في حين أنه من الممكن إخفاء البرامج الضارة بطريقة تخدع حتى منتجات مكافحة الفيروسات / برامج مكافحة التجسس التقليدية ، فإن معظم البرامج الضارة تستخدم بالفعل أدوات rootkits للاختباء بعمق على جهاز الكمبيوتر الذي يعمل بنظام Windows^(Windows) ... وهي تزداد خطورة! يعد برنامج rootkit DL3 واحدًا من أكثر برامج rootkits تقدمًا على الإطلاق في البرية. كان rootkit مستقرًا ويمكن أن يصيب أنظمة تشغيل Windows 32 بت ؛ على الرغم من الحاجة إلى حقوق المسؤول لتثبيت الإصابة في النظام. ولكن تم تحديث TDL3 الآن وهو قادر الآن على إصابة إصدارات 64 بت من Windows^{(even 64-bit versions  Windows)} !

ما هو الجذور الخفية

يعد فيروس الجذور الخفية نوعًا خفيًا من البرامج الضارة  المصممة لإخفاء وجود عمليات أو برامج معينة على جهاز الكمبيوتر الخاص بك من طرق الكشف العادية ، وذلك للسماح لها أو لأي عملية ضارة أخرى بالوصول إلى جهاز الكمبيوتر الخاص بك.

تُستخدم Rootkits لنظام التشغيل Windows^{(Rootkits for Windows)} عادةً لإخفاء البرامج الضارة من ، على سبيل المثال ، برنامج مكافحة فيروسات. يتم استخدامه لأغراض ضارة من قبل الفيروسات والديدان والأبواب الخلفية وبرامج التجسس. ينتج فيروس مع مجموعة أدوات الجذر ما يعرف باسم فيروسات التخفي الكاملة. الجذور الخفية أكثر شيوعًا في مجال برامج التجسس ، كما أنها أصبحت الآن أكثر شيوعًا من قبل مؤلفي الفيروسات أيضًا.

هم الآن نوع ناشئ من برامج التجسس الفائقة^{(Super Spyware)} التي تخفي بفعالية وتؤثر على نواة نظام التشغيل مباشرة. يتم استخدامها لإخفاء وجود كائن خبيث مثل أحصنة طروادة أو كيلوغرز على جهاز الكمبيوتر الخاص بك. إذا كان التهديد يستخدم تقنية rootkit لإخفاءه ، فمن الصعب جدًا العثور على البرامج الضارة على جهاز الكمبيوتر الخاص بك.

الجذور الخفية في حد ذاتها ليست خطيرة. والغرض الوحيد منها هو إخفاء البرامج والآثار التي تُركت في نظام التشغيل. سواء كان هذا برنامجًا عاديًا أو برامج ضارة.

هناك ثلاثة أنواع مختلفة من الجذور الخفية^(Rootkit) . النوع الأول ، " Kernel Rootkits " عادةً ما يضيف الكود الخاص بهم إلى أجزاء من نواة نظام التشغيل ، في حين أن النوع الثاني ، " Rootkits لوضع المستخدم^{(User-mode Rootkits)} " يستهدف بشكل خاص Windows لبدء التشغيل بشكل طبيعي أثناء بدء تشغيل النظام ، أو حقنها في النظام عن طريق ما يسمى "بالقطارة". النوع الثالث هو MBR Rootkits أو Bootkits^{(MBR Rootkits or Bootkits)} .

عندما تجد أن برنامج مكافحة الفيروسات ومكافحة^(AntiVirus) التجسس لديك^{(AntiSpyware)} فاشل ، فقد تحتاج إلى الحصول على مساعدة من أداة جيدة لمكافحة الجذور الخفية^{(good Anti-Rootkit Utility)(good Anti-Rootkit Utility)} . RootkitRevealer من Microsoft Sysinternals هي أداة مساعدة متقدمة للكشف عن الجذور الخفية. تسرد مخرجاتها اختلافات واجهة برمجة تطبيقات ^(API)التسجيل^(Registry) ونظام الملفات والتي قد تشير إلى وجود جذر خوادم لوضع المستخدم أو وضع kernel.

