ルートキット

ルートキットは、コンピュータソフトウェアの集合体であり、通常は悪意があり、コンピュータまたはそのソフトウェアの領域へのアクセスを、通常は許可されていないユーザーなどに対して許可するように設計されており、多くの場合、ルートキットの存在や他のソフトウェアの存在を隠します。^[1]ルートキットという用語は、 「ルート」（ Unix系オペレーティングシステムの特権アカウントの従来の名前）と「キット」（ツールを実装するソフトウェアコンポーネントを指す）という単語を組み合わせたものです。[ ^{2] 「ルートキット」という用語は、}マルウェアとの関連から否定的な意味合いを持っています。^[1]

ルートキットのインストールは自動化できるが、攻撃者がルートまたは管理者のアクセスを取得した後にインストールすることもある。^{[3]このアクセスの取得は、システムへの直接攻撃、つまり脆弱性（}権限昇格など）やパスワード（クラッキングや「フィッシング」などのソーシャルエンジニアリング戦術によって取得）の悪用によって行われる。インストールされると、侵入を隠蔽し、特権アクセスを維持することが可能になります。システムを完全に制御できるということは、既存のソフトウェアを変更できるということであり、そのソフトウェアは、システムの検出や回避に使用される可能性のあるソフトウェアも含む。

ルートキットの検出は困難です。ルートキットは、それを検出することを目的としたソフトウェアを破壊できる可能性があるからです。検出方法には、代替の信頼できるオペレーティング システムの使用、動作ベースの方法、署名スキャン、差分スキャン、メモリ ダンプ分析などがあります。削除は複雑になるか、事実上不可能になることがあります。特にルートキットがカーネル内に存在する場合は、オペレーティング システムを再インストールすることが、問題の唯一の解決策である可能性があります。ファームウェアルートキットを扱う場合、削除にはハードウェアの交換や特殊な機器が 必要になることがあります。

ルートキット、rkit、またはルートキットという用語は、もともと、Unix系 オペレーティングシステム用の悪意を持って改変され、「ルート」アクセスを許可する管理ツールセットを指していました。^[4]侵入者がシステム上の標準管理ツールをルートキットに置き換えることができれば、侵入者はシステムのルートアクセスを取得すると同時に、これらの活動を正当なシステム管理者から隠すことができます。これらの第1世代のルートキットは、同じ情報にアクセスできるように侵害されていないTripwireなどのツールを使用することで簡単に検出できました。 ^{[5] [6]レーン・デイビスとスティーブン・デイクは、1990年に}サン・マイクロシステムズのSunOS UNIXオペレーティングシステム用に最も古いルートキットを作成しました。 ^[7] Unixの生みの親の1人であるベル研究所のケン・トンプソンは、1983年にチューリング賞を受賞した際の講演で、UnixディストリビューションのCコンパイラを破壊する理論を立て、そのエクスプロイトについて議論しました。修正されたコンパイラは、Unixコマンドをコンパイルしようとする試みを検出し、ユーザーの正しいパスワードだけでなく、攻撃者が知っている追加の「バックドア」パスワードも受け入れる変更されたコードを生成します。さらに、コンパイラは新しいバージョンのコンパイラをコンパイルしようとする試みを検出し、同じエクスプロイトを新しいコンパイラに挿入します。コマンドまたは更新されたコンパイラのソースコードを確認しても、悪意のあるコードは見つかりません。^[8]このエクスプロイトはルートキットと同等でした。 loginlogin

1986年に発見された、パーソナルコンピュータを標的とする最初の記録されたコンピュータウイルスは、クローキング技術を使用して自身を隠しました。ブレインウイルスは、ブートセクターの読み取り試行を傍受し、これをディスク上の別の場所にリダイレクトし、元のブートセクターのコピーが保存されていました。 [ ^1] 時間の経過とともに、DOSウイルスのクローキング手法はより洗練されました。高度な技術には、ファイルへの不正な変更を隠すために、低レベルのディスクINT 13H BIOS割り込み呼び出しをフックすることが含まれていました。 ^[1]

Windows NTオペレーティングシステムを標的とした最初の悪意あるルートキットは、1999年にグレッグ・ホグランドが作成したNTRootkitと呼ばれるトロイの木馬で登場しました。^[9]その後、2003年にHackerDefenderが登場しました。 ^[1] Mac OS Xを標的とした最初のルートキットは2009年に登場し、^[10]プログラマブルロジックコントローラ（PLC）を標的とした最初のルートキットはStuxnetワームでした。^[11]

