Rootkit sur PC : voici comment vous protéger

Détecter le rootkit et s'en protéger

Une grande partie des logiciels malveillants utilisés par les criminels du monde entier ne sont pas détectés par leurs victimes. Cela est également dû à des logiciels malveillants tels que le rootkit. Nous vous montrerons de manière simple ce qu'est un rootkit, ses types et comment vous pouvez protéger votre ordinateur contre eux avec les bons outils.

Qu'est-ce qu'un rootkit ?

Un rootkit est un malware caché très profondément dans le système d'exploitation. En raison de leur programmation, les rootkits ne peuvent donc généralement être détectés et supprimés qu'avec le logiciel antivirus approprié.

La fonction centrale des rootkits est de permettre à des tiers d'accéder à un ordinateur étranger. Vous pouvez le contrôler à distance, le manipuler ou voler des données. Les attaques par rootkit sont également utilisées, par exemple, pour installer un logiciel avec lequel les attaquants peuvent contrôler un botnet à distance.

Un rootkit se compose généralement d'un ensemble de logiciels malveillants. Un rootkit peut contenir des keyloggers, des bots ou des ransomwares.

Info : D'où vient le nom "rootkit" ?

Le terme « rootkit » est composé des mots « root » (allemand = root = répertoire le plus élevé d'un système de fichiers; utilisateur avec tous les droits d'administrateur) et « kit » (allemand = set). Le rootkit est une collection totalement neutre d'applications logicielles pouvant utiliser les droits d'administrateur. Mais lorsque ces droits sont utilisés pour recharger un malware, le rootkit lui-même devient un malware.

Rootkit : il existe ces types

Les rootkits sont généralement classés en fonction de la profondeur à laquelle ils agissent dans le système de fichiers de l'ordinateur concerné.

Les rootkits en mode utilisateur	Le principal affecté par ces rootkits est le compte administrateur sur votre ordinateur. Le malware a tous les avantages d'un accès administrateur aux fichiers ou programmes et peut, par exemple, modifier les paramètres de sécurité. La difficulté à propos de ces rootkits : ils sont automatiquement lancés à chaque redémarrage de l'ordinateur.
Rootkits de modèle de noyau	Ces rootkits fonctionnent directement au niveau du système d'exploitation et ont ainsi la possibilité de manipuler tous les domaines du système d'exploitation. Même les analyses antivirus peuvent produire des résultats incorrects si elles sont infectées par une recrue en mode noyau. Cependant, les rootkits du noyau doivent surmonter de nombreux obstacles avant de pouvoir rester bloqués dans le noyau. Ils sont généralement remarqués à l'avance, par exemple parce que l'ordinateur continue de planter.
Les rootkits du micrologiciel	Ces rootkits peuvent implanter le firmware des systèmes informatiques. Une fois supprimés, ils sont automatiquement réinstallés à chaque redémarrage. Cela rend les rootkits de firmware particulièrement persistants et rend difficile leur suppression.
Kits de démarrage	Ces rootkits restent bloqués dans le secteur de démarrage. Lorsque vous démarrez votre PC, le système utilise le master boot record. Vous y trouverez également le kit de démarrage, qui est chargé à chaque démarrage. Les utilisateurs de systèmes d'exploitation Windows plus récents tels que 8 ou 10 bénéficient d'une protection importante.Ces versions ont déjà des systèmes de sécurité qui empêchent le démarrage des kits de démarrage lorsque l'ordinateur est allumé.
Les rootkits virtuels	Ces rootkits s'installent sur une machine virtuelle et peuvent accéder à un ordinateur infecté en dehors du système d'exploitation réel. Cela les rend difficiles à détecter pour les logiciels de protection antivirus.
Les rootkits hybrides	Ces rootkits divisent le logiciel et en installent des parties dans le noyau et d'autres au niveau de l'utilisateur. Ces rootkits sont avantageux pour les criminels car ils s'exécutent de manière très stable au niveau de l'utilisateur et agissent en même temps dans le noyau, c'est-à-dire camouflés.

