Rootkit digunakan oleh peretas untuk menyembunyikan malware yang persisten dan tampaknya tidak terdeteksi di dalam perangkat Anda yang secara diam-diam akan mencuri data atau sumber daya, terkadang selama beberapa tahun. Mereka juga dapat digunakan dalam mode keylogger di mana penekanan tombol dan komunikasi Anda diawasi dengan memberikan informasi privasi kepada penonton.  

Metode peretasan khusus ini terlihat lebih relevan sebelum tahun 2006, sebelum Microsoft Vista mengharuskan vendor untuk menandatangani semua driver komputer secara digital. Perlindungan Patch Kernel^{(Kernel Patch Protection)} ( KPP ) menyebabkan pembuat malware mengubah metode serangan mereka dan baru-baru ini pada tahun 2018 dengan operasi penipuan iklan Zacinlo^{(Zacinlo ad fraud operation)} , rootkit kembali menjadi sorotan.

Rootkit sebelum tahun 2006 semuanya berbasis sistem operasi khusus. Situasi Zacinlo , rootkit dari keluarga malware Detrahere^{(Detrahere malware)} , memberi kami sesuatu yang lebih berbahaya dalam bentuk rootkit berbasis firmware. Terlepas dari^(Regardless) itu, rootkit hanya sekitar satu persen dari semua keluaran malware yang terlihat setiap tahun. 

Meski begitu, karena bahaya yang dapat mereka timbulkan, akan lebih bijaksana untuk memahami cara mendeteksi rootkit yang mungkin telah menyusup ke sistem Anda bekerja.

Mendeteksi Rootkit di Windows 10 ( In-Depth )

Zacinlo sebenarnya telah bermain selama hampir enam tahun sebelum ditemukan menargetkan platform Windows 10 . Komponen rootkit sangat dapat dikonfigurasi dan melindungi dirinya dari proses yang dianggap berbahaya bagi fungsinya dan mampu mencegat dan mendekripsi komunikasi SSL .

Itu akan mengenkripsi dan menyimpan semua data konfigurasinya di dalam Windows Registry dan, ketika Windows dimatikan, menulis ulang dirinya sendiri dari memori ke disk menggunakan nama yang berbeda, dan memperbarui kunci registrinya. Ini membantunya menghindari deteksi oleh perangkat lunak antivirus standar Anda.

Ini menunjukkan bahwa perangkat lunak antivirus atau antimalware standar tidak cukup untuk mendeteksi rootkit. Meskipun, ada beberapa program antimalware tingkat atas yang akan mengingatkan Anda akan kecurigaan serangan rootkit. 

5 Atribut Utama Perangkat Lunak Antivirus yang Bagus^{(The 5 Key Attributes Of a Good Antivirus Software)}

Sebagian besar program antivirus terkemuka saat ini akan melakukan kelima metode penting ini untuk mendeteksi rootkit.

• Analisis Berbasis Tanda Tangan^{(Signature-based Analysis)} – Perangkat lunak antivirus akan membandingkan file yang dicatat dengan tanda tangan rootkit yang diketahui. Analisis juga akan mencari pola perilaku yang meniru aktivitas operasi tertentu dari rootkit yang diketahui, seperti penggunaan port yang agresif.
• Deteksi Intersepsi^{(Interception Detection)} – Sistem operasi Windows menggunakan tabel penunjuk untuk menjalankan perintah yang diketahui meminta rootkit untuk bertindak. Karena rootkit mencoba mengganti atau memodifikasi apa pun yang dianggap sebagai ancaman, ini akan memberi tahu sistem Anda tentang keberadaan mereka.
• Perbandingan Data Multi-Sumber^{(Multi-Source Data Comparison)} – Rootkit^(Rootkits) , dalam upaya mereka untuk tetap tersembunyi, dapat mengubah data tertentu yang disajikan dalam pemeriksaan standar. Hasil panggilan sistem tingkat tinggi dan rendah yang dikembalikan dapat menunjukkan keberadaan rootkit. Perangkat lunak juga dapat membandingkan memori proses yang dimuat ke dalam RAM dengan konten file pada hard disk.
• Pemeriksaan Integritas^{(Integrity Check)} – Setiap perpustakaan sistem memiliki tanda tangan digital yang dibuat pada saat sistem dianggap “bersih”. Perangkat lunak keamanan yang baik dapat memeriksa perpustakaan untuk setiap perubahan kode yang digunakan untuk membuat tanda tangan digital.
• Perbandingan Registri^{(Registry Comparisons)} – Sebagian besar program perangkat lunak antivirus memiliki ini pada jadwal yang telah ditentukan. File bersih akan dibandingkan dengan file klien, secara real-time, untuk menentukan apakah klien adalah atau berisi executable (.exe) yang tidak diminta.