2005年、ソニーBMGは、ソフトウェア会社First 4 Internetが作成したExtended Copy Protectionと呼ばれるコピー防止機能とデジタル著作権管理ソフトウェアを搭載したCDを発売した。このソフトウェアには音楽プレーヤーが含まれていたが、ユーザーがCDにアクセスする能力を制限するルートキットを密かにインストールした。 ^[12]ルートキット検出ツールRootkitRevealerを作成したソフトウェアエンジニアのMark Russinovichは、自分のコンピュータの1台でルートキットを発見した。 ^[1]その後のスキャンダルにより、ルートキットに対する世間の認識が高まった。^[13]ルートキットは、自身を隠すために、「$sys$」で始まるファイルをユーザーから隠していた。Russinovichの報告の直後、影響を受けるシステム上の既存のルートキットを利用するマルウェアが登場した。^[1]あるBBCアナリストはこれを「広報上の悪夢」と呼んだ。^[14]ソニーBMGはルートキットをアンインストールするパッチをリリースしたが、これによりユーザーはさらに深刻な脆弱性にさらされた。^[15]同社は最終的にこれらのCDを回収した。アメリカではソニーBMGに対して集団訴訟が起こされた。 ^[16]

2004～2005 年のギリシャ盗聴事件はギリシャウォーターゲート事件とも呼ばれ、^[17]ボーダフォン ギリシャネットワーク上の100 台以上の 携帯電話の違法盗聴に関係しており、その大半はギリシャ政府関係者や高級公務員のものであった。盗聴は 2004 年 8 月初旬頃に始まり、犯人の身元が判明することなく 2005 年 3 月に解除された。侵入者はエリクソンのAXE 電話交換機をターゲットにしたルートキットをインストールした。IEEE Spectrumによると、これは「ルートキットが特殊用途システム、この場合はエリクソンの電話交換機で確認された初めてのケース」であった。^[18]ルートキットは、交換機の実行中にメモリにパッチを適用し、監査ログを無効にして盗聴を有効にし、アクティブなプロセスとアクティブなデータ ブロックをリストするコマンドにパッチを適用し、データ ブロックチェックサム検証コマンドを変更するように設計されていた。 「バックドア」により、システム管理者の権限を持つオペレータは、取引所の取引ログ、アラーム、監視機能に関連するアクセス コマンドを無効化できました。^[18]侵入者が欠陥のあるアップデートをインストールした後にルートキットが発見されました。このアップデートによりSMSテキストが配信されなくなり、自動障害レポートが生成されました。エリクソンのエンジニアが障害の調査に呼ばれ、監視対象の電話番号のリストを含む隠しデータ ブロック、ルートキット、不正な監視ソフトウェアを発見しました。

最近のルートキットはアクセス権を昇格させるのではなく、^[4]ステルス機能を追加することで別のソフトウェアペイロードを検出不能にするために使用されます。^[9]ほとんどのルートキットは、バンドルされているペイロードが悪意のあるものであるため、マルウェアに分類されます。 たとえば、ペイロードは密かにユーザーのパスワード、クレジットカード情報、コンピューティングリソースを盗んだり、その他の許可されていないアクティビティを実行したりする可能性があります。 少数のルートキットは、ユーザーによってユーティリティアプリケーションと見なされる場合があります。 たとえば、ルートキットはCD-ROMエミュレーションドライバーを隠蔽し、ビデオゲームのユーザーが、ソフトウェアが正当に購入されたことを確認するために元のインストールメディアを物理的な光学ドライブに挿入することを要求する著作権侵害対策を 回避できるようにします。

ルートキットとそのペイロードには多くの用途があります。

• バックドアを介して攻撃者に完全なアクセス権を与え、不正アクセスを許可して、たとえば文書を盗んだり偽造したりできるようにします。これを実行する方法の 1 つは、Unix 系システムの /bin/login プログラムやWindows のGINAなどのログイン メカニズムを破ることです。この代替手段は正常に機能しているように見えますが、秘密のログインの組み合わせも受け入れるため、攻撃者は標準の認証および承認メカニズムをバイパスして、管理者権限でシステムに直接アクセスできます。
• その他のマルウェア、特にパスワードを盗むキーロガーやコンピュータウイルスを隠蔽する。^[19]
• 侵害されたマシンをゾンビコンピュータとして利用し、他のコンピュータを攻撃する。(攻撃は攻撃者のシステムではなく、侵害されたシステムまたはネットワークから発生する。)「ゾンビ」コンピュータは通常、サービス拒否攻撃を開始したり、電子メールスパムを配布したり、クリック詐欺を実行したりできる大規模なボットネットのメンバーです。^[20]

