Bootkit

Cet article fait partie de la série Programmes malveillants

Virus

Cabir - MyDoom.A Tchernobyl - Yamanner

Ver

Bagle - Blaster Code Red - I love you Melissa - Morris NetSky - Nimda SQL Slammer - Santy Sasser - Sobig

Cheval de Troie

Back Orifice - SubSeven ByteVerify - XXXDial

Logiciel espion

CoolWebSearch - Cydoor Gator - New.net SaveNow

Composeur d’attaque

ToneLoc

Voir aussi

Logiciel malveillant Sécurité informatique Programmation

On nomme rootkit (littéralement « kit racine ») un programme ou un ensemble de programmes permettant à un tiers (un pirate informatique, par exemple, mais pas nécessairement) de maintenir – dans le temps – un accès frauduleux à un système informatique. Le pré-requis du rootkit est une machine déjà compromise.

Sommaire 1 Principe du rootkit 2 Rôle du rootkit 3 Types 3.1 Niveau micrologiciel/hardware 3.2 Niveau hyperviseur 3.3 Niveau noyau 3.4 Niveau bibliothèque 3.5 Niveau applicatif 4 Exemples de rootkits 4.1 Rootkit Sony-BMG 4.2 Rootkit clé USB Sony 5 Programmes de détection de rootkit 6 Voir aussi 6.1 Articles connexes 7 Notes et références

Principe du rootkit

Un rootkit s'utilise après une intrusion et l'installation d'une porte dérobée destinée à camoufler tous les changements effectués lors de l'intrusion. C'est comme cela que l'on peut préserver l'accès à la machine un maximum de temps. Les rootkits sont de ce fait difficilement détectables et seule une analyse forensique approfondie peut en révéler la présence.

Rôle du rootkit

La fonction principale du rootkit est de camoufler la mise en place d’une ou de plusieurs « portes dérobées ». Ces portes dérobées (utilisables en local ou à distance) permettent au pirate de s’introduire à nouveau au cœur de la machine sans pour autant exploiter une nouvelle fois la faille ayant permis l’accès frauduleux initial, faille qui serait tôt ou tard comblée.

Les rootkits opèrent une suite de modifications, notamment au niveau des commandes système, voire du noyau (kernel).

À la différence d'un virus informatique ou d'un ver de nouvelle génération, un rootkit ne se réplique pas.

L’installation d’un rootkit nécessite des droits administrateur sur la machine, notamment à cause des modifications profondes du système qu’il engendre. Cela signifie que le pirate doit initialement disposer d’un accès frauduleux, avec les droits du root sous Linux par exemple, afin de mettre en place son rootkit.

Un rootkit ne permet pas en tant que tel de s’introduire de manière frauduleuse dans une machine saine. En revanche, certains rootkits permettent la collecte des mots de passe qui transitent par la machine altérée. Ainsi, un rootkit peut indirectement donner l’accès à d’autres machines.

Certains rootkits sont également livrés avec des collections d’« exploits », ces petits bouts de code dédiés à l’exploitation d’une faille bien déterminée. Le but est d’aider les pirates dans leur conquête de machines encore vierges.

Un rootkit a pour but principal la furtivité, il permet par exemple de cacher certains processus, certains fichiers et clefs de registre, etc. Il opère au niveau du noyau (la plupart du temps chargé en tant que pilote) et peut donc tromper à sa guise les programmes qui sont exécutés en mode utilisateur (antivirus, pare-feu).

Le rootkit est souvent couplé à d'autres programmes tels qu'un sniffeur de frappes, de paquets, etc.

Le rootkit n’a de raison d’être que si une faille est présente et que les conditions sont réunies pour que son exploitation soit réussie et si elle permet un accès avec les droits administrateur. Donc pas de faille, pas de rootkit.

Le meilleur moyen de se protéger des rootkits est de se prémunir contre les failles.

Les rootkits existent depuis plusieurs années. Le projet Chkrootkit, dédié au développement d’un outil de détection de rootkit pour les plateformes Linux, *BSD, Solaris et HP-UX, a été démarré en 1997. Le phénomène n’est donc pas nouveau. En 2002, Securityfocus faisait état des progrès en matière de rootkit pour les plate-formes Microsoft Windows.

Types

Il y a au moins cinq types de rootkits : les kits de niveau micrologiciel, hyperviseur, noyau, bibliothèque et applicatif.

Niveau micrologiciel/hardware

Niveau hyperviseur

Niveau noyau

Niveau bibliothèque

Niveau applicatif

Un rootkit applicatif est relativement comparable a un virus classique. La seule différence venant du fait que le rootkit aura pour priorité de gagner des privilèges

Exemples de rootkits

Rootkit Sony-BMG

En octobre 2005, le spécialiste en sécurité Mark Russinovich (de la société Sysinternals) a découvert un rootkit installé comme composant de gestion numérique des droits (en anglais Digital Rights Management ou DRM), lors de son écoute, par un CD audio de marque Sony-BMG ^[1],[2],[3] . Une fois chargé, ce rootkit permettait de cacher au niveau du noyau tous les fichiers dont le nom commençait par $sys$. Cette fonctionnalité a été exploitée par des virus pour cacher leur code malveillant et échapper ainsi aux programmes anti-virus. Cette affaire a fait un tort important à Sony, aussi bien pour sa réputation que financièrement. Dans plusieurs pays, Sony a été obligé de reprendre ses CD avec rootkit et de dédommager les clients ^[4].

Rootkit clé USB Sony

En 2007, Sony révèle la présence d'un rootkit dans ses clés usb biométrique ^[5],[6],[7]. Cela a été développé par leur sous-traitant FineArt Technology (http://www.fineart-tech.com/en/) à la demande de Sony. La faille a été découverte par F-Secure.

Sony se défend et affirme qu'il n'aurait pas eu pour objectif de fournir des renseignements à certains organismes ni de leur permettre d'accéder aux informations des entreprises. D'après plusieurs éditeurs de solutions anti-virus, cette affaire est en effet moins grave que celle du rootkit se trouvant sur leurs CD Audio. Le principal risque et reproche est que ce rootkit crée un répertoire caché du système, l'endroit idéal pouvant être exploité par des virus pour échapper aux moyens de détections habituels.

Programmes de détection de rootkit

Windows

• Sophos-anti-rootkit
• Malwarebytes Anti-Malware
• G-DATA
• BitDefender
• Kaspersky
• Avira AntiVir
• RkU
• IceSword
• AVG Anti-Rootkit
• NOD32
• DarkSpy
• Avast!
• RootkitRevealer de Windows Sysinternals
• Blacklight F-secure
• Rootkit Hook Analyzer
• Spybot S&D (Safer Networking)
• RootAlyser (Safer Networking)
• Trend Micro Rootkit Buster

UNIX / Linux

• chkrootkit de Nelson Murilo et Klaus Steding-Jessen (UNIX/Linux)
• rkhunter de Michael Boelen (UNIX/Linux)
• Zeppoo de ZeppooTeam (UNIX/Linux), renommé kernsh le 15 mai 2007, ce projet est maintenant intégré dans le framework ERESI (18 septembre 2007).

Voir aussi

Articles connexes

• Porte dérobée
• Faille de sécurité
• Sniffer

Notes et références

• Portail de la sécurité informatique