Afin de se protéger contre ces menaces insidieuses, les antivirus doivent, entre autres, avoir des définitions de virus à jour.

Comment un rootkit accède-t-il à l'ordinateur ?

Les rootkits ont toujours besoin d'un "véhicule" avec lequel ils peuvent s'implanter sur un ordinateur. En règle générale, un rootkit est donc toujours composé de trois composants, le rootkit lui-même, le dropper et le loader. Le compte-gouttes est comparable à un virus informatique qui infecte votre ordinateur. Car le compte-gouttes recherche une faille de sécurité afin de sauvegarder le rootkit sur l'appareil souhaité. Ensuite, le chargeur est utilisé. Il installe le rootkit sur l'ordinateur infecté, par exemple dans le noyau ou au niveau de l'utilisateur s'il s'agit d'un rootkit en mode utilisateur.

Les rootkits utilisent les supports suivants pour déposer :

Messager	Par exemple, si vous recevez un lien ou un fichier malveillant via un messager et que vous ouvrez le lien ou le fichier, le compte-gouttes peut placer le rootkit sur votre appareil.
Logiciels et applications piratés :	Les rootkits peuvent être « introduits » dans des logiciels ou des applications de confiance par des pirates. Les fichiers sont diffusés sur Internet sous forme d'offres gratuites, par exemple. Dès que vous aurez installé ces programmes, vous téléchargerez également le rootkit sur votre ordinateur.
Fichiers PDF ou Office :	Les rootkits peuvent se cacher dans des fichiers Office ou des PDF, que ce soit sous forme de pièce jointe ou de téléchargement. Dès que vous ouvrez le fichier, le compte-gouttes insère le fichier dans votre ordinateur et le chargeur commence à s'installer en arrière-plan.

Comment reconnaître un rootkit sur mon ordinateur (scanner de rootkit) ?

Afin de détecter de manière fiable les rootkits, puis de les supprimer, un scanner de rootkits est requis, qui est inclus dans l'analyse antivirus des puissants programmes antivirus. Par exemple, ces analyses peuvent reconnaître les signatures de rootkits courantes. Avec ces signatures, les chiffres du code sont disposés sous une certaine forme. Mais il y a aussi des signes sur votre ordinateur qui peuvent indiquer une éventuelle infection par un rootkit.

Comportement inhabituel de votre ordinateur : Les rootkits se caractérisent par leur discrétion. Cependant, il peut arriver que votre ordinateur se comporte différemment que d'habitude, par exemple en ouvrant involontairement des programmes ou en démarrant des processus que vous n'avez pas démarrés.
Vos paramètres système changent sans aucune action de votre part : Si vous découvrez, par exemple, que votre ordinateur autorise généralement l'accès à distance ou ouvre des ports, un rootkit peut en être la cause.
Analyse du dump mémoire : Lorsqu'un ordinateur tombe en panne, Windows crée une image de mémoire système. Les experts peuvent utiliser ce fichier pour identifier les modèles inhabituels créés par un rootkit.
Votre connexion internet est toujours instable : Les rootkits peuvent, par exemple, garantir des flux de données importants à travers lesquels les pirates peuvent accéder aux données. Ces mouvements de données peuvent rendre votre ligne Internet très lente ou même la faire planter.

Comment puis-je me protéger d'un rootkit ?

La protection la plus importante contre les rootkits est l'utilisation d'un programme de protection antivirus à jour. Équipée des dernières définitions de virus, la protection en temps réel peut vous avertir des téléchargements et installations dangereux et utiliser un scanner de virus pour vérifier régulièrement la présence de rootkits sur votre ordinateur.