Melakukan Pemindaian Rootkit^{(Performing Rootkit Scans)}

Melakukan scan rootkit adalah upaya terbaik untuk mendeteksi infeksi rootkit. Paling sering sistem operasi Anda tidak dapat dipercaya untuk mengidentifikasi rootkit sendiri dan menghadirkan tantangan untuk menentukan keberadaannya. Rootkit adalah mata-mata utama, menutupi jejak mereka di hampir setiap belokan dan mampu tetap tersembunyi di depan mata.

Jika Anda menduga serangan virus rootkit telah terjadi pada mesin Anda, strategi yang baik untuk mendeteksinya adalah dengan mematikan komputer dan menjalankan pemindaian dari sistem bersih yang dikenal. Cara yang pasti untuk menemukan rootkit di dalam mesin Anda adalah melalui analisis dump memori. Rootkit tidak dapat menyembunyikan instruksi yang diberikannya ke sistem Anda saat menjalankannya di memori mesin.

Menggunakan WinDbg Untuk Analisis Malware^{(Using WinDbg For Malware Analysis)}

Microsoft Windows telah menyediakan alat debugging multi-fungsinya sendiri yang dapat digunakan untuk melakukan pemindaian debugging pada aplikasi, driver, atau sistem operasi itu sendiri. Ini akan men-debug kernel-mode dan kode user-mode, membantu menganalisis crash dump, dan memeriksa register CPU .

Beberapa sistem Windows akan datang dengan WinDbg yang sudah dibundel. Mereka yang tidak perlu mengunduhnya dari Microsoft Store . Pratinjau WinDbg^{(WinDbg Preview)} adalah versi WinDbg yang lebih modern , memberikan visual yang lebih mudah dilihat, jendela yang lebih cepat, skrip yang lengkap, dan perintah, ekstensi, dan alur kerja yang sama seperti aslinya.

Minimal, Anda dapat menggunakan WinDbg untuk menganalisis memori atau crash dump, termasuk Blue Screen Of Death ( BSOD ). Dari hasil tersebut, Anda dapat mencari indikator serangan malware. Jika Anda merasa bahwa salah satu program Anda mungkin terhalang oleh keberadaan malware, atau menggunakan lebih banyak memori daripada yang diperlukan, Anda dapat membuat file dump dan menggunakan WinDbg untuk membantu menganalisisnya.

Sebuah dump memori lengkap dapat mengambil ruang disk yang signifikan sehingga mungkin lebih baik untuk melakukan dump Kernel-Mode atau dump ^{(Kernel-Mode)}Memori^(Memory) Kecil sebagai gantinya. Dump Kernel-Mode akan berisi semua informasi penggunaan memori oleh kernel pada saat crash. Dump Memori^(Memory) Kecil akan berisi informasi dasar tentang berbagai sistem seperti driver, kernel, dan lainnya, tetapi sangat kecil jika dibandingkan.

Dump Memori^(Memory) Kecil lebih berguna dalam menganalisis mengapa BSOD terjadi. Untuk mendeteksi rootkit, versi lengkap atau kernel akan lebih membantu.

Membuat File Dump Mode Kernel^{(Creating A Kernel-Mode Dump File)}

File dump Kernel-Mode dapat dibuat dengan tiga cara:

• Aktifkan file dump dari Control Panel untuk memungkinkan sistem mogok sendiri
• Aktifkan file dump dari Control Panel untuk memaksa sistem mogok
• Gunakan alat debugger untuk membuatnya untuk Anda

Kami akan pergi dengan pilihan nomor tiga. 

Untuk melakukan file dump yang diperlukan, Anda hanya perlu memasukkan perintah berikut ke dalam jendela Command WinDbg .

Ganti FileName dengan nama yang sesuai untuk file dump dan "?" dengan f . Pastikan bahwa "f" adalah huruf kecil atau Anda akan membuat jenis file dump yang berbeda.

Setelah debugger berjalan (pemindaian pertama akan memakan waktu beberapa menit), file dump akan dibuat dan Anda akan dapat menganalisis temuan Anda.

Memahami apa yang Anda cari, seperti penggunaan memori volatile ( RAM ), untuk menentukan keberadaan rootkit membutuhkan pengalaman dan pengujian. Dimungkinkan, meskipun tidak direkomendasikan untuk pemula, untuk menguji teknik penemuan malware pada sistem langsung. Untuk melakukan ini lagi-lagi dibutuhkan keahlian dan pengetahuan yang mendalam tentang cara kerja WinDbg agar tidak secara tidak sengaja menyebarkan virus hidup ke dalam sistem Anda.

Ada cara yang lebih aman dan ramah bagi pemula untuk mengungkap musuh kita yang tersembunyi dengan baik.