場合によっては、ルートキットは必要な機能を提供するため、コンピューター ユーザーに代わって意図的にインストールされることがあります。

• 例えばハニーポットでの攻撃を検出する。^[21]
• エミュレーションソフトウェアとセキュリティソフトウェアを強化します。^[22] Alcohol 120%とDaemon Tools は、SafeDiscやSecuROMなどのコピー防止メカニズムを無効にするために使用される非敵対的なルートキットの商用例です。^[23] Kaspersky ウイルス対策ソフトウェアも、ルートキットに似た技術を使用して、悪意のあるアクションから自身を保護します。独自のドライバーをロードしてシステムアクティビティを傍受し、他のプロセスが自身に害を及ぼすのを防ぎます。そのプロセスは隠されていませんが、標準的な方法で終了することはできません。
• 盗難防止機能：ノートパソコンには、中央機関に定期的に報告するBIOSベースのルートキットソフトウェアが搭載されている場合があります。これにより、盗難にあった場合にノートパソコンを監視したり、無効化したり、情報を消去したりすることができます。^[24]
• マイクロソフト製品のアクティベーションの回避^[25]

ルートキットには少なくとも5つの種類があり、ファームウェアの最低レベル（最高の権限を持つ）のものから、リング3で動作する最低権限のユーザーベースの亜種まであります。これらのハイブリッドな組み合わせは、たとえばユーザーモードとカーネルモードにまたがって発生する可能性があります。^[26]

ユーザーモードルートキットは、低レベルのシステムプロセスではなく、他のアプリケーションとともにリング3でユーザーとして実行されます。 ^[27]アプリケーションプログラミングインターフェース（API）の標準的な動作を傍受して変更するためのインストールベクトルが多数あります。動的にリンクされたライブラリ（ Windowsの.DLLファイルやMac OS Xの.dylibファイルなど）を他のプロセスに挿入し、ターゲットプロセス内で実行して偽装できるようにするものもあれば、十分な権限を持つものはターゲットアプリケーションのメモリを上書きするだけのものもあります。挿入メカニズムには次のものがあります。^[27]

• ベンダー提供のアプリケーション拡張機能の使用。たとえば、Windows エクスプローラーには、サード パーティが機能を拡張できるようにするパブリック インターフェイスがあります。
• メッセージの傍受。
• デバッガー。
• セキュリティの脆弱性の悪用。
• 一般的に使用されるAPIの関数フックまたはパッチ適用。例えば、ファイルシステム上に存在する実行中のプロセスやファイルを非表示にするなど。^[28]

...ユーザー モード アプリケーションはすべて独自のメモリ空間で実行されるため、ルートキットは実行中のすべてのアプリケーションのメモリ空間でこのパッチを適用する必要があります。さらに、ルートキットはシステムを監視して実行される新しいアプリケーションを検出し、それらのプログラムが完全に実行される前にメモリ空間にパッチを適用する必要があります。

—  Windowsルートキットの概要、シマンテック^[4]

カーネルモード ルートキットは、コードを追加したり、カーネルと関連デバイス ドライバーの両方を含むコア オペレーティング システムの一部を置き換えたりすることで、最高のオペレーティング システム権限 (リング 0 ) で実行されます。^[要出典]ほとんどのオペレーティング システムは、オペレーティング システム自体と同じ権限で実行するカーネル モード デバイス ドライバーをサポートしています。そのため、多くのカーネルモード ルートキットは、Linuxのロード可能なカーネル モジュールやMicrosoft Windowsのデバイス ドライバーなど、デバイス ドライバーまたはロード可能なモジュールとして開発されています。このクラスのルートキットはセキュリティ アクセスが制限されませんが、作成がより困難です。^[29]複雑さのためにバグがよく発生し、カーネル レベルで動作するコードにバグがあると、システムの安定性に重大な影響が及ぶ可能性があり、ルートキットが発見される可能性があります。^[29]最初に広く知られるようになったカーネル ルートキットの 1 つは、Windows NT 4.0用に開発され、1999 年にGreg HoglundによってPhrackマガジンでリリースされました。^{[30] [31]}カーネルルートキットはオペレーティングシステム自体と同じセキュリティレベルで動作し、最も信頼されているオペレーティングシステムの動作を傍受または破壊することができるため、検出と削除が特に困難です。侵害されたシステムで実行されているウイルス対策ソフトウェアなどのソフトウェアは、同様に脆弱です。^[32]このような状況では、システムのどの部分も信頼できません。