تقرير تهديد مركز الحماية من البرامج الضارة لـ Microsoft^{(Microsoft Malware Protection Center Threat Report)} على  Rootkits

^{(Microsoft Malware Protection Center)}أتاح مركز الحماية من البرامج الضارة لـ Microsoft لتنزيل تقرير التهديدات^{(Threat Report)} الخاص به على الجذور الخفية^(Rootkits) . يفحص التقرير واحدًا من أكثر أنواع البرمجيات الخبيثة التي تهدد المنظمات والأفراد اليوم - rootkit. يفحص التقرير كيفية استخدام المهاجمين للجذور الخفية ، وكيفية عمل الجذور الخفية على أجهزة الكمبيوتر المتأثرة. إليك خلاصة التقرير ، بدءًا من Rootkits - للمبتدئين.

Rootkit عبارة عن مجموعة من الأدوات التي يستخدمها المهاجم أو صانع البرامج الضارة للسيطرة على أي نظام مكشوف / غير آمن والذي يكون بخلاف ذلك محجوزًا عادةً لمسؤول النظام. في السنوات الأخيرة ، تم استبدال مصطلح "ROOTKIT" أو "ROOTKIT FUNCTIONALITY" ببرنامج MALWARE - وهو برنامج مصمم ليكون له تأثيرات غير مرغوب فيها على جهاز كمبيوتر سليم. تتمثل الوظيفة الأساسية للبرامج الضارة في سحب البيانات القيمة والموارد الأخرى من كمبيوتر المستخدم سراً وتوفيرها للمهاجم ، وبالتالي منحه سيطرة كاملة على الكمبيوتر المخترق. علاوة على ذلك ، يصعب اكتشافها وإزالتها ويمكن أن تظل مخفية لفترات طويلة ، ربما سنوات ، إذا مرت دون أن يلاحظها أحد.

لذلك بطبيعة الحال ، يجب إخفاء أعراض جهاز الكمبيوتر المخترق وأخذها في الاعتبار قبل أن تثبت النتيجة أنها قاتلة. على وجه الخصوص ، يجب اتخاذ تدابير أمنية أكثر صرامة للكشف عن الهجوم. ولكن ، كما ذكرنا ، بمجرد تثبيت هذه الجذور الخفية / البرامج الضارة ، فإن قدراتها الخفية تجعل من الصعب إزالتها ومكوناتها التي قد تقوم بتنزيلها. لهذا السبب ، أنشأت Microsoft تقريرًا عن ^(Microsoft)ROOTKITS .

يوضح التقرير المكون من 16 صفحة كيفية استخدام المهاجم للجذور الخفية وكيف تعمل هذه الجذور الخفية على أجهزة الكمبيوتر المتأثرة.

الغرض الوحيد من التقرير هو تحديد وفحص البرامج الضارة القوية التي تهدد العديد من المؤسسات ، ومستخدمي الكمبيوتر على وجه الخصوص. يذكر أيضًا بعض عائلات البرامج الضارة السائدة ويسلط الضوء على الطريقة التي يستخدمها المهاجمون لتثبيت مجموعات الجذور الخفية هذه لأغراضهم الأنانية على الأنظمة السليمة. في الجزء المتبقي من التقرير ، ستجد خبراء يقدمون بعض التوصيات لمساعدة المستخدمين على تخفيف التهديد من أدوات rootkits.

أنواع الجذور الخفية

هناك العديد من الأماكن حيث يمكن للبرامج الضارة تثبيت نفسها في نظام التشغيل. لذلك ، يتم تحديد نوع rootkit في الغالب من خلال موقعه حيث يقوم بتخريب مسار التنفيذ. هذا يشمل:

1. الجذور الخفية لوضع المستخدم
2. الجذور الخفية لوضع Kernel
3. الجذور الخفية MBR / bootkits

يتم توضيح التأثير المحتمل لتسوية rootkit في وضع kernel عبر لقطة شاشة أدناه.

