger zararlı yazılımları gizleyen, yeniden düzenlenmis bilgileri tarayıcıya gönderir. Bunu yapabilmesini saglayan temel güç ise rootkit yazılımının root yani yönetici haklarına sahip olmus olmasıdır.
Rootkitler sistemden istenen bilgileri degerlendirmek için bir süre bu bilgilerin geri dönüsünü geciktirir bu isleme hooking denmektedir. Bu hooking süresi boyunca rootkit tarayıcı ya da kullanıcı tarafından sistemden istenen bilgileri, kendisini ve ona eslik eden zararlı yazılımları gizleyecek sekilde degistirir.
Rootkit ile birlikte islem gören ya da rootkit sayesinde sistemde gizlenmis olan yazılımların tespit edilip kaldırılması da çok önemlidir. Çünkü bu yazılımlar sürekli rootkitler ile bir veri alıs verisi içindedir. Rootkitden temizlenmis bir sistemde eger zararlı bir yazılım kendisini gizleyecek bir rootkit olmadıgını fark ederse bu sistemi öncelikle rootkit ile tekrar enfekte etmek için çalısacaktır bunu açtıgı backdoorlar ile yapabilecegi gibi degisik biçimlerde de yapabilmektedir.
Peki bu gizlenme size nasıl yansır, örnegin görev yöneticisini açtıgınızda arkada çalısan bu rootkit ve iliskili dosyalar çalıssalar da göremezsiniz. Eger windows ile bu rootkit dosyasının bulundugu dizine giderseniz ortada bir rootkit olmadıgını görürsünüz, kayıt defterinde bir degisiklik var mı diye kontrol ettiginizde degisiklik bulunsa da göremezsiniz ve eger rootkit bir port kullanıyorsa, portları kontrol etseniz bile açık degil, kapalı olarak görürsünüz.
Kaç Tür Rootkit Vardır
Temelde iki tür rootkit bulunmaktadır. Bunlar sistemdeki etkilerine, sistemde kalıcı olup olmadıklarına göre iki ana gruba ayrılabilirler.
1-) Kullanıcı Aracılı Rootkitler
a-) Kalıcı Olanlar (Sistem yeniden baslatılsa bile kendisi ve etkisi ortadan kalkmayan)
b-) Kalıcı Olmayanlar (Sistem yeniden baslatıldıgında kendisi ve etkisi ortadan kalkan)
2-) Çekirdek (Kernel) Aracılı Rootkitler
a-) Kalıcı Olanlar
b-) Kalıcı Olmayanlar
Bunlardan Kullanıcı Rootkileri, Kernel Rootkitlerinden daha az zararlıdır ve etkileri sadece bulastıkları kullanıcı hesabı ile sınırlıdır.
Kullanıcı Aracılı Rootkitler
Bunlar zararlı islemleri yapmak ve isletim sisteminden istekte bulunmak için API (application programming interface) kullanmak durumundadırlar. Bu API istekleri Kernel’e dogrudan ulasmaz ve DLL (Dynamic Link Libraries) olarak bilinen dosyalara ugramak durumundadır. Bu DLL dosyaları API isteklerini kernel’in anlayabilecegi
sekilde düzenler ve istek gerçeklestirilir. Gördügünüz gibi bu seviyede dogrudan kernele erisim bulunmamakta ve aracı kullanılmaktadır.
Kernel Aracılı Rootkitler
Kernel, isletim sisteminin beyni ve en temel parçası olarak degerlendirilebilir. Tüm yazılımlar bir sekilde kernel ile iletisim halinde olmalıdır ve bu kadar öneme sahip olan bir bölüme rootkit yazılımılarının dogrudan erisimi çok tehlikelidir. Bu alanda bulunan bir rootkit sistemin tüm kontrolünü elinde tutabilir. Ancak Kernel Aracılı Rootkitler kendilerini daha çok sistem hatası vermeleri ile belli edebilirler. Yani sistem kararsız duruma gelir ve çogu zaman hata vermeye baslar.
