CyberGlossary

Malware

Rootkit

Também conhecido como: Kit furtivo, Malware de nível root

Definição

Malware furtivo que concede e oculta acesso privilegiado a um sistema operativo ou dispositivo, escapando às ferramentas de deteção comuns.

Um rootkit é um conjunto de ferramentas ou componentes de kernel/firmware concebidos para dar ao atacante acesso privilegiado persistente, ocultando ficheiros, processos, chaves de registo e ligações de rede aos defensores. Os rootkits operam em diferentes níveis: modo utilizador (hooking de API), modo kernel (modificação do núcleo), bootkit (gestor de arranque) ou firmware (UEFI/BIOS). Costumam ser instalados após o compromisso inicial para manter presença prolongada e dificultar a análise forense. A deteção exige análise forense de memória, verificação de integridade, Secure Boot, EDR com visibilidade de kernel e exames offline. Mitigações incluem UEFI Secure Boot, controladores assinados, atestação via TPM e redução do software em modo kernel.

Exemplos

  • TDL/TDSS, família de rootkit em modo kernel persistente no Windows.
  • ZeroAccess, utilizado para ocultar fraude de cliques e mineração de Bitcoin.

Termos relacionados