Nếu bạn từng là nạn nhân của một cuộc tấn công rootkit, bạn sẽ hiểu vì sao loại tấn công này được xem là một trong những mối đe dọa an ninh mạng nguy hiểm nhất hiện nay.
Rootkit là một dạng phần mềm độc hại được thiết kế để tồn tại âm thầm trên máy tính mà không bị phát hiện. Tội phạm mạng sử dụng rootkit để truy cập và điều khiển máy tính từ xa, bám sâu vào hệ thống giống như một con ve bám chặt vào vật chủ. Rootkit thường lây nhiễm thông qua email phishing, đánh lừa người dùng bằng những email trông có vẻ hợp pháp nhưng thực chất chứa mã độc. Trong một số trường hợp khác, rootkit có thể được phát tán thông qua các bộ công cụ khai thác lỗ hổng (exploit kits).
Bài viết này cung cấp cái nhìn tổng quan về các loại rootkit phổ biến và giải thích cách bạn có thể phòng ngừa chúng xâm nhập vào máy tính.
Rootkit là gì?
Rootkit là một loại phần mềm độc hại cung cấp quyền truy cập ở cấp độ cao nhất (root hoặc administrator) vào máy tính, đồng thời che giấu sự tồn tại và các hành động của nó. Tin tặc sử dụng rootkit để ẩn mình cho đến khi quyết định thực thi các hành vi tấn công nguy hiểm hơn.
Ngoài ra, rootkit có thể vô hiệu hóa phần mềm chống mã độc và antivirus, đồng thời gây hư hại nghiêm trọng cho các ứng dụng ở chế độ người dùng. Kẻ tấn công cũng có thể sử dụng rootkit để theo dõi hành vi người dùng, phát động các cuộc tấn công DDoS, leo thang đặc quyền và đánh cắp dữ liệu nhạy cảm.
Hậu quả có thể xảy ra của một cuộc tấn công rootkit
Ngày nay, các tác giả mã độc có thể dễ dàng mua rootkit trên dark web và sử dụng chúng trong các cuộc tấn công. Dưới đây là một số hậu quả phổ biến của tấn công rootkit:
Dữ liệu nhạy cảm bị đánh cắp: Rootkit cho phép tin tặc cài đặt thêm phần mềm độc hại để đánh cắp thông tin quan trọng như số thẻ tín dụng, số định danh cá nhân và mật khẩu người dùng mà không bị phát hiện.
Lây nhiễm mã độc: Kẻ tấn công sử dụng rootkit để cài đặt mã độc lên máy tính và hệ thống mà không bị phát hiện. Rootkit che giấu mã độc khỏi các phần mềm antivirus và anti-malware hiện có, thậm chí vô hiệu hóa chúng mà người dùng không hề hay biết. Khi các cơ chế bảo mật bị tắt, kẻ tấn công có thể dễ dàng thực thi các tệp độc hại trên hệ thống bị nhiễm.
Xóa tệp tin: Rootkit cung cấp quyền truy cập đầy đủ vào tất cả các tệp và lệnh của hệ điều hành. Kẻ tấn công có thể dễ dàng xóa các thư mục, khóa registry và tệp tin trên Linux hoặc Windows.
Nghe lén: Tội phạm mạng lợi dụng rootkit để khai thác các mạng không được bảo mật và chặn thu thông tin cá nhân cũng như các nội dung trao đổi như email hoặc tin nhắn trò chuyện.
Điều khiển từ xa: Tin tặc sử dụng rootkit để truy cập và thay đổi cấu hình hệ thống từ xa, bao gồm việc chỉnh sửa các cổng TCP mở trong tường lửa hoặc thay đổi các script khởi động hệ thống.
Các loại tấn công rootkit
Kẻ tấn công có thể cài đặt nhiều loại rootkit khác nhau trên hệ thống. Dưới đây là các loại rootkit phổ biến nhất.