النوع الثالث ، تعديل سجل التمهيد الرئيسي^{(Master Boot Record)} للتحكم في النظام وبدء عملية تحميل أقرب نقطة ممكنة في تسلسل التمهيد 3. إنه يخفي الملفات وتعديلات التسجيل وأدلة اتصالات الشبكة بالإضافة إلى المؤشرات المحتملة الأخرى التي يمكن أن تشير إلى وجودها.

عائلات البرامج الضارة^(Malware) البارزة التي تستخدم وظائف Rootkit

• Win32/Sinowal 13 - عائلة متعددة المكونات من البرامج الضارة تحاول سرقة البيانات الحساسة مثل أسماء المستخدمين وكلمات المرور لأنظمة مختلفة. يتضمن ذلك محاولة سرقة تفاصيل المصادقة لمجموعة متنوعة من حسابات FTP و HTTP والبريد الإلكتروني ، بالإضافة إلى بيانات الاعتماد المستخدمة في المعاملات المصرفية عبر الإنترنت والمعاملات المالية الأخرى.
• Win32/Cutwail 15 - حصان طروادة^(Trojan) يقوم بتنزيل الملفات العشوائية وتنفيذها. يمكن تنفيذ الملفات التي تم تنزيلها من القرص أو حقنها مباشرة في عمليات أخرى. في حين أن وظيفة الملفات التي تم تنزيلها متغيرة ، يقوم Cutwail^(Cutwail) عادةً بتنزيل المكونات الأخرى التي ترسل رسائل غير مرغوب فيها. يستخدم rootkit في وضع kernel ويقوم بتثبيت العديد من برامج تشغيل الأجهزة لإخفاء مكوناته عن المستخدمين المتأثرين.
• Win32/Rustock  - تم تطوير عائلة متعددة المكونات من أحصنة طروادة^(Trojans) الخلفية التي تدعم الجذور الخفية في البداية للمساعدة في توزيع البريد الإلكتروني "البريد العشوائي" عبر شبكة الروبوتات^(botnet) . الروبوتات عبارة عن شبكة كبيرة من أجهزة الكمبيوتر المخترقة يتحكم فيها المهاجم.

الحماية ضد الجذور الخفية

منع تثبيت الجذور الخفية هو الطريقة الأكثر فعالية لتجنب الإصابة عن طريق الجذور الخفية. لهذا ، من الضروري الاستثمار في تقنيات الحماية مثل منتجات مكافحة الفيروسات وجدار الحماية. يجب أن تتخذ مثل هذه المنتجات نهجًا شاملاً للحماية باستخدام الكشف التقليدي القائم على التوقيع ، والكشف التجريبي ، والقدرة الديناميكية والمتجاوبة للتوقيع ومراقبة السلوك.

يجب تحديث كل مجموعات التوقيع هذه باستخدام آلية التحديث الآلي. تتضمن حلول Microsoft^(Microsoft) لمكافحة الفيروسات عددًا من التقنيات المصممة خصيصًا للتخفيف من الجذور الخفية ، بما في ذلك مراقبة سلوك النواة الحية التي تكتشف وتبلغ عن محاولات تعديل نواة النظام المتأثر ، وتحليل نظام الملفات المباشر الذي يسهل التعرف على برامج التشغيل المخفية وإزالتها.

إذا تم العثور على نظام مخترق ، فإن الأداة الإضافية التي تسمح لك بالتمهيد إلى بيئة جيدة معروفة أو موثوقة قد تكون مفيدة لأنها قد تقترح بعض تدابير الإصلاح المناسبة.^{(If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.)}

في ظل هذه الظروف،

1. أداة Standalone System Sweeper (جزء من Microsoft Diagnostics and Recovery Toolset ( DaRT )
2. قد يكون Windows Defender Offline مفيدًا.