ルートキットは、直接カーネルオブジェクト操作(DKOM)と呼ばれる方法を使用して、Windows カーネルのデータ構造を変更できます。^[33]この方法は、プロセスを隠すために使用できます。カーネルモードのルートキットは、システムサービス記述子テーブル(SSDT) をフックしたり、ユーザーモードとカーネルモード間のゲートを変更したりして、自分自身を隠蔽することもできます。^[4] Linuxオペレーティングシステムの場合も同様に、ルートキットはシステムコールテーブルを変更してカーネルの機能を破壊することができます。^{[34] [35]}ルートキットが暗号化された隠しファイルシステムを作成し、他のマルウェアや感染したファイルの元のコピーを隠すことはよくあります。^[36]オペレーティングシステムは、カーネルモードのルートキットの脅威に対抗するために進化しています。たとえば、Microsoft Windows の 64 ビット版では、信頼できないコードがシステム内で最高権限で実行されるのをより困難にするために、すべてのカーネルレベルのドライバーに署名を義務付けるようになりました。^[37]

ブートキットと呼ばれるカーネルモード ルートキットの亜種は、マスター ブート レコード(MBR)、ボリューム ブート レコード(VBR)、ブート セクタなどの起動コードに感染し、ディスク全体の暗号化システムを攻撃するために使用できます。 ^[38] ディスク暗号化に対するこのような攻撃の例として、「悪意のあるメイド攻撃」があります。これは、攻撃者が無人のコンピュータにブートキットをインストールするものです。想定されるシナリオは、メイドが被害者がハードウェアを置き忘れたホテルの部屋に忍び込むというものです。^[39]ブートキットは、正当なブート ローダーを、攻撃者が制御するブート ローダーに置き換えます。通常、マルウェア ローダーは、カーネルがロードされたときに保護モードに移行しても存続するため、カーネルを破壊できます。^{[40] [41] [42]}たとえば、「Stoned Bootkit」は、侵害されたブート ローダーを使用して暗号化キーとパスワードを傍受することでシステムを破壊します。^{[43] [自費出版ソース? ]} 2010年、Alureonルートキットは、マスターブートレコードを変更することで、Windows 7の64ビットカーネルモードドライバーの署名要件を破ることに成功しました。^[44]ユーザーの望まないことを行うという意味でのマルウェアではありませんが、特定の「Vista Loader」または「Windows Loader」ソフトウェアは、起動時にRAMキャッシュバージョンのBIOSにACPI SLIC（システムライセンス内部コード）テーブルを挿入することで同様の方法で動作し、 Windows VistaおよびWindows 7のアクティベーションプロセスを無効にします。^[要出典]この攻撃ベクトルは、各システムに固有のマシン固有のキーを使用し、そのマシンでのみ使用できるWindows 8の（非サーバー）バージョンでは役に立たなくなりました。 ^[45]多くのウイルス対策会社は、ブートキットを削除するための無料のユーティリティとプログラムを提供しています。

ルートキットは、概念実証として学術界でタイプ IIハイパーバイザーとして作成されています。Intel VTやAMD-Vなどのハードウェア仮想化機能を利用することで、このタイプのルートキットはリング -1 で実行され、ターゲットのオペレーティング システムを仮想マシンとしてホストします。これにより、ルートキットは元のオペレーティング システムによるハードウェア呼び出しを傍受できます。 ^[6]通常のハイパーバイザーとは異なり、オペレーティング システムの前にロードする必要はなく、仮想マシンに昇格する前にオペレーティング システムにロードできます。^[6]ハイパーバイザー ルートキットは、ターゲットのカーネルを破壊してそれを破壊する必要はありませんが、ゲスト オペレーティング システムによって検出できないわけではありません。たとえば、CPU命令でタイミングの違いが検出できる場合があります。^[6] Microsoftとミシガン大学の研究者が共同で開発した「SubVirt」ラボ ルートキットは、仮想マシン ベースのルートキット (VMBR) の学術的な例です。^[46] Blue Pillソフトウェア もその 1 つです。 2009年、マイクロソフトとノースカロライナ州立大学の研究者は、カーネルモードのルートキットに対する一般的な保護を提供する、Hooksafeと呼ばれるハイパーバイザー層のアンチルートキットを実証しました。 ^[47] Windows 10では、「デバイスガード」と呼ばれる新機能が導入されました。これは、仮想化を利用して、ルートキットタイプのマルウェアに対するオペレーティングシステムの独立した外部保護を提供します。^[48]

