CyberGlossary

Malware

Rootkit

También conocido como: Kit sigiloso, Malware de nivel root

Definición

Malware sigiloso que concede y oculta un acceso privilegiado al sistema operativo o dispositivo, evadiendo la detección de las herramientas habituales.

Un rootkit es un conjunto de herramientas o componentes de kernel/firmware diseñados para dar al atacante un acceso persistente de alto privilegio y ocultar archivos, procesos, claves de registro y conexiones de red a los defensores. Funcionan en distintos niveles: modo usuario (hooking de API), modo kernel (modificación del núcleo), bootkit (cargador de arranque) o firmware (UEFI/BIOS). Se suelen desplegar tras un compromiso inicial para mantener presencia a largo plazo y dificultar el análisis forense. Su detección requiere análisis forense de memoria, verificación de integridad, arranque seguro, EDR con visibilidad de kernel y escaneos offline. Mitigaciones: UEFI Secure Boot, controladores firmados, atestación basada en TPM y reducir el software en modo kernel.

Ejemplos

  • TDL/TDSS, familia de rootkit en modo kernel de larga duración para Windows.
  • ZeroAccess, usado para ocultar fraude de clics y minería de Bitcoin.

Términos relacionados