Definition Rootkit Was ist ein Rootkit?

Als Rootkit wird eine Sammlung von Softwarewerkzeugen bezeichnet, die die Präsenz schädlicher oder unerwünschter Software auf einem Rechner verschleiert und verdächtige Aktivitäten versteckt. Sie greift tief in das Betriebssystem des betroffenen Rechners ein, verschafft Angreifern erweiterte Rechte und bietet Remote-Zugriffsmöglichkeiten. Es existieren zahlreiche verschiedene Arten von Rootkits.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

TXOne Networks

Rootkit ist die Bezeichnung für eine Sammlung von Softwaretools, mit der sich die Anwesenheit von unerwünschter Software auf einem Rechner verschleiern lässt. Die Werkzeuge verstecken verdächtige Prozesse und Aktivitäten. Rootkits gelangen über Sicherheitslücken oder andere Infektionswege auf einen Rechner und nisten sich tief im Betriebssystem ein. In der Regel werden Rootkits verwendet, um zu verhindern, dass Viren und andere Schadsoftware auf dem System entdeckt werden. Angreifer erhalten über Rootkits erweiterte Systemrechte und über Backdoors Zugriffsmöglichkeiten aus der Ferne.

Auch wenn Rootkits häufig für Cyberangriffe und andere bösartige Aktivitäten verwendet werden und in engem Zusammenhang mit Malware stehen, handelt es sich im engeren Sinn nicht um einen Virus. Die Softwarewerkzeuge sind nicht dafür ausgelegt, sich eigenständig zu replizieren oder dem System grundsätzlich Schaden zuzufügen. Einige kategorisieren Rootkits als eine Unterart eines Trojaners. Entstanden sind Rootkits in den 1990er-Jahren ursprünglich auf Rechnern mit Unix-ähnlichen Betriebssystemen. Heute sind Rootkits nicht mehr auf ein bestimmtes Betriebssystem beschränkt. Es existieren zahlreiche verschiedene Arten von Rootkits wie Kernel-Mode-Rootkits oder User-Mode-Rootkits für unterschiedliche Betriebssysteme.

Funktionen eines Rootkits

Damit ein Rootkit seine Funktionen ausführen kann, ist es Voraussetzung, die Softwaretools auf einem System zu installieren. Rootkits können über gleiche Wege wie Malware oder Viren auf einen Rechner gelangen. Typische Infektionswege sind Sicherheitslücken, das Ausspionieren von Passwörtern oder das Ausführen von Programmen beispielsweise in Mailanhängen. In einem ersten Schritt verschafft sich ein Rootkit erweiterte Rechte (Root-Rechte) auf dem betroffenen System. Mit diesen Rechten ist es in der Lage, sich tief in das Betriebssystem einzunisten und seine Existenz sowie die Aktivitäten anderer Software zu verstecken. Durch die Manipulation von Systemprozessen gelingt es Rootkits, fremde Prozesse vor dem Benutzer oder vor Programmen wie Virenscannern zu verbergen. Weitere Funktionen eines Rootkits sind das Einrichten von Hintertüren (Backdoors) und Remote-Zugriffsmöglichkeiten über Backdoors für externe Personen oder Programme. Auch diese Aktivitäten wie Logins bleiben verborgen. Über die eingerichteten Backdoors lässt sich unerwünschte Software wie Malware auf dem Rechner installieren. Angreifern ist es zudem möglich, Daten zu stehlen, die komplette Kontrolle über den Rechner zu übernehmen oder den Rechner zu einem Bot-Netz hinzuzufügen.

Die verschiedenen Arten von Rootkits

Je nach technischer Ausgestaltung existieren verschiedene Rootkit-Arten. Die beiden wichtigsten Arten sind die Kernel-Mode-Rootkits und die User-Mode-Rootkits. User-Mode-Rootkits nisten sich auf Benutzerebene im Administratorkonto eines Systems ein und werden bei jedem Start des Rechners mit gestartet. Wesentlich tiefer im System verankert sind Kernel-Mode-Rootkits. Sie arbeiten auf der Kernel-Ebene eines Betriebssystems. Im Gegensatz zum User-Mode-Rootkit haben sie volle Zugriffsrechte auf alle Hardware-Komponenten, können beliebige Veränderungen am System vornehmen und sind wesentlich schwerer wieder vom System zu entfernen. Weiterer Arten von Rootkits sind:

• Hybrid-Rootkits mit Eigenschaften von Kernel-Mode- und User-Mode-Rootkits

• Firmware-Rootkits, die sich in der Firmware eines Rechners (BIOS) oder in der Firmware von Hardwarekomponenten verstecken

• Application-Rootkits, eine sehr primitive Art eines Rootkits mit einzelnen modifizierten Systemprogrammen

• Speicher-Rootkits, die nur im Arbeitsspeicher (RAM) existieren und beim Neustart verschwinden

• Bootloader-Rootkits, die den Master Boot Record (MBR) befallen

(ID:47614375)