Semplice - Rootkit（ルートキット）とWindows

ルートキット（Rootkit）の解説

　ルートキット（Rootkit）は一般には、サーバーなどへ侵入したクラッカーが利用する高機能なハッキングツールの詰め合わせのようなものである。クラッカーは乗っ取ったシステム上でバックドアの作成やログ消しやパスワードクラックなどを行うが、このような悪意のある操作のために必要なツールを一まとめにしたものをRootkitと呼ぶ。
（もしくは多様な機能がある単独のツールをそのように呼ぶ）

　ルートキットと言えば、LinuxなどのOSを対象に使われる、ハッカーかクラッカーがどこかの企業のサーバーに侵入して設置するような不正なソフトウェア・ハッキングツールを指す例が多かったのだが。
　しかし日本国内でのRootkitの感染数は、少なくともWindowsに限れば、一般的なエンドユーザーが大部分である。これらはブラウザハイジャッカーやスパイウェアとほぼ同時に（または感染の結果として後日）インストールされるのだ。
　Windowsを対象とした一般的なルートキットは、簡単に説明してしまえば高機能トロイである。
　本体そのものや設定ファイルだけではなく、指定した任意のファイル・フォルダを隠蔽するよう設定する事もできる。
　これに感染しているのか否かを検出するのは、極めて困難な場合が多い。検出ツールを用いずに探すとしたらば、「隠蔽されているマルウェア・ウイルス・スパイウェアを発見する（Semplice）」のような手法を用いなければならないだろう。

　そもそもルートキットのようなマルウェア（Malware）は、感染後にはアンチウイルスソフトでは（検出はできたとしても）駆除はできない。一旦感染してしまえば、もう終わりなのだ。
　自分はウイルス対策ソフトは予防のためのものとして考えており、事後にどれだけの効果を発揮できるのかとの点には疑問を感じている（「アンチウイルスソフトに期待されている役割（Semplice）」）。

　また起動中のプロセスはタスクマネージャーからは確認できず、オープンになっているポートはnetstatで表示されず、レジストリへの登録項目はレジストリエディタよりは非表示になり確認できない例もある。
　ウイルス・スパイウェア・アドウェアなどは、このRootkitに比べれば、おとなしい部類になってしまう。

　アンチウイルスソフトによる修復作業は、基本的に期待できないと考えるべきである。また現実の問題として、このようなマルウェアに感染したらば、下手に修復を試みるよりは、さっさとリカバリーしてしまうよう推奨する。
（可能であるならば、後日何らかの問題が生じた場合に備え、証拠物品として保全するべきであると思われる。）
　どのような被害が生じているのか、その被害の範疇が無限大であり、予想もつかないのだよ。この場合は最悪の事態を想定し、慎重に対処するよう心がけた方が良いだろう。

　塩月誠人氏のサイトのアンチ・フォレンジック（sa2005_shio.pdf）という文書が紹介されていたブログがあったのだが。
　大変詳しい内容なので、一読するよう推奨する。具体的な機能やその働きが丁寧に解説されており、素晴らしいテキストであった。

　このRootkitはアプリケーションルートキット（Application Rootkit）とカーネルルートキット（Kernel Rootkit）に大別される。
　mashさんより紹介された記事なのだが、この辺を見れば大体の様相は掴めるだろう。
　rootkitによるハッキングとその防御（ITmedia）
　前者ならばファイルをざっと調べれば改竄されたものが見つかるだろうし、不審なプロセスを発見するのも容易なのやもしれない。
　Kernel Rootkitは前述の塩月誠人氏のPDF資料にも詳細が記載されているんだけど、これに感染したらばExplorerからは本体なり設定ファイルが閲覧できず、タスクマネージャーより確認できず、アンチウイルスソフトのスキャンでも発見できなかったりするのだ。これはWindowsnのAPIを乗っ取り、その姿を隠蔽し消えてしまうのだ。代表的なものとしては、HackerDefenderなどがあげられる。

　mashさんよりTripwire、及び改ざん検知システム(FIDS) for windowsなるソフトを紹介していただいたんだけど、このような改竄検知ソフトは大変有効な対応策ですね。
　ただサーバーなどにインストールし管理するのはともかく、個人でこれを日頃より利用するには向かないような気が。
　まぁそうは言っても、何かに感染させ挙動を観察する分には相応に役立ちそうです。

