Une idée qui fait froid dans le dos il se peut qu’en ce moment votre ordinateur soit plein de virus et de malwares, et qu’il soit peut-être même relié à un botnet utilisé pour réaliser des cyberattaques et des fraudes au clic de grande envergure. Si c’est le cas, vous ne vous en apercevrez absolument pas. Car dans la plupart des cas, un rootkit va faire croire à l’utilisateur que tout est en ordre le rootkit fonctionne un peu comme une cape magique sous laquelle ont lieu de manière invisible toutes sortes d’activités criminelles. Mais si vous connaissez le risque des rootkits et leur manière de fonctionner, vous pourrez mieux vous protéger. Vous trouverez ci-dessous les principales choses à savoir sur les qu’un rootkit ? DéfinitionComment fonctionnent les rootkits ?Étape 1 contamination du systèmeÉtape 2 mode furtif StealthÉtape 3 mise en place d’une porte dérobée BackdoorQuelle est la différence entre des rootkits et les autres logiciels malveillants ?Quels types de rootkit existe-t-il ?Les rootkits en mode noyauLes rootkits en mode utilisateurAutres rootkitsÉvolution des rootkitsDes exemples de rootkits connusComment peut-on se protéger contre les rootkits ?Prévenir une contaminationIdentifier un rootkitÉliminer un rootkitPour conclure le risque subsisteQu’est-ce qu’un rootkit ? DéfinitionPar rootkit, on ne fait pas référence à un logiciel malveillant isolé. C’est tout un ensemble de programmes malveillants qui a réussi à entrer dans votre ordinateur en exploitant une faille de sécurité qui lui donne un accès à distance Remote access, permettant ainsi au rootkit d’être manipulé à distance également. Une des particularités du rootkit est de pouvoir se cacher soi-même, mais aussi de dissimuler d’autres programmes malveillants, et de les rendre indétectables par les programmes antivirus et autres solutions de sécurité, à tel point que l’utilisateur ignore leur fonction du niveau du système où le rootkit s’est installé, l’attaquant pourra s’arroger des droits d’administrateur importants dans ce cas on parle de rootkit en mode noyau et prendre ainsi un contrôle illimité de l’ordinateur. DéfinitionUn rootkit est un ensemble de plusieurs logiciels malveillants qui se sont introduits à plusieurs niveaux d’un ordinateur, qui masquent l’activité de virus et de malwares, facilitant l’accès et le contrôle du système pour la suite des premiers rootkits sont apparus au début des années 90 et ciblaient au départ essentiellement les systèmes d’exploitation sur une base Unix, comme par exemple les systèmes Linux. Ils étaient composés principalement de programmes modifiés, comme par exemple ps » une commande Unix permettant de lancer toute une série de processus et passwd » pour modifier le mot de passe de l’utilisateur. C’est de là que vient leur appellation Le mot Root » désigne chez Unix l’Administrateur, et le mot kit » signifie Équipement » ou Caisse à outils ». Le mot composé Rootkit désigne donc un ensemble d’utilitaires logiciels qui permettant à un hacker de s’arroger des droits d’administration sur un ordinateur en d’autres mots des rootkits en mode noyau.Entre temps sont apparus des rootkits susceptibles d’affecter tous les systèmes d’exploitation. Les rootkits affectent désormais les systèmes Windows comme tout autre système d’exploitation Certains rootkits réussissent à pénétrer jusque dans le noyau, c’est à dire le noyau interne, et donc à la racine » en anglais root » du système, où ils développent leur fonctionnent les rootkits ?Bien qu’il existe toute une variété de rootkits, ils ont généralement un mode de fonctionnement commun. La manière dont ils pénètrent dans le système suit elle-aussi le même mode 1 contamination du systèmeUne infection de rootkit est généralement précédée par une sorte de Social Engineering ingénierie sociale des cyber-criminels exploitent pour ce faire l’élément le plus faible du système de sécurité, à savoir le facteur humain. En influençant ou en trompant sciemment leurs victimes, les hackers réussissent souvent à