Rootkit ứng dụng
Rootkit ứng dụng thay thế các tệp hợp pháp bằng các tệp đã bị nhiễm rootkit. Chúng thường lây nhiễm vào các chương trình phổ biến như Microsoft Office, Notepad hoặc Paint. Mỗi lần người dùng chạy các chương trình này, kẻ tấn công sẽ có quyền truy cập vào hệ thống. Do hoạt động ở tầng ứng dụng, loại rootkit này thường dễ bị phát hiện bởi phần mềm antivirus.
Rootkit bootloader
Bootloader chịu trách nhiệm tải hệ điều hành khi máy tính khởi động. Rootkit bootloader thay thế bootloader gốc bằng phiên bản bị nhiễm mã độc, khiến rootkit hoạt động ngay cả trước khi hệ điều hành được tải hoàn toàn.
Rootkit phần cứng và firmware
Loại rootkit này có thể xâm nhập vào BIOS, ổ cứng, router, chip nhớ hoặc card mạng của máy tính.
Rootkit kernel
Kẻ tấn công sử dụng rootkit kernel để thay đổi chức năng của hệ điều hành bằng cách chèn mã độc trực tiếp vào kernel. Điều này cho phép chúng dễ dàng đánh cắp thông tin cá nhân.
Rootkit ảo hóa
Rootkit ảo hóa khai thác các máy ảo để kiểm soát hệ điều hành. Loại rootkit này được phát triển vào năm 2006 như một minh chứng khái niệm bởi các nhà nghiên cứu bảo mật.
Chúng tạo ra một máy ảo trước khi hệ điều hành khởi động và sau đó chiếm quyền điều khiển toàn bộ máy tính. Do hoạt động ở tầng cao hơn hệ điều hành, rootkit ảo hóa gần như không thể bị phát hiện.
Một cuộc tấn công rootkit hoạt động như thế nào?
Để ngăn chặn rootkit gây gián đoạn cho tổ chức, trước tiên bạn cần hiểu cách thức tấn công của chúng. Một cuộc tấn công rootkit điển hình thường diễn ra theo các bước sau.
Truy cập ban đầu
Kẻ tấn công cần giành quyền truy cập ban đầu vào hệ thống mục tiêu thông qua:
- Email phishing chứa tệp đính kèm độc hại
- Tải xuống tự động từ các website bị xâm nhập
- Khai thác các lỗ hổng chưa được vá
- Kỹ thuật thao túng tâm lý để lừa người dùng cài đặt mã độc
Leo thang đặc quyền
Sau khi có quyền truy cập cơ bản, kẻ tấn công sẽ leo thang đặc quyền để đạt quyền quản trị hoặc root, cho phép chúng:
- Cài đặt các thành phần rootkit
- Chỉnh sửa tệp hệ thống
- Vượt qua các cơ chế bảo mật
Cài đặt rootkit
Với đặc quyền cao, kẻ tấn công cài đặt rootkit ở các cấp độ khác nhau:
- Rootkit user-mode: thao túng các tệp và API ở tầng ứng dụng
- Rootkit kernel-mode: chỉnh sửa trực tiếp kernel của hệ điều hành
- Bootkit: lây nhiễm master boot record hoặc bootloader
- Rootkit firmware: tấn công firmware như UEFI hoặc BIOS
- Rootkit thư viện: nhắm vào các thư viện dùng chung hoặc DLL
Cơ chế che giấu
Đặc điểm cốt lõi của rootkit là khả năng ẩn mình thông qua các kỹ thuật như:
- Can thiệp vào system call để chặn và thay đổi phản hồi
- Ẩn tệp tin, tiến trình, kết nối mạng và khóa registry
- Thao túng các công cụ giám sát hệ thống
- Tiêm mã vào các tiến trình hợp pháp
Thiết lập cơ chế tồn tại lâu dài
Rootkit tạo các cơ chế để tồn tại sau khi khởi động lại:
- Chỉnh sửa tệp khởi động hoặc registry
- Lây nhiễm boot sector
- Thay đổi dịch vụ hệ thống
- Ẩn các tác vụ lập lịch
Thực hiện hành vi độc hại
Sau khi được thiết lập, rootkit cho phép kẻ tấn công:
- Duy trì cửa hậu truy cập hệ thống
- Đánh cắp thông tin và thông tin xác thực
- Theo dõi hành vi người dùng
- Tham gia botnet hoặc phát động tấn công tiếp theo
Điều khiển và chỉ huy
Các rootkit tinh vi thiết lập kết nối với máy chủ điều khiển để:
- Nhận lệnh mới
- Cập nhật chức năng rootkit
- Tuồn dữ liệu bị đánh cắp ra ngoài
Cách phòng ngừa tấn công rootkit
Tấn công Rootkit rất nguy hiểm, nhưng chúng chỉ lây nhiễm khi người dùng vô tình thực thi phần mềm độc hại. Dưới đây là các biện pháp phòng ngừa cơ bản.