ファームウェアルートキットは、デバイスまたはプラットフォーム ファームウェアを使用して、ルーター、ネットワーク カード、[49] ハード ドライブ、システム BIOS [27] などのハードウェアに永続的なマルウェア イメージを作成します。[ 50 ]ファームウェア^は 通常コードの^整合性^が検査されないため、ルートキットはファームウェア内に隠れています。 John Heasman は、 ACPIファームウェア ルーチン^[51]とPCI拡張カードROM ^[52]の両方でファームウェア ルートキットの実行可能性を実証しました。2008 年 10 月、犯罪者はヨーロッパのクレジットカード読み取り機がインストールされる前に改ざんしました。このデバイスは、携帯電話ネットワークを介してクレジットカードの詳細を傍受して送信しました。^[53] 2009 年 3 月、研究者 Alfredo Ortega と Anibal Sacco は、ディスクの交換とオペレーティング システムの再インストールに耐えることができるBIOSレベルの Windows ルートキットの詳細を公開しました。 ^{[54] [55] [56]}数か月後、一部のラップトップは、多くのBIOSイメージにプリインストールされたAbsolute CompuTraceまたはAbsolute LoJack for Laptopsと呼ばれる正規のルートキットとともに販売されていることがわかりました。これは盗難防止技術システムであり、研究者らは悪意のある目的に転用できることを示しました。^[24]

Intel vProの一部であるIntel Active Management Technology は、帯域外管理を実装し、システムの電源がオフの場合でも、ホスト プロセッサや BIOS を介さずに、管理者がPC のリモート管理、リモート制御、リモート制御を行えるようにします。リモート管理には、リモート電源オン/オフ、リモート リセット、リダイレクトされたブート、コンソール リダイレクト、BIOS 設定へのブート前アクセス、インバウンドおよびアウトバウンド ネットワーク トラフィックのプログラム可能なフィルタリング、エージェントの存在確認、帯域外ポリシー ベースの警告、ハードウェア資産情報、永続的なイベント ログ、OS がダウンしたり PC の電源がオフになったりしてもアクセスできる専用メモリ (ハード ドライブではない) に保存されているその他の情報などのシステム情報へのアクセスが含まれます。これらの機能の一部には、最も深いレベルのルートキット、つまりメイン コンピュータの周囲に構築された取り外し不可能な 2 台目のスパイ コンピュータが必要です。Sandy Bridge および将来のチップセットには、「3G 経由で紛失または盗難にあった PC をリモートで強制終了および復元する機能」があります。チップセットに組み込まれたハードウェア ルートキットは、盗まれたコンピューターの回復、データの削除、または使用不可にすることに役立ちますが、制御権を握る可能性のある管理者やハッカーによる検出不可能なスパイ行為やリダイレクトなどのプライバシーとセキュリティ上の懸念も生じます。

ルートキットは、システムの制御権を得るためにさまざまな手法を採用します。ルートキットの種類によって、攻撃ベクトルの選択が変わります。最も一般的な手法は、セキュリティの脆弱性を利用して、秘密裏に権限を昇格することです。別のアプローチは、トロイの木馬を使用して、コンピュータユーザーをだまし、ルートキットのインストールプログラムを無害なものとして信頼させます。この場合、ソーシャルエンジニアリングによって、ルートキットが有益であるとユーザーを説得します。^[29]最小権限の原則が適用されない場合、ルートキットは明示的に昇格された（管理者レベルの）権限を要求する必要がないため、インストールタスクが容易になります。他の種類のルートキットは、ターゲットシステムに物理的にアクセスできるユーザーのみがインストールできます。一部のルートキットは、システムの所有者または所有者から許可された人物によって意図的にインストールされる場合もあります（従業員の監視など） 。そのため、このような破壊的な手法は不要になります。^[57]悪意のあるルートキットのインストールの中には、商業目的で行われるものもあり、配布にはインストールごとに支払う（PPI）補償方法が一般的です。^{[58] [59]}

ルートキットはインストールされると、診断、スキャン、監視に使用される標準のオペレーティングシステムセキュリティツールやアプリケーションプログラミングインターフェース(API) を破壊または回避することで、ホストシステム内での存在を隠すための積極的な手段を講じます。 ^{[60]ルートキットは、他のプロセスにコードをロードしたり、}ドライバーやカーネルモジュールをインストールまたは変更したりして、オペレーティングシステムのコア部分の動作を変更することでこれを実現します。難読化の手法には、実行中のプロセスをシステム監視メカニズムから隠したり、システムファイルやその他の構成データを隠すことが含まれます。^[61]ルートキットが攻撃の証拠を隠すためにオペレーティングシステムのイベントログ機能を無効にすることは珍しくありません。ルートキットは、理論上、オペレーティングシステムのあらゆるアクティビティを破壊することができます。 ^{[62] 「完璧なルートキット」は「}完全犯罪」に似ていると考えることができます。つまり、誰も起こったことに気付かない犯罪です。ルートキットは、一般的にはシステムに完全にアクセスできるリング 0 (カーネル モード) にインストールされるほか、ウイルス対策ソフトウェアによる検出や「クリーニング」から生き残るためにさまざまな対策を講じます。これには、ポリモーフィズム(「シグネチャ」が検出されにくくなるように変更する)、ステルス技術、再生、マルウェア対策ソフトウェアの無効化またはオフ、^{[63] 、研究者がルートキットを発見して分析しやすい}仮想マシンにインストールしない、などが含まれます。