لمزيد من المعلومات ، يمكنك تنزيل تقرير PDF من " مركز التنزيل لـ Microsoft".^{(Microsoft Download Center.)}

What is Rootkit? How do Rootkits work? Rootkits explained.

While it is possible to hide malwаre in a way that will fool even the traditional antivirus/antispyware products, most malware рrograms are already using rootkits to hide deep on your Windows PC … and they are getting mоre dаngerouѕ! The DL3 rootkit is one of the most advanced rootkits ever seen in the wild. The rootkit was stable and coυld іnfect 32 bit Windows operating systems; although administrator rights were needed to install the infectіon in the system. But TDL3 has now been updated and is now able to infect even 64-bit versions  Windows!

What is Rootkit

A Rootkit virus is a stealth type of malware that is designed to hide the existence of certain processes or programs on your computer from regular detection methods, so as to allow it or another malicious process privileged access to your computer.

Rootkits for Windows are typically used to hide malicious software from, for example, an antivirus program. It is used for malicious purposes by viruses, worms, backdoors, and spyware. A virus combined with a rootkit produces what is known as full stealth viruses. Rootkits are more common in the spyware field, and they are now also becoming more commonly used by virus authors as well.

They are now an emerging type of Super Spyware that hides effectively & impacts the operating system kernel directly. They are used to hide the presence of malicious object like trojans or keyloggers on your computer. If a threat uses rootkit technology to hide it is very hard to find the malware on your PC.

Rootkits in themselves are not dangerous. Their only purpose is to hide software and the traces left behind in the operating system. Whether this is normal software or malware programs.

There are basically three different types of Rootkit. The first type, the “Kernel Rootkits” usually add their own code to parts of the operating system core, whereas the second kind, the “User-mode Rootkits” are specially targeted to Windows to startup up normally during the system start-up, or injected into the system by a so-called “Dropper”. The third type is MBR Rootkits or Bootkits.

When you find your AntiVirus & AntiSpyware failing, you may need to take the help of a good Anti-Rootkit Utility. RootkitRevealer from Microsoft Sysinternals is an advanced rootkit detection utility. Its output lists Registry and file system API discrepancies that may indicate the presence of a user-mode or kernel-mode rootkit.

Microsoft Malware Protection Center Threat Report on Rootkits

Microsoft Malware Protection Center has made available for download its Threat Report on Rootkits. The report examines one of the more insidious types of malware threatening organizations and individuals today — the rootkit. The report examines how attackers use rootkits, and how rootkits function on affected computers. Here is a gist of the report, starting with what are Rootkits – for the beginner.

Rootkit is a set of tools that an attacker or a malware creator uses to gain control over any exposed/unsecured system which otherwise is normally reserved for a system administrator. In recent years the term ‘ROOTKIT’ or ‘ROOTKIT FUNCTIONALITY’ has been replaced by MALWARE – a program designed to have undesirable effects on a healthy computer. Malware’s prime function is to withdraw valuable data and other resources from a user’s computer secretly and provide it to the attacker, thereby giving him complete control over the compromised computer. Moreover, they are difficult to detect and remove and can remain hidden for extended periods, possibly years, if gone unnoticed.

So naturally, the symptoms of a compromised computer need to be masked and taken into consideration before the outcome proves fatal. Particularly, more stringent security measures should be taken to uncover the attack. But, as mentioned, once these rootkits/malware are installed, its stealth capabilities make it difficult to remove it and its components that it might download. For this reason, Microsoft has created a report on ROOTKITS.

The 16-page report outlines how an attacker uses rootkits and how these rootkits function on affected computers.

The sole purpose of the report is to identify and closely examine potent malware threatening many organizations, computer users in particular. It also mentions some of the prevalent malware families and brings into the light the method the attackers use to install these rootkits for their own selfish purposes on healthy systems. In the remainder of the report, you will find experts making some recommendations to help users mitigate the threat from rootkits.