leur extirper les données d’accès et les mots de passe. Munis de ces données, ils se connectent à l’ordinateur et y installent le peut aussi être contaminé par un rootkit d’autres manières, par exemple par un Drive-by-Downloads téléchargement à la volée sur un site internet infecté, en téléchargeant un logiciel d’une source non vérifiée ou en cliquant sur un lien ou sur une pièce jointe dans un email de autre méthode consiste pour un cybercriminel à laisser traîner dans un lieu stratégique une clef USB contenant un rootkit. Quelqu’un trouve cette clé et l’emporte avec lui à la maison, curieux de voir ce qu’elle contient. Une fois que la clé est branchée sur son ordinateur, la contamination a lieu. C’est ainsi que se font les attaques de type Evil Maid Attacks » où le hacker installe de lui-même le rootkit sur un ordinateur laissé sans surveillance. Cette méthode doit son nom au scénario qui consisterait à demander à une femme de chambre dans un hôtel de contaminer les ordinateurs portables de plusieurs clients d’un 2 mode furtif StealthUne fois introduit dans le système, le rootkit cache son existence. Pour ce faire, il commence à manipuler tous les processus, en intervertissant les données des programmes et des fonctions systèmes. De cette manière, un programme antivirus qui fera un scan obtiendra des informations faussées, dans lesquelles auront été supprimées toutes les mentions indiquant la présence du rootkit. C’est la raison pour laquelle il est parfois impossible, même pour les plus grands antivirus, de détecter ces programmes malveillants au moyen de leur signature ou de leur comportement heuristique.Étape 3 mise en place d’une porte dérobée BackdoorPour continuer, le rootkit se fabrique une Backdoor », une porte dérobée dans le système, que le hacker peut utiliser au moyen d’un mot de passe espionné ou d’une coquille pour pouvoir accéder à distance à l’ordinateur. Le travail du rootkit consiste à dissimuler toutes les connexions et toutes les activités hacker a ainsi la possibilité d’installer d’autres logiciels, comme par exemple des Keylogger enregistreurs de frappe, d’espionner ce que vous tapez au clavier avec des Spyware, de vous dérober des données ou en fonction du niveau et des droits de modifier les paramètres de votre système. Assez souvent, les ordinateurs contaminés par un rootkit sont reliés à des botnets pour être utilisés à des fins de phishing ou d’attaques DDoS déni de service.Quelle est la différence entre des rootkits et les autres logiciels malveillants ?Pour des raisons évidentes, on appelle aussi les rootkits des virus furtifs, bien qu’ils ne soient officiellement pas classés dans la catégorie des virus. Mais qu’est-ce qui différencie précisément les rootkits des autres programmes malveillants ?Les virus un virus se fixe sur un fichier exécutable ou sur un programme généralement sur un fichier ayant l’extension .exe. Il est certes capable de se répliquer lui-même, mais il ne peut pas se propager tout seul. Pour ce faire, il a besoin de l’assistance d’une personne ou d’un autre vers les vers constituent une sous-catégorie des virus capables de s’auto-reproduire en utilisant les fonctions de transferts de données au sein d’un chevaux de Troie ce ne sont pas des virus, mais des malwares, c’est à dire des logiciels malveillants qui se font passer pour des applications utiles. Les hackers utilisent les chevaux de Troie pour ouvrir des portes dérobées dans le rootkits le rootkit est aussi décrit comme une sous-catégorie des chevaux de Troie. Plusieurs chevaux de Troie ont les mêmes caractéristiques que les rootkits. La principale différence, c’est que les rootkits se cachent de manière délibérée dans le système et qu’ils aident le hacker à s’attribuer des droits d’ types de rootkit existe-t-il ?Les rootkits se distinguent avant tout par la méthode qu’ils emploient pour camoufler les processus des malwares et les activités des hackers. Le plus souvent, ce sont des rootkits en mode noyau ou en mode utilisateur. Ces boîtes