CyberGlossary

Logiciels malveillants

Rootkit

Aussi appelé: Kit furtif, Malware niveau root

Définition

Logiciel malveillant furtif qui octroie et masque un accès privilégié au système d'exploitation ou au matériel, en échappant aux outils de détection courants.

Un rootkit est un ensemble d'outils ou de composants noyau/firmware conçus pour offrir à l'attaquant un accès privilégié persistant tout en dissimulant fichiers, processus, clés de registre et connexions aux défenseurs. Les rootkits opèrent à différents niveaux : mode utilisateur (hooking d'API), mode noyau (modification du kernel), bootkit (chargeur de démarrage) ou firmware (UEFI/BIOS). Ils sont généralement déposés après une compromission initiale pour maintenir une présence longue durée et entraver l'analyse forensique. Leur détection passe par l'analyse mémoire, la vérification d'intégrité, le Secure Boot, un EDR avec visibilité noyau et des scans hors ligne. Atténuations : UEFI Secure Boot, pilotes signés, attestation TPM et réduction des logiciels en mode noyau.

Exemples

  • TDL/TDSS, famille de rootkit noyau persistante sur Windows.
  • ZeroAccess, employé pour dissimuler fraude au clic et minage de Bitcoin.

Termes liés