RootKit nedir?
Çalışan süreçleri, dosyaları veya sistem bilgilerini işletim sisteminden gizlemek suretiyle varlığını gizlice sürdüren bir program veya programlar grubudur. Amacı yayılmak değil bulunduğu sistemde varlığını gizlemektir. Önceleri çok kullanıcılı sistemlerde sıradan kullanıcıların yönetim programlarına ve sistem bilgilerine erişimini gizlemek için geliştirilmiş ve kullanılmış olmasına rağmen kötü niyetli kullanımına da rastlamak mümkündür.
Rootkit nasıl kurulur/bulaşır?
Tipine bağlı olmakla birlikte genelde erişim yetkiniz dahilinde sisteminize kurabileceğiniz rootkit’ler bulmanız mümkündür. Bunun dışında güvenilir bir kaynaktan geldiğine inandığınız bir programı haddinden fazla yetki ile çalıştırmak (Ör: root veya root yetkili bir wheel grubu üyesi) zararlı bir rootkit’in sisteme kurulmasına sebep olur. Aynı şekilde çok kullanıcılı bir sistemde kernel vs açıkları kullanılarak sistemde root yetkisi kazanıp rootkit kurulması en yaygın görülen bulaşma şeklidir. Belli php/kernel açıkları için tüm bu süreci otomatikleştiren zararlı rootkitler mevcuttur ve pek çok "sözde hosting" firması bunlardan nasibini almıştır (Meraklısı google ile bunları araştırabilir).
Rootkit nasıl temizlenir?
Rootkit çalışırken altında çalıştıracağınız her program rootkit’in yetenekleri doğrultusunda onun verdiği bilgiler ile sistemden aldığı bilgileri ayırd edemez. Dolayısıyla gerçekte hangi dosyaları değiştirdiği, kernele hangi modülü yüklediği, dosya sisteminin neresinde kayıtlı olduğu, hangi ağ servisi üzerinde "sniffer" şeklinde dinleme yaparak uygun komutla harekete geçeceğini tespit etmek kolay değildir. Dolayısıyla rootkit bulaşmış bir sistemin en güzel temizliği içinden hiçbir BINARY dosya alınmadan sadece verilerin alınarak tamamen baştan kurulmasıdır.
Rootkit nasıl tespit edilir?
Belli zamanlarda en temel komutların ve muhtemel rootkit bulaşma noktalarının "hash" değerlerinin saklanarak bunların daha sonra kontrol edilmesi gibi metodlar olmasına rağmen yukarıda belirttiğim gibi rootkit bulaşmış bir sistemin vereceği bilginin gerçekliği bulaşan rootkit’in yeteneğine bağlıdır. Yine de sistemi bir CD ile açarak bu kontrolleri yapan programlar olduğu gibi bu "hash" alma ve kontrol etme işlemi CD ile açıldıktan sonra elle de yapılabilir.
Rootkit’ten nasıl korunulur?
Linux ve türevleri için konuşursak kullanılan dağıtımın resmi paket dağıtım sistemi dışına çıkmamak pek çok sorunu çözecektir. Bu paket dağıtım sistemlerinin ele geçirilmesi veya zehirlenmesi ihtimali her zaman mevcut olacaktır ancak bir arkadaşınızdan aldığınız veya X internet sitesinden kurduğunuz bir betik/binary dosya ile kıyaslandığında veya ne olduğunu bilmediğiniz bir tar.gz dosyasını (veya uygulanacak bir patch’i) "Nasıl olsa kaynak koddan kuruyorum, virüs bulaşmaz" düşüncesiyle derleyip çalıştırmak sorunlarınıza sorun ekleyebilir. Genel kaide olarak dağıtımın resmi paket depoları ile kullanılacak programın resmi internet sitesinden alacağınız kaynak kodlar sizi bir derece koruyacaktır. Eğer diğer insanların erişimine açık bir sistem kullanıyorsanız güncellemeleri zamanında yapmak ve sık sık kontrol etmek de unutulmaması gereken bir işlemdir.
Rootkit’in zararı nedir?
Bilgisayarınız tamamen dışarıdan kontrol edilebilir hale gelecektir. Tipine bağlı olarak ayrı bir "firewall" bile size koruyamayabilir. (İçeriden dışarıya sanki bir web sitesi açar gibi karşı tarafa bağlanan rootkitler). Aynı bilgisayarda yüklü bir firewall ise muhtemelen rootkitin yeteneği ile ters orantılı olarak koruyabilir sizi.
--
Virüsten korunmak için yapılması gerekenler.
* Windows işletim sistemi güncelemelerini mutlaka yapınız.
* Bilgisayarda bulunan her kullanıcının şifresinin en az 8 karakter uzunluğunda olmasına ve içinde büyük harf, küçük harf, rakam ve özel karakterlerin bulunmasına özen gösteriniz.
* Kullanılmayan windows paylaşımlarının kesinlikle kapatılması gerekmektedir. Bunun yanında varsayılan yönetici paylaşımlaırnın da
HKLM\\System\\CurrentControlSet\\Services\\LanmanServer\\Parameters\\AutoShareWks (REG_DWORD) 0
verisi kayıt dosyasına işlenerek (registry) durdurulmalıdır.
* Windows paylaşımın kullanımının zorunlu olduğu durumlarda paylaşım parola korumalı olmalıdır. Paylaşımın parolasız olması durumunda bilgisayaraınız virüse karşı korumasızdır.
Spyware;
Casus yazılımların sistemlere bulaşma teknikleri kullanıcılar tarafından çok iyi bilinmelidir. Bilgi ve bilgisayar güvenliğini sağlamada en önemli tedbirlerin başında gelen, bilgisayar sisteminin, yama ve güncellemelerle sürekli güncel tutulması ve İnternet üzerinde bilinmeyen programların indirilip, çalıştırılmaması gibi önlemler casus yazılımlara karşı da korunma sağlayacaktır. Bunun dışında nasıl virüslere karşı virüs korunma yazılımları kullanılıyorsa; son zamanlarda gelişme gösteren casussavar yazılım (antispyware) ürünleri de bilgisayarların vazgeçilmez araçları olarak casus yazılımlara karşı sistemlere kurulup en güncel halleri ile kullanılmalıdır.
Kısa bir özet geçersek;Güvenlik programları ile en iyi şekilde bu sorunları halledebiliriz.Firewall,spyware,Anti-virüs..