à outils particulièrement dangereuses sont constamment développées par les cybercriminels, et il est de plus en plus difficile de se protéger contre leur rootkits en mode noyauQuand on parle de rootkits, on fait généralement allusion à ce type de rootkit. Les rootkits en mode noyau se glissent dans le noyau du système d’exploitation. Cette zone, aussi appelée anneau 0 » est la zone où vous disposez des droits d’accès les plus privilégiés, et qui vous permet d’accéder à toutes les composantes du matériel, mais aussi de modifier les paramètres du système. Concrètement si un hacker réussit à y placer un rootkit, il est en mesure de prendre le contrôle de l'ensemble du tels rootkits remplacent des parties du noyau par leur propre code. Dans le cas des systèmes d’exploitation basés sur Unix, cela se fait généralement au moyen de modules du noyau qui sont téléchargés ultérieurement, d’où l’expression Rootkits LKM » abréviation de loadable kernel modules. Dans les systèmes Windows, le noyau est généralement manipulé directement, en y introduisant de nouveaux pilotes-système. Quelle que soit la procédure le rootkit en mode noyau peut exploiter sa position privilégiée pour transmettre de fausses informations au programme antivirus de l’ordinateur. Les rootkits de ce type sont donc difficiles à déceler et à éliminer. En raison de leur complexité, ils sont aussi assez rares. ConseilVu leur complexité, les rootkits en mode noyau sont très exposés aux erreurs de programmation, qui peuvent parfois rendre très instable un système qui a été contaminé. Dans ce cas, l’utilisateur finira par remarquer que des logiciels malveillants sont installés sur son ordinateur, notamment à cause des nombreux écrans bleus » et des plantages du rootkits en mode utilisateurÀ la différence des rootkits en mode noyau, cet autre type de rootkit s’implante au niveau de l’utilisateur de l’ordinateur, là où se trouvent tous les programmes à exécuter. Ce domaine constituant le niveau le plus bas du CPU anneau 3, les rootkits en mode utilisateur ne peuvent assigner qu’un accès restreint à l’attaquant. Leur structure est cependant moins complexe et on les rencontre plus souvent que les rootkits en mode noyau, en particulier dans les environnements rootkits en mode utilisateur se camouflent en détectant l’échange de données entre le système d’exploitation et les programmes de sécurité et antivirus installés sur l’ordinateur. Pour ce faire, ils utilisent les méthodes DLL-Injection et le API hooking une bibliothèque logicielle propre Dynamic Link Library, abrégé en DLL se glisse dans l’échange de données et détourne les fonctions de certaines interfaces logicielles Application Programming Interfaces, abrégé en API en direction du rootkit. Il parvient ainsi à effacer ses propres traces dans les listes de processus, comme celles du gestionnaire de tâches rootkitsEn plus de ces deux types de rootkits, il en existe d’autres, mais qui présentent des dangers moindres Les rootkits application il s’agit de la forme primitive et initiale des rootkits. Ils remplacent des programmes systèmes par leurs propres programmes modifiés, et sont donc facilement détectables. C’est la raison pour laquelle les hackers ne les utilisent quasiment rootkits mémoire de tels rootkits n’existent que dans la mémoire RAM, et disparaissent donc du système à chaque des rootkitsÀ l’image de la plupart des logiciels malveillants, les rootkits font l’objet d’un développement permanent. C’est ainsi que sont apparus par exemple les Bootkits », une espèce de rootkit en mode noyau dont la spécialité est de remplacer le chargeur d’amorçage d’un ordinateur pour désactiver les mécanismes de sécurité du système d’exploitation. Les téléphones portables surtout ceux qui sont sous Android sont aussi de plus en plus infectés, la plupart du temps lors d’un téléchargement d’une application non certifiée. On parle dans ce cas de rootkit mobile ».En 2006, des chercheurs de l’Université du Michigan a fait parler de lui, en faisant part de