Kalıcı Olanlar
Bir rootikin isletim sistemini yeniden baslatmadan kurtulmasının ve bu sayede kalıcı olmasının nedeni su seklide açıklanabilir; rootkit sistemde yani sabit diskte bir yerde bulunmakta ve kayıt defterinde otomatik baslatma girisi eklemektedir. Bu sayede kendisini hafızaya atabilmekte ve sistem her yeniden baslatıldıgında kontrolü eline alabilmektedir.
Kalıcı Olmayanlar
Bu tür rootkiler sadece hafızada çalısır durumda bulunurlar ve sistemin yeniden baslatılması ile tekrar hafızaya yerlesmez ya da kayıt defteri girisi eklemezler. Bu durum ev bilgisayarlarında bir sorun yaratmaz gibi görünsede birbirine baglı ve sürekli çalısmak durumunda olan bir bilgisayar agında can sıkıcı olabilmektedir.
Rootkit’lere Karsı Kullanılabilecek Yazılımlar
Rootkitler konusunda herhangi bir yazılım kullanmaya geçmeden önce güvenlik açısından atmanız gereken iki adım bulunmaktadır.
1 - Rootkitlerin bilgisayarı enfekte etmek için yönetici haklarına sahip olmaları gerektiginden sisteminize yönetici olarak girmeyin, yetkileri sınırlandırılmıs bir kullanıcı hesabı ile girmeniz bu konuda atabileceginiz en büyük adımdır.
2 - Rootkitler yönetici hesabı dahil sisteme bir defa girdiklerinde diger kullanıcı hesaplarınıda etkileyebileceklerinden, özellikle yönetici kullanıcısı basta olmak üzere sistemdeki kullanıcıların çok güçlü sifreler kullanması gerekir. Güçlü sifre nasıl olmalıdır diye bir örnek verecegim (içerisinde özel semboller, büyük harf, küçük harf, sayı bulundurmalı, bunlar mümkün oldugunca birbirinden farklı olmalı ve en az 6-8 haneli olmalıdır) ancak ayrıntılı bilgilere sitemizden ya da arama motorlarını kullanarak ulasabilirsiniz.
Belki de neden rootkitler için ayrı bir yazılım kullanmanız gerektigini sorabilirsiniz. Bunun en büyük nedeni rootkit yazılımlarının su an bilinen antivirüs ya da antispyware vb.. yazılımlar ile tespit edilememesinden kaynaklanmaktadır. Neden tespit edilemedikleri ise söyle açıklanabilir; sisteme giren rootkit sizin sistem dosyalarınızla kendini yer degistirir, bu yer degisikligi sonucu sisteminizde herseyi yapabilir, olagan güvenlik yazılımları tarafından sistem dosyası olarak algılanır, isterse zararlı bir yazılımı tarama yapan güvenlik yazılımlarınıza zararsız gibi gösterebilir. Bunun yanında bu zararlı yazılımların kullandıgı portları, dosyaları ve kayıt defteri anahtarlarını bile gizleyebilir. Aslında iste bu zararlı yazılımları, güvenlik yazılımlarından saklayabilme özellikleri rootkit yazılımlarını bu kadar tehlikeli yapmaktadır. Aslında bu yazılımların tüm varolma nedenide budur, baska zararlı yazılımlar için isleri çok kolaylastırmıs olurlar. Tüm bu anlattıklarıma ragmen rootkitler asla tespit edilemez degildir ve asagıdaki yazılımlar kullanılarak tespit edilip, sisteminizden kaldırılabilirler.
Rootkit’lerin aslında UNIX kökenli oldugunu söylemis olsak bile bugün en büyük tehtid altında olan kullanıcılar windows kullanıcılarıdır (bunun en büyük nedeni bu yazılımları hazırlayan kötü niyetli programcıların en popüler olan isletim sistemini seçmeleri ile dogrudan ilgisi vardır.) ve windows bu konuda çok ciddi çalısmalar yapmakta hatta ayrı bir rootkit tespit etme ve kaldırma yazılımı üzerinde çalısmaktadır. Tabi o süreye kadar diger güvenlik firmaları da bu konuda bos durmamakta ve çesitli rootkit yazılımları gelistirmektedirler. Asagıdaki listede rootkit tespit etme ve kaldırma islemlerinde kullanabileceginiz bazı yazılımların listesine ulasabilirsiniz. Bu Yazı doctus alınmıstır.
1. Windows Malicious Software Removal Tool
Microsoft Windows Malicious Removal Tool is not a fully blown Rootkit removal tool but checks computers running Windows Vista, Windows XP, Windows 2000, and Windows Server 2003 for infections by specific, prevalent malicious software—including Blaster, Sasser, and Mydoom—and helps remove any infection found. When the detection and removal process is complete, the tool displays a report describing the outcome, including which, if any, malicious software was detected and removed.
Microsoft releases an updated version of this tool on the second Tuesday of each month, and as needed to respond to security incidents. The tool is available from Microsoft Update, Windows Update and the
Microsoft Download Center
Kod: Tümünü seç
http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=enSophos Anti-Rootkit, finds and removes any rootkit that is hidden on your computer using advanced rootkit detection technology.
Download Sophos Anti-Rootkit tool
Kod: Tümünü seç
http://www.sophos.com/products/free-tools/sophos-anti-rootkit.htmlThe world’s first Fourth-Generation rootkit detector. Hypersight Rootkit Detector is a must have tool for anyone sharing their financial detail or conducting transactions over the Internet. Free at the moment but certainly indications that this may go commercial.
For now, try here
Kod: Tümünü seç
http://northsecuritylabs.com/With Radix Anti-Rookit you can detect and remove rootkits that are hiding on your PC mostly going undetected by normal Anti-Virus and Anti-Malware Software.
Download here
Kod: Tümünü seç
http://usec.at/downloads3/radix_installer_trial.zipRootkitRevealer is an advanced rootkit detection utility. It runs on Windows NT 4 and higher and its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit. RootkitRevealer successfully detects all persistent rootkits published at www.rootkit.com, including AFX, Vanquish and HackerDefender (note: RootkitRevealer is not intended to detect rootkits like Fu that don’t attempt to hide their files or registry keys).
Download here
Kod: Tümünü seç
http://technet.microsoft.com/en-us/sysinternals/bb897445.aspxRootKit Hook Analyzer is a security tool which will check if there are any rootkits installed on your computer which hook the kernel system services. Kernel RootKit Hooks are installed modules which intercept the principal system services that all programs and the operating system rely on. If any of these system services are intercepted and modified it means that there is a possibility that the safety of your system is at risk and that spyware, viruses or malware are active.
Download here
Kod: Tümünü seç
http://www.resplendence.com/hookanalyzerMcAfee Rootkit Detective Beta is a program designed and developed by McAfee Avert Labs to proactively detect and clean rootkits that are running on the system.
Download here
Kod: Tümünü seç
http://download.nai.com/products/mcafee-avert/McafeeRootkitDetective.zipTrend Micro RootkitBuster is a rootkit scanner that scans hidden files, registry entries, processes, drivers, and Master Boot Record (MBR) rootkits. In addition, RootkitBuster can also clean hidden files and registry entries.
Download here
Kod: Tümünü seç
http://www.trendmicro.com/ftp/products/rootkitbuster/RootkitBuster2.2.1014.zipPanda Anti-Rootkit shows hidden system resources, identifying known and unknown rootkits. It analizes hidden drivers, processes, modules, files, registry entries, SDT modifications, EAT hooks, modification to the IDT, non standard INT2E and SYSENTER, IRP hooks. Unlike other anti-rootkit utilities which merely “reveal” hidden objects, Panda Anti-Rootkit positively identifies known and unknown rootkits and gives the option of removing them, including their associated registry entries, processes and files.
Download here
Kod: Tümünü seç
http://www.download.com/Panda-Anti-Rootkit/3000-8022_4-10717196.htmlHelios Lite is a rootkit detection product based on some of the components of the Helios rootkit detection technologies. It is an implementation of the idea of Cross View Detection for the detection of persistent and non-persistent rootkits. It successfully detects a large number of user mode and kernel mode rootkits
Download here
Kod: Tümünü seç
http://helios.miel-labs.com/downloads/Helios-Lite.zip
