Rootkit

Rootkit 是一组工具或内核/固件组件,旨在让攻击者获得持久的高权限访问能力,同时将文件、进程、注册表项和网络连接对防御者隐藏。Rootkit 可工作在不同层级:用户态(API 钩子)、内核态(修改内核)、Bootkit(引导加载程序)或固件(UEFI/BIOS)。通常在初始入侵之后被植入,用于长期驻留并阻碍取证分析。检测需要内存取证、完整性校验、安全启动、具备内核可见性的 EDR 以及离线扫描。缓解措施包括启用 UEFI 安全启动、强制签名驱动、基于 TPM 的远程证明,以及尽量减少内核态软件。