leur projet intitulé Projet SubVirt un rootkit implanté sur une machine virtuelle, d’où le nom VMBRVirtual Machine Based Rootkit. On utilise habituellement ce type de machines pour pouvoir implanter plusieurs systèmes d’exploitation par exemple Linux et Windows sur un seul et même ordinateur. À l’aide de cette technologie, le VMBR devait être capable d’implanter un système d’exploitation dans un environnement virtuel, et ensuite d’agir de manière complètement dissimulée. Un an plus tard, des chercheurs de l’Université de Stanford déclaraient être en mesure de détecter les VMBR sans la moindre il ne semble pas qu’on ait eu d’innovations majeures en termes de rootkits, ce qui ne veut cependant pas dire que les risques aient reculé. À titre d’exemple, l’Exploit-Kit RIG a donné naissance en 2018 à un nouveau rootkit baptisé CEIDPageLock. Celui-ci s’introduit dans les systèmes d’exploitation Windows via certains pilotes et prend le contrôle de l’ordinateur au moyen de votre navigateur Internet. Il redirige ensuite l’utilisateur vers des sites falsifiés où sont pratiquées toutes sortes d’extorsions de données à des fins criminelles. Actuellement, ce sont principalement des ordinateurs en Chine qui sont affectés données d’août 2018. Les experts pensent cependant que ce logiciel malveillant va se propager au-delà de ces frontières. RemarqueExploit-Kits du mot anglais exploiter » contient un ensemble d’outils qui ciblent des failles de sécurité dans des applications très souvent utilisées, comme Adobe Flash, Java et Microsoft Silverlight. Avec ses 27 000 infections par jour, RIG est à l’heure actuelle l’Exploit-Kit le plus exemples de rootkits connusOn a identifié des rootkits pour les différents systèmes d’exploitation. Ci-dessous, vous avez deux exemples de rootkits qui affectent les environnements Windows TDSS aka Alureon découvert en 2007 est classé comme cheval de Troie, ce qui en dit long sur la proximité entre ces deux types d’applications malveillantes. Le rootkit manipule le registre de Windows, et désactive par exemple le gestionnaire de tâches, la fonction de mise à jour, voire les programmes antivirus qui sont installés, et met ensuite en place un découvert en 2011 un autre cheval de Troie avec des attributs de rootkit. Celui-ci infecte le Master Boot Record MBR zone d’amorce ainsi qu’un pilote système au hasard, et désactive dans la foulée le Centre de sécurité de Windows, le Windows Defender et le pare-feu. Une fois que ceci est fait, l’ordinateur est intégré dans un botnet, utilisé pour du Bitcoin-Mining et de la fraude au rootkits ne servent cependant pas toujours à des activités criminelles aussi poussées. Certains émulateurs de CD emploient cette technique pour contourner les protections des titres. Quant à savoir si c’est légal ou répréhensible, tout dépendra de l’utilisation qui en est faite et du volume de fichiers lus de cette n’y a d’ailleurs pas que les consommateurs qui flirtent avec la légalité des droits d’auteurs au moyen de rootkits En octobre 2015, le groupe japonais Sony a déclenché un scandale de grande envergure, lorsqu’il a été constaté que la protection XCP Extended Copy Protection de plusieurs CD de musique du fournisseur avait été camouflée par un rootkit. Le groupe voulait ainsi empêcher la reproduction illégale de ses CD. Le logiciel malveillant en profitait pour fournir à Sony des informations sur les goûts musicaux de ses clients, enfreignant ainsi le Règlement général sur la protection des données. Les critiques à l’égard de Sony furent particulièrement sévères parce que les rootkits dissimulaient leur présence aux programmes antivirus, ouvrant ainsi les portes aux hackers qui en profitaient à leur entière cas similaires, par exemple celui de la société Kinowelt en 2006 ont fait dire aux experts informatiques qu’il n’y aurait pas seulement les hackers qui utiliseraient les rootkits à l’avenir,mais aussi de grands peut-on se protéger contre les rootkits ?Comme le camouflage est la spécialité d'un rootkit, il est