Kök kullanıcı takımı
| Makale serilerinden |
Kök kullanıcı takımı ya da rootkit; çalışan süreçleri, dosyaları veya sistem bilgilerini işletim sisteminden gizlemek suretiyle varlığını gizlice sürdüren ve koruma halkasının en alt tabakasında yer alan program veya programlar grubudur.[1] Amacı yayılmak değil, bulunduğu sistemde varlığını gizlemektir. Önceleri çok kullanıcılı sistemlerde sıradan kullanıcıların yönetim programlarına ve sistem bilgilerine erişimini gizlemek için geliştirilmiş ve kullanılmış olmasına rağmen, kötü niyetli kullanımına da rastlamak mümkündür.
Güvenilir bir kaynaktan geldiğine inanılan bir programın üst düzey yetki ile (root gibi) çalıştırılması zararlı bir rootkit'in sisteme kurulmasına sebep olur. Zararlı bir yazılımın yönetici yetkileri verildikten sonra otomatik olarak rootkit'i sisteme kurabilir. Rootkit, kernel(çekirdek) modu seviyesinde çalıştığından dolayı işletim sistemi ile aynı yetkilere sahiptir.[2] Benzer şekilde, çok kullanıcılı bir sistemde kernel vs.açıkları kullanılarak sistemde root yetkisi kazanıp (privilege escalation) rootkit kurulması en yaygın görülen bulaşma şeklidir.
Rootkit'in gerçekte hangi dosyaları değiştirdiği, kernel'a hangi modülü yüklediği, dosya sisteminin neresinde kayıtlı olduğu, hangi ağ servisi üzerinde dinleme yaparak uygun komutla harekete geçeceğini tespit etmek güçtür. Yine de, belli zamanlarda en temel komutların ve muhtemel rootkit bulaşma noktalarının öz değerlerinin saklanarak bunların daha sonra kontrol edilmesi gibi metotlar kullanılabilir.
Rootkit, hedeflenen sistemde mutlak kontrol sahibi olmayı hedefler. Kendini gizlemekle kalmayıp en üst yetki ile reverse shell oluşturabilir, arka kapı (backdoor) yazılımları yükleyebilir, sistem içerisinde bulunan kritik verilere erişebilir (Tarayıcı şifreleri, kredi kartları, vb.). UEFI gibi sistemin kritik bileşenlerinde güvenlik açıkları var ise zararlı yazılım, UEFI firmware içerisinde gizlenebilir ve sistem tamamen sıfırlanırsa bile varlığını koruyabilir.[3] Anakart üreticisinden gelen resmi bir UEFI güncellemesi kurmak, bu tür rootkit yazılımlarından kurtulmanın yöntemlerinden birisidir.
Tarihçe
[değiştir | kaynağı değiştir]Rootkit terimi, ilk çıktığı zamanlar Unix ve Unix tabanlı işletim sistemleri için root erişimi sağlayan ve daha sonradan kötü niyetli olarak kullanılmaya başlanmış yönetim araçlarıydı. Tarihte oluşturulan ilk rootkit örneği, Lane Davis ve Sleven Dake tarafından 1990 başlarında Sun Microsystem adlı firmanın SunOs adlı UNIX işletim sistemi için yazılmıştır.[4]
Ayrıca bakınız
[değiştir | kaynağı değiştir]Kaynakça[3]
[değiştir | kaynağı değiştir]- ^ "Rootkits, Part 1 of 3: The Growing Threat" (PDF). McAfee. 17 Nisan 2006. 23 Ağustos 2006 tarihinde kaynağından arşivlendi (PDF). Erişim tarihi: 28 Ağustos 2020.
- ^ SANS Institute: What is a Rootkit? (PDF) (İngilizce). s. 2. 8 Aralık 2020 tarihinde kaynağından arşivlendi (PDF). Erişim tarihi: 12 Kasım 2024.
- ^ a b "İlk defa görülen UEFI Rootkit siber saldırısı | ESET". ESET.COM. 13 Mayıs 2021 tarihinde kaynağından arşivlendi. Erişim tarihi: 12 Kasım 2024.
- ^ Cid, Daniel; Hay, Andrew; Bray, Rory (9 Nisan 2008). OSSEC Host-Based Intrusion Detection Guide (İngilizce). Syngress. ISBN 978-0-08-055877-6. 13 Kasım 2024 tarihinde kaynağından arşivlendi. Erişim tarihi: 12 Kasım 2024.