ルートキット検出の根本的な問題は、オペレーティングシステムが、特にカーネルレベルのルートキットによって破壊された場合、オペレーティングシステム自体またはそのコンポーネントへの不正な変更を検出できるとは限らないことです。^[62]実行中のプロセスのリストやディレクトリ内のファイルのリストを要求するなどのアクションは、期待どおりに動作するとは限らないということです。言い換えれば、感染したシステムで実行されている間に機能するルートキット検出器は、カモフラージュに欠陥があるルートキット、またはカーネル内の検出ソフトウェアよりも低いユーザーモード権限で実行されるルートキットに対してのみ有効です。^[29]コンピュータウイルスと同様に、ルートキットの検出と除去は、この対立の両側の間で進行中の闘争です。^[62]検出には、ウイルスの「シグネチャ」の検索（ウイルス対策ソフトウェアなど）、整合性チェック（デジタル署名など）、差異ベースの検出（期待結果と実際の結果の比較）、動作検出（CPU使用率やネットワークトラフィックの監視など）など、さまざまなアプローチがあります。

カーネルモードのルートキットの場合、検出ははるかに複雑で、システムコールテーブルを注意深く精査して、マルウェアがシステムの動作を妨害している可能性のあるフックされた関数を探す必要があります^。[64]また、メモリをフォレンジックスキャンして、隠れたプロセスを示すパターンを探す必要があります。 Unix ルートキット検出サービスには、Zeppoo、 ^[65] chkrootkit、rkhunter、OSSECなどがあります。 Windows の場合、検出ツールには、Microsoft Sysinternals RootkitRevealer、^[66] Avast Antivirus、^[67] Sophos Anti-Rootkit、^[68] F-Secure、^[69] Radix、^[70] GMER、^[71] WindowsSCOPEなどがあります。 マルウェア作成者は、使い慣れたツールによる検出を逃れるためにコードを適応させてテストするため、効果的であることが証明されたルートキット検出器は、最終的にはそれ自体の非効率性に貢献します。^{[注 1]}疑わしいオペレーティング システムが動作していない状態でストレージを検査して検出すると、ルートキットがアクティブではなく疑わしい動作が抑制されるため、チェック ソフトウェアによって認識されないルートキットを見逃す可能性があります。ルートキットが効果的に隠れている場合、ルートキットが動作している状態で従来のマルウェア対策ソフトウェアを実行すると失敗する可能性があります。

オペレーティングシステムレベルのルートキット検出の最良かつ最も信頼性の高い方法は、感染が疑われるコンピュータをシャットダウンし、信頼できる代替メディア（「レスキュー」CD-ROMやUSBフラッシュドライブなど）から起動してストレージをチェックすることです。^[72]この手法は、ルートキットが実行されていない場合は積極的にその存在を隠すことができないため効果的です。

ルートキットを検出するための行動ベースのアプローチは、ルートキットのような行動を探すことでルートキットの存在を推測しようとする。例えば、システムをプロファイリングすることで、API呼び出しのタイミングと頻度、または全体的なCPU使用率の違いをルートキットに起因するものとすることができる。この方法は複雑であり、誤検知の発生率が高いことが妨げとなっている。欠陥のあるルートキットは、システムに非常に明白な変更を加えることがある。例えば、 Alureonルートキットは、セキュリティ更新によってコードの設計上の欠陥が明らかになった後、Windowsシステムをクラッシュさせた。^{[73] [74]}パケットアナライザー、ファイアウォール、または侵入防止システムのログは、ネットワーク環境でのルートキットの動作の証拠を示す場合がある。^[26]

セキュリティ ソフトウェア ベンダーが自社製品にルートキット検出機能を組み込んでいるにもかかわらず、ウイルス対策製品が公開テストですべてのウイルスを捕捉することはめったにありません (使用される内容と程度によって異なります)。ウイルス対策スキャン中にルートキットが隠れようとした場合、ステルス検出器がそれを検出します。ルートキットがシステムから一時的にアンロードしようとした場合、シグネチャ検出 (または「フィンガープリンティング」) によって検出されます。^[75]この組み合わせのアプローチにより、攻撃者は反撃メカニズム、つまり「レトロ」ルーチンを実装してウイルス対策プログラムを終了させようとします。シグネチャベースの検出方法は、広く公開されているルートキットに対しては効果的ですが、特別に細工されたカスタム ルート ルートキットに対してはそれほど効果的ではありません。^[62]

ルートキットを検出できる別の方法は、「信頼できる」生データとAPIによって返される「汚染された」コンテンツを比較することです。たとえば、ディスク上に存在するバイナリをオペレーティング メモリ内のコピーと比較できます (一部のオペレーティング システムでは、メモリ内のイメージはディスク上のイメージと同一である必要があります)。または、ファイル システムまたはWindows レジストリAPI から返された結果を、基礎となる物理ディスク上の生の構造と比較できます^{[62] [76]} —ただし、前者の場合、メモリの再配置やシミングなどのオペレーティング システムのメカニズムによって、有効な違いが生じる可能性があります。ルートキットは、このような差異ベースのスキャナーまたは仮想マシン(後者はフォレンジック分析を実行するために一般的に使用されます) の存在を検出し、違いが検出されないように動作を調整する場合があります。差異ベースの検出は、RussinovichのRootkitRevealerツールによって Sony DRM ルートキットを見つけるために使用されました。^[1]

コード署名では、公開鍵インフラストラクチャを使用して、発行者によるデジタル署名以降にファイルが変更されたかどうかを確認します。または、システム所有者または管理者は、インストール時に暗号化ハッシュ関数を使用して「指紋」を計算することができます。これは、ディスク上のコードライブラリへのその後の不正な変更を検出するのに役立ちます。 ^[77]ただし、洗練されていないスキームでは、コードがインストール時以降に変更されたかどうかのみがチェックされ、それ以前のバージョンは検出されません。指紋は、システムに変更が加えられるたびに再確立する必要があります。たとえば、セキュリティ更新プログラムまたはサービスパックをインストールした後などです。ハッシュ関数は、メッセージダイジェストを作成します。これは、ファイル内の各ビットから計算される比較的短いコードで、元のファイルへの変更がさらに小さくても、メッセージダイジェストに大きな変更を加えるアルゴリズムを使用しています。インストールされたファイルのメッセージダイジェストを定期的に再計算して、信頼できるメッセージダイジェストのリストと比較することで、システムの変更を検出して監視できます。ただし、元のベースラインがマルウェアが追加される前に作成されている必要があります。

より洗練されたルートキットは、検査のためにファイルの未変更のコピーを提示したり、メモリや再構成レジスタ内のコードのみを変更したりして検証プロセスを覆すことができます。これらの変更は、後で期待値のホワイトリストと比較されます。^[78]ハッシュ、比較、または拡張操作を実行するコードも保護する必要があります。この文脈では、不変の信頼のルートの概念は、システムのセキュリティ特性を測定する最初のコード自体が、ルートキットまたはブートキットが最も基本的なレベルでシステムを侵害しないことを保証するために信頼されなければならないことを示しています。^[79]

仮想メモリの完全なダンプを強制すると、アクティブなルートキット（カーネルモード ルートキットの場合はカーネルダンプ）がキャプチャされ、生成されたダンプ ファイルに対してデバッガーを使用してオフラインのフォレンジック分析を実行できるようになります。ルートキットは、自分自身を隠すための手段を講じることはできません。この手法は高度に専門化されており、非公開のソース コードやデバッグ シンボルへのアクセスが必要になる場合があります。オペレーティング システムによって開始されたメモリ ダンプは、常にハイパーバイザー ベースのルートキットを検出するために使用できるとは限りません。ハイパーバイザー ベースのルートキットは、メモリを読み取る最も低レベルの試行を傍受して破壊することができます^{[6] — このシナリオでは、メモリをダンプするために、}マスク不可能な割り込みを実装するハードウェア デバイスなどが必要になる場合があります。^{[80] [81]}仮想マシンでは、基盤となるハイパーバイザーから侵害されたマシンのメモリを分析しやすくなるため、一部のルートキットは、この理由から仮想マシンへの感染を避けます。

ルートキットを手動で削除するのは、一般的なコンピュータユーザーにとっては非常に難しいことが多いが、^[27]多くのセキュリティソフトウェアベンダーが、通常はウイルス対策スイートの一部として、一部のルートキットを自動的に検出して削除するツールを提供している。 2005 年現在^{[アップデート]}、マイクロソフトの月例のWindows 悪意のあるソフトウェアの削除ツールは、一部のクラスのルートキットを検出して削除することができる。 ^{[82] [83]} また、Windows Defender オフラインは、オペレーティングシステムが起動する前に信頼できる環境から実行されるため、ルートキットを削除できる。^[84]一部のウイルス対策スキャナーは、ルートキットによる操作に対して脆弱なファイルシステム API をバイパスできる。代わりに、生のファイルシステム構造に直接アクセスし、この情報を使用してシステム API からの結果を検証し、ルートキットによって発生した可能性のある差異を特定する。^{[注 2] [85] [86] [87] [88 [89] [90]}これは、信頼できないシステムで実行されているウイルス対策およびマルウェア除去ツールが、巧妙に書かれたカーネルモードルートキットに対して効果がない可能性があるためです。信頼できるメディアから代替オペレーティングシステムを起動すると、感染したシステムボリュームをマウントして安全にクリーンアップし、重要なデータをコピーしたり、フォレンジック調査を実行したりすることができます。^[26] Windows PE、Windows回復コンソール、Windows回復環境、BartPE、またはLive Distrosなどの軽量オペレーティングシステムをこの目的に使用して、システムを「クリーンアップ」することができます。ルートキットの種類と性質がわかっていても、手動による修復は非現実的である可能性がありますが、オペレーティングシステムとアプリケーションを再インストールする方が安全で、簡単で、迅速です。^[89]

システム強化は、ルートキットのインストールを防ぐための最初の防御層の 1 つです。^[91]セキュリティ パッチの適用、最小権限の原則の実装、攻撃対象領域の縮小、ウイルス対策ソフトウェアのインストールは、すべての種類のマルウェアに対して有効な標準的なセキュリティのベスト プラクティスです。^[92] UEFIなどの新しいセキュア ブート仕様は、ブートキットの脅威に対処するために設計されていますが、それらが提供するセキュリティ機能が利用されていない場合は、これらも脆弱です。^{[50]サーバー システムの場合、Intel} Trusted Execution Technology (TXT)などのテクノロジを使用したリモート サーバー認証により、サーバーが既知の良好な状態にあることを確認する方法が提供されます。たとえば、Microsoft Bitlockerの保存データの暗号化により、サーバーが起動時に既知の「良好な状態」にあることが確認されます。PrivateCore vCage は、サーバーが起動時に既知の「良好な」状態にあることを確認することで、使用中のデータ (メモリ) を保護し、ブートキットやルートキットを回避するソフトウェア製品です。 PrivateCore 実装は Intel TXT と連携して動作し、潜在的なブートキットやルートキットを回避するためにサーバー システム インターフェイスをロックダウンします。

もう一つの防御メカニズムである仮想壁 (VTW) アプローチは、ルートキット検出とイベント トレース機能を備えた軽量ハイパーバイザーとして機能します。通常の操作 (ゲスト モード) では Linux が実行され、ロードされた LKM がセキュリティ ポリシーに違反すると、システムはホスト モードに切り替わります。ホスト モードの VTW は、メモリ アクセス制御とイベント インジェクション メカニズムに基づいてルートキット イベントを検出、トレース、分類します。実験結果では、最小限の CPU オーバーヘッド (2% 未満) でカーネル ルートキットをタイムリーに検出して防御する VTW の有効性が実証されています。VTW は他の防御スキームと比較して有利であり、実装のシンプルさと Linux サーバーでの潜在的なパフォーマンス向上が強調されています。^[93]

• コンピュータセキュリティ会議
• ホストベースの侵入検知システム
• 中間者攻撃
• ルートキットの兵器庫: システムの暗い隅での脱出と回避

• Blunden , Bill (2009)。ルートキットの兵器庫: システムの暗い隅での脱出と回避。Wordware。ISBN 978-1-59822-061-2。
• ホグランド、グレッグ、バトラー、ジェームズ (2005)。ルートキット: Windows カーネルの破壊。Addison -Wesley Professional。ISBN 978-0-321-29431-9。
• Grampp, FT; Morris, Robert H. Sr. (1984 年 10 月)。「UNIX システム: UNIX オペレーティング システムのセキュリティ」。AT & T Bell Laboratories Technical Journal。62 ( 8): 1649–1672。doi : 10.1002 /j.1538-7305.1984.tb00058.x。S2CID 26877484  。
• コン、ジョセフ (2007)。BSD ルートキットの設計。スターチプレスは不要です。ISBN 978-1-59327-142-8。
• ヴェイラー、リック（2007年）。プロフェッショナルルートキット。Wrox。ISBN 978-0-470-10154-4。

• ウィキメディア・コモンズのルートキット関連メディア