¿Qué son los rootkits?
Los rootkits son kits de programas que trabajan en un segundo plano para poder robar, controlar y atacar la información de un sistema.
Usados por hackers, su nombre se atribuye a su característica de facilitar el acceso al directorio Raíz.
Mediante la composición de un conjunto de troyanos que se instalan en el sistema, los rootkits también proveen accesos ocultos a futuro.
Básicamente funcionan reemplazando los archivos del sistema por versiones “modificadas” (troyanos).
Clases principales de rootkits
Existen tres clases principales de rootkits:
- Kits binarios: sustituyen los archivos de un sistema por su “clon” troyano.
- Kits de Núcleo (kernel): el reemplazo se hace sobre los módulos (componentes del sistema).
- Kits de librerías: usan las .dll’s para almacenar a los troyanos.
Cómo funcionan y cómo detectarlos
La meta de los archivos modificados es mantener el comportamiento original, con la salvedad de la ocultación de la información que beneficia a quien está como intruso.
Los rootkits pueden interceptar consultas o llamadas del sistema, filtrando las consultas que genera el programa espía, como forma de ocultar o hacer difícil de detectar los cambios de configuración.
Una forma de detección es revisar los procesos en ejecución en la memoria del sistema, comprobando las comunicaciones salientes del ordenador o revisando las últimas instalaciones de software.
Su detección es difícil incluso para los antivirus; por eso los propios creadores de rootkits han creado herramientas para su detección.