Quét hệ thống
Các trình quét rootkit được thiết kế để phát hiện và loại bỏ rootkit đang hoạt động. Chúng thường hiệu quả với rootkit ứng dụng nhưng kém hiệu quả với rootkit kernel, bootloader hoặc firmware.
Để phát hiện rootkit kernel, cần khởi động hệ thống ở chế độ an toàn. Do những hạn chế này, các chuyên gia khuyến nghị sử dụng nhiều công cụ quét khác nhau. Với rootkit ở cấp boot hoặc firmware, cách an toàn nhất là sao lưu dữ liệu và cài đặt lại toàn bộ hệ thống.
Tránh các cuộc tấn công phishing
Phishing là hình thức tấn công xã hội sử dụng email để lừa người dùng nhấp vào liên kết độc hại hoặc tải tệp nhiễm mã độc. Email giả mạo có thể là các thông báo ngân hàng, mạng xã hội hoặc tệp Word, Excel, chương trình thực thi hay thậm chí là hình ảnh bị nhiễm.
Cập nhật phần mềm thường xuyên
Nhiều phần mềm chứa lỗ hổng cho phép kẻ tấn công khai thác, đặc biệt là các phần mềm cũ. Việc cập nhật hệ điều hành và ứng dụng giúp vá lỗi bảo mật và ngăn chặn rootkit khai thác các lỗ hổng này.
Sử dụng antivirus thế hệ mới
Antivirus thế hệ mới sử dụng học máy và phân tích hành vi để phát hiện bất thường. Chúng có thể nhận diện rootkit dựa trên hành vi, chặn mã độc trước khi xâm nhập hệ thống.
Giám sát lưu lượng mạng
Giám sát lưu lượng mạng giúp phát hiện các gói dữ liệu bất thường và cô lập các phân đoạn mạng bị tấn công, hạn chế sự lây lan.
Phòng ngừa rootkit hiệu quả hơn xử lý hậu quả
Rootkit là một trong những loại mã độc khó phát hiện và loại bỏ nhất. Chúng thường được sử dụng để điều khiển máy tính từ xa, nghe lén hoặc phát động các cuộc tấn công botnet.
Do khó phát hiện, phòng ngừa luôn là biện pháp phòng thủ tốt nhất. Các biện pháp trong bài viết này nên được xem là nền tảng cho chiến lược bảo mật của bạn. Để đảm bảo an toàn lâu dài, cần liên tục cập nhật kiến thức vì các hình thức tấn công luôn thay đổi.
Unitas cam kết đồng hành cùng doanh nghiệp, cung cấp các giải pháp và phân tích an ninh mạng tiên tiến nhất. Để nhận được tư vấn chuyên sâu hoặc hỗ trợ nhanh chóng, vui lòng liên hệ với chúng tôi qua email: info@unitas.vn hoặc Hotline: (+84) 939 586 168.