Metode Pemindaian Tambahan^{(Additional Scanning Methods)}

Deteksi manual dan analisis perilaku juga merupakan metode yang andal untuk mendeteksi rootkit. Mencoba menemukan lokasi rootkit bisa sangat merepotkan, jadi, alih-alih menargetkan rootkit itu sendiri, Anda malah bisa mencari perilaku seperti rootkit.

Anda dapat mencari rootkit dalam bundel perangkat lunak yang diunduh dengan menggunakan opsi instal Lanjutan^(Advanced) atau Kustom^(Custom) selama instalasi. Yang perlu Anda cari adalah file asing yang tercantum dalam detailnya. File-file ini harus dibuang, atau Anda dapat melakukan pencarian cepat online untuk referensi apa pun ke perangkat lunak berbahaya.

Firewall dan laporan loggingnya adalah cara yang sangat efektif untuk menemukan rootkit. Perangkat lunak akan memberi tahu Anda jika jaringan Anda dalam pengawasan, dan harus mengkarantina unduhan yang tidak dapat dikenali atau mencurigakan sebelum penginstalan. 

Jika Anda menduga bahwa rootkit mungkin sudah ada di mesin Anda, Anda dapat mempelajari laporan logging firewall dan mencari perilaku yang tidak biasa.

Meninjau Laporan Logging Firewall^{(Reviewing Firewall Logging Reports)}

Anda akan ingin meninjau laporan logging firewall Anda saat ini, membuat aplikasi open-source seperti IP Traffic Spy dengan kemampuan penyaringan log firewall, alat yang sangat berguna. Laporan akan menunjukkan kepada Anda apa yang perlu dilihat jika terjadi serangan. 

Jika Anda memiliki jaringan besar dengan firewall pemfilteran egress mandiri, IP Traffic Spy tidak diperlukan. Sebagai gantinya, Anda seharusnya dapat melihat paket masuk dan keluar ke semua perangkat dan workstation di jaringan melalui log firewall.

Baik Anda berada di lingkungan rumah atau bisnis kecil, Anda dapat menggunakan modem yang disediakan oleh ISP Anda atau, jika Anda memilikinya, firewall atau router pribadi untuk menarik log firewall. Anda akan dapat mengidentifikasi lalu lintas untuk setiap perangkat yang terhubung ke jaringan yang sama. 

Mungkin juga bermanfaat untuk mengaktifkan file Windows Firewall Log . Secara default, file log dinonaktifkan yang berarti tidak ada informasi atau data yang ditulis.

• Untuk membuat file log, buka fungsi Run dengan menekan tombol Windows key + R .
• Ketik wf.msc ke dalam kotak dan tekan Enter .

• Di jendela Windows Firewall dan Advanced Security sorot "Windows Defender Firewall with Advanced Security on Local Computer" di menu sebelah kiri. Di menu paling kanan di bawah "Tindakan" klik Properties .

• Di jendela dialog baru, navigasikan ke tab "Profil Pribadi" dan pilih Kustomisasi^(Customize) , yang dapat ditemukan di bagian "Logging".

• Jendela baru akan memungkinkan Anda untuk memilih seberapa besar file log untuk ditulis, ke mana Anda ingin mengirim file, dan apakah akan mencatat hanya paket yang hilang, koneksi yang berhasil, atau keduanya.

• Paket yang dijatuhkan^(Dropped) adalah paket yang diblokir Windows Firewall atas nama Anda.
• Secara default, entri log Windows Firewall hanya akan menyimpan data 4MB terakhir dan dapat ditemukan di %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Ingatlah bahwa meningkatkan batas ukuran pada penggunaan data untuk log dapat memengaruhi kinerja komputer Anda.
• Tekan OK setelah selesai.
• Selanjutnya, ulangi langkah yang sama yang baru saja Anda lalui di tab "Profil Pribadi", hanya kali ini di tab "Profil Publik".
  • Log sekarang akan dibuat untuk koneksi publik dan pribadi. Anda dapat melihat file dalam editor teks seperti Notepad atau mengimpornya ke dalam spreadsheet.
  • Anda sekarang dapat mengekspor file log ke program pengurai basis data seperti IP Traffic Spy untuk memfilter dan mengurutkan lalu lintas untuk memudahkan identifikasi.

Awasi hal-hal yang tidak biasa dalam file log. Bahkan kesalahan sistem sekecil apa pun dapat mengindikasikan infeksi rootkit. Sesuatu di sepanjang garis penggunaan CPU atau bandwidth yang berlebihan saat Anda tidak menjalankan sesuatu yang terlalu menuntut, atau sama sekali, bisa menjadi petunjuk utama.

How to Detect