généralement difficile, voire impossible de le détecter et de le supprimer. Il existe cependant quelques mesures pour améliorer votre protection Prévenir une contaminationLes mesures à prendre pour éviter les rootkits sont les mêmes que pour tous les autres programmes malveillants Installez un logiciel de sécurité sur votre bien votre système avec des mises à jour un sens critique pour toutes les formes d’arnaque sur Internet, comme par exemple le des mots de passe existe encore quelques conseils plus spécifiques pour se prémunir contre les infections de rootkits Conseils pour les débutants en informatique utilisez le moins possible votre compte-administrateur, et surtout pas lorsque vous êtes sur internet. Le compte-administrateur est nettement moins protégé que le compte-utilisateur ordinaire. Le compte-utilisateur d’origine ayant des droits restreints, vous limiterez les dégâts en cas d’infection par un conseils pour les pros pour éviter qu’un rootkit ne contamine votre BIOS, et qu’il soit quasiment impossible à supprimer, il est envisageable d’ajouter une protection physique bloquant l’accès en écriture à votre BIOS. Il s’agit d’un cavalier que l’on insère dans la platine un rootkitLa plupart des programmes antivirus recherchent les rootkits connus au moyen de leurs signatures et cherchent à en identifier de nouveaux en analysant les comportements spéciaux, comme la suppression de fichiers. Le problème Sauf si vous êtes face à un rootkit de mode noyau mal programmé, engendrant des écrans bleus à répétition, et qui attire votre attention, la plupart des rootkits ne laisse absolument rien filtrer de leur présence dans votre les rootkits font l’objet d’une programmation toujours plus sophistiquée, il devient de plus en plus difficile de les dénicher. On dispose cependant d’outils techniques, spécialement conçus pour s’attaquer aux rootkits les scans à rootkit. Cette fonction est intégrée dans plusieurs solutions de sécurité, mais elle existe aussi en tant que programme dédié à cette fonction. On trouve entre autres Sophos Anti Rootkit ainsi que le Rootkit Remover de Bitdefender, deux outils disponibles tel scan à rootkit peut aussi être effectué à partir d’un CD d’amorçage. Un tel CD va démarrer votre ordinateur sans prêter attention au système d’exploitation installé. Le rootkit restera donc inactif, ce qui permettra peut-être à un antivirus du CD de le un rootkitIl n’existe malheureusement pas de solution fiable à 100 % pour éliminer un rootkit de votre ordinateur. Même les antivirus professionnels comme AntiVir, Kaspersky et Microsoft laissent passer plusieurs rootkits si l’on veut croire de nombreux rapports de test. Selon certains magazines spécialisés, il est préférable de combiner l'utilisation de trois de ces même cette méthode n’est pas efficace à tous les coups face à des rootkits qui sont profondément cachés dans le BIOS. Il ne vous reste souvent qu’une seule solution formater complètement le disque dur et réinstaller le système d’exploitation pour enfin éradiquer cet outil malveillant et conclure le risque subsisteLes rootkits représentent une menace difficile à contrer, et peuvent ouvrir la porte à des criminels qui prendront le contrôle de votre ordinateur. Prendre conscience de ce risque, c’est faire un premier pas vers plus de sécurité. La principale mesure de sécurité consiste comme souvent à empêcher l’infiltration du système, car les rootkits sont difficiles à déceler, et encore plus difficiles à éradiquer. Le remède est encore souvent de tout du congrès Black Hat » en janvier 2006, il a même été fait état de rootkits qui ont pu survivre au formatage d’un disque dur – après avoir manipulé le ACPI Advanced Configuration and Power Interface qui gère l’alimentation électrique d'un ordinateur, ou en s’étant logé dans le BIOS de la machine. Aussi longtemps qu’une solution fiable permettant de régler ces problèmes n’aura été trouvée, les rootkits resteront des outils dangereux et ultra-complexes entre les mains des cyber-criminels.