Types of Rootkits

There are many places where malware can install itself into an operating system. So, mostly the type of rootkit is determined by its location where it performs its subversion of the execution path. This includes:

1. User Mode Rootkits
2. Kernel Mode Rootkits
3. MBR Rootkits/bootkits

The possible effect of a kernel-mode rootkit compromise is illustrated via a screen-shot below.

The third type, modify the Master Boot Record to gain control of the system and start process of loading the earliest possible point in the boot sequence3. It hides files, registry modifications, evidence of network connections as well as other possible indicators that can indicate its presence.

Notable Malware families that use Rootkit functionality

• Win32/Sinowal13 – A multi-component family of malware that tries to steal sensitive data such as user names and passwords for different systems. This includes attempting to steal authentication details for a variety of FTP, HTTP, and email accounts, as well as credentials used for online banking and other financial transactions.
• Win32/Cutwail15 – A Trojan that downloads and executes arbitrary files. The downloaded files may be executed from disk or injected directly into other processes. While the functionality of the downloaded files is variable, Cutwail usually downloads other components that send spam. It uses a kernel-mode rootkit and installs several device drivers to hide its components from affected users.
• Win32/Rustock – A multi-component family of rootkit-enabled backdoor Trojans initially developed to aid in the distribution of “spam” email through a botnet. A botnet is a large attacker-controlled network of compromised computers.

Protection against rootkits

Preventing the installation of rootkits is the most effective method to avoid infection by rootkits. For this, it is necessary to invest in protective technologies such as anti-virus and firewall products. Such products should take a comprehensive approach to protection by using traditional signature-based detection, heuristic detection, dynamic and responsive signature capability and behavior monitoring.

All these signature sets should be kept up to date using an automated update mechanism. Microsoft antivirus solutions include a number of technologies designed specifically to mitigate rootkits, including live kernel behavior monitoring that detects and reports on attempts to modify an affected system’s kernel, and direct file system parsing that facilitates the identification and removal of hidden drivers.

If a system is found compromised then an additional tool that allows you to boot to a known good or trusted environment may prove useful as it may suggest some appropriate remediation measures.

Under such circumstances,

1. The Standalone System Sweeper tool (part of the Microsoft Diagnostics and Recovery Toolset (DaRT)
2. Windows Defender Offline may be useful.

For more information, you can download the PDF report from Microsoft Download Center.

Related posts

• كيفية تجنب Phishing Scams and Attacks؟

• ما هو بعيد Access Trojan؟ الوقاية، Detection & Removal

• Remove virus من USB Flash Drive باستخدام Command Prompt or Batch File

• Rogue Security Software or Scareware: كيفية التحقق، منع، إزالة؟

• ما هو Win32: BogEnt وكيفية إزالته؟

• أفضل برامج إزالة برامج التجسس والبرامج الضارة المجانية

• ما هو FileRepMalware؟ يجب عليك إزالته؟

• كيفية منع Malware - نصائح لWindows 11/10 آمنة

• كيفية استخدام Chrome browser في Malware Scanner & Cleanup Tool يحمل في ثناياه عوامل

• كيفية استخدام Avast Boot Scan لإزالة Malware من Windows PC

• كيفية إزالة Virus Alert من Microsoft على Windows PC

• Programs or Applications غير المرغوب فيها. Avoid PUP/PUA تركيب

• Malware Removal Tools مجانا لإزالة Specific Virus في Windows 11/10

• ما هو Cyber crime؟ كيفية التعامل معها؟

• كيف يمكنك الحصول على computer virus، طروادة، العمل، spyware or malware؟

• كيفية إزالة Malware من جهاز الكمبيوتر الخاص بك في Windows 10

• 3 طرق للتخلص من الفيروسات وبرامج التجسس والبرامج الضارة

• Malware Submission: أين يجب تقديم ملفات البرامج الضارة إلى Microsoft & others؟

• تعذر العثور على الوحدة النمطية المحددة خطأ على نظام التشغيل Windows 10

• كيفية التحقق Registry للبرامج الضارة في Windows 10