De plus, les mesures suivantes sont recommandées :

N'utilisez qu'un seul compte utilisateur dans la vie de tous les jours et non un accès administrateur : Si vous vous connectez à Windows ou iOS avec un compte invité, vous n'avez que des droits limités. Si vous infectez votre ordinateur avec un rootkit pendant cette période, le dropper ne peut accéder qu'à ce niveau d'utilisateur et par exemple pas directement au noyau.
Mettez régulièrement à jour votre système d'exploitation et vos logiciels : Les fabricants comblent les failles de sécurité connues avec des mises à jour régulières. Il est donc impératif que vous effectuiez toutes les mises à jour nécessaires.
Téléchargez des fichiers sur Internet uniquement à partir de sites Web réputés : Évitez les téléchargements potentiellement dangereux, minimisez le risque de devenir victime d'un rootkit.
N'ouvrez que les pièces jointes des e-mails d'expéditeurs de confiance : si vous recevez des e-mails d'expéditeurs avec des adresses e-mail cryptées, il est préférable de les supprimer. Si une pièce jointe provenant d'une adresse familière vous semble étrange, il est préférable de vérifier à nouveau auprès de l'expéditeur avant d'ouvrir la pièce jointe.
Installez des applications pour smartphone uniquement à partir des magasins d'applications officiels : Si vous obtenez des applications de sources officielles, elles sont déjà soumises à un contrôle de sécurité. Cela réduira le risque de charger un rootkit sur votre smartphone.

Supprimer le rootkit - comment procéder

Vous devez toujours supprimer les rootkits avec un logiciel anti-virus spécial. Étant donné que ce malware peut se loger profondément dans le système d'exploitation de votre ordinateur, sa suppression manuelle est généralement très difficile. Si vous oubliez de petits restes du rootkit lorsque vous le supprimez, il se réinstallera généralement au redémarrage.

La meilleure façon de supprimer les rootkits est d'utiliser un programme antivirus à jour doté des définitions de virus les plus récentes. Une analyse antivirus en mode sans échec est alors recommandée afin que le rootkit ne puisse pas, par exemple, recharger des données depuis Internet. Il est souvent nécessaire d'exécuter plusieurs fois l'analyse antivirus ou malveillante pour éliminer complètement un rootkit.

Cet article vous fournira des instructions détaillées sur la façon de rechercher et de supprimer des rootkits.

Rootkits connus

Les rootkits sont des menaces Internet très anciennes. L'un des premiers rootkits connus est un malware qui a principalement attaqué les systèmes d'exploitation Unix en 1990. Le premier rootkit connu pour les ordinateurs Windows était le rootkit NTR, qui était en circulation en 1999. Il s'agit d'un rootkit du noyau.

Entre 2003 et 2005, il y a eu plusieurs attaques majeures avec des rootkits, y compris une attaque contre des téléphones portables qui ont été activés dans le réseau Vodafone Grèce. Ce rootkit est devenu connu sous le nom de « Greek Watergate » parce que, entre autres, le Premier ministre grec a été touché.

En 2008, le kit de démarrage TDL-1 a fait rage. Les cybercriminels l'ont utilisé pour créer un grand botnet à l'aide d'un cheval de Troie.

Un rootkit a été découvert pour la première fois en 2009 qui infecte également les systèmes d'exploitation Apple. Il a été baptisé "Machiavel".

En 2010, le ver Stuxnet a fait rage. Entre autres choses, il a utilisé un rootkit qui était censé espionner le programme nucléaire iranien. Les services secrets israéliens et américano-américains sont soupçonnés d'être des développeurs et des attaquants.

Avec LoJax, un rootkit a été découvert en 2022-2023 qui infecte pour la première fois le firmware de la carte mère d'un ordinateur. Cela permet au malware de se réactiver lorsque le système d'exploitation est réinstallé.

Conclusion : Difficile à détecter, mais avec un logiciel antivirus à jour et de la prudence, le risque peut être réduit

Étant donné que les rootkits sont profondément intégrés dans le système d'exploitation d'un ordinateur, la prévention est particulièrement importante. Une fois qu'un rootkit a été installé, il est difficile pour les profanes de détecter une infection. Cependant, quiconque est prudent sur Internet avec un système de protection antivirus à jour et les outils appropriés et qui n'ouvre pas négligemment des fichiers inconnus réduit le risque d'être victime d'un rootkit.