WindowsのRootkit（ルートキット）感染

　やや古い記事なのだが、Rootkitについてなかなかわかりやすい内容なので紹介。

　Microsoftセキュリティソリューション部門のマイク・ダンセグリオ氏とカート・ディラード氏によると、リモートシステム監視ソフトは何年も前から出回っており、Hacker Defender」「FU」「Vanquish」といった名称のプログラムがその最新世代だという。
　特に、比較的新しいrootkitsは、カーネルに渡されるクエリー（システムコール）を傍受し、rootkitsソフトが生成したクエリーを取り除く。その結果、実行可能ファイル名（コンピュータのメモリの一部を使用する名前付きプロセス）やOSのレジストリのコンフィグレーション設定など、プログラムが実行されていることを示す通常のサインが管理者や検出ツールから見えなくなると同氏は説明した。
　両氏によると、このソフトは、ウイルス対策ソフト、ホスト・ネットワーク侵入検知センサー（IDS）、スパイウェア対策製品など多くの検出ツールから見えない。
MS研究者、「カーネルrootkits」の脅威を警告（ITmedia）

　この記事中にてWindows PEを使ってRootkitの存在を探す方法が提案されているが、これは効果的やもしれない。Windows OSが起動している最中には、その起動中のOSからの操作ではRootkitは存在を隠蔽しており、発見できないのだ。

Rootkitの検出と対策

　正直な印象をいきなりぶっちゃけるんですが。
　「無理？」

　一例としてMicrosoft Windows 悪意のあるソフトウェアの削除ツールでは、HackerDefenderに対応しているのだが（Windows Server 2003、Windows XP、または Windows 2000 を実行するコンピュータから、流行している特定の悪質なソフトウェアを削除する Microsoft Windows 悪意のあるソフトウェアの削除ツール）
　自身及びその活動を隠蔽する目的で進化したRootkitに、これだけで十分対応できるのかと問われれば、それは難しいような。大体HackerDefenderのみがKernel Rootkitではないし。感染した後になってから足掻いても、ねぇ。

　Kernel Rootkitの最も確実な検出方法は、ハードディスクを外し他のパソコンに接続してのスキャンなり検証、またはCDやDVDよりブートした上での検証作業のみが有効である。
　感染後であれば、セーフモードで起動したとしても、ネットワーク経由でアンチウイルスソフトなりでスキャン・もしくは個別のファイルを検証したとしても、その実体には迫れないだろう。

　なおWindows XPのシステムの復元機能により、ルートキット感染パソコンを元の状態に戻せる場合もあるのだが。自分としてはこのようなマルウェアに感染したらば即リカバリーするよう推奨する。被害の及ぶ範囲が想定できず、また気付くまでの間にどのような不正行為が行われていたのか判断できないためだ。

WindowsのRootkit被害の現状

　Rootkitはクラッカーがどこかのサーバーをハッキングしてインストールするばかりではない。少なくともWindowsへの感染者数ベースでは、悪意を持った者が設置したサイトよりInternet Explorer経由で感染する例が多いような気がする。

　感染させたマルウェア（Malware）を駆除させないようにするためにRootkitを利用し、レジストリエントリやファイルを隠蔽する例も多い。
　このようなケースでのRootkit感染は、エンドユーザーを対象とした攻撃であるため、その原因の追究は個人ユーザーレベルでは難しいだろう。

　なおシステムの復元機能によりRootkit感染前のシステムの状態へ復旧させることができる場合もあるやもしれないが、このようなマルウェアに感染した場合は、リカバリーなりOSの新規インストールをした方が良いのではなかろうか。

　いずれにしてもアンチウイルスソフトはエンドユーザーには必須なソフトであろう。これによる復旧が（十分には）望めなかったとしても、そのようなセキュリティ対策ソフトを導入して適切に設定していれば、感染直前に予防できる機会が与えられるのだ。

MacOSのRootkit

　ウイルスにまず感染せず安全と思われているMacであっても、動作できるRootkitもある。
　なお身の回りのMacユーザーはアンチウイルスソフトなどは導入しておらず、そのような危機意識がやや薄いように思われる。今後はこのようなマルウェアに対してより一層注意を払う必要がありそうだ。

　OpenerはMac OS Xの内蔵ファイアウォール機能を無効にし、マルウェアの作者がコンピュータをリモートから制御できるよう裏口を設け、ハードディスクに保存されているパスワードを全て見つけ出し、JohnTheRipperというパスワードを破るソフトウェアをダウンロードするとDucklinは説明している。
Macにはめずらしいシェルベースのマルウェア見つかる（CNET Japan）

関連記事

　隠蔽されているマルウェア・ウイルス・スパイウェアを発見する
　マルウェア（Malware）の定義（ウイルス・スパイウェア・アドウェア）

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

このブログは、Lucablog 2005-03-18 WindowsのRootkit（ルートキット）は最悪なマルウェア（http://d.hatena.ne.jp/LucaLuca/20050318）を修正・加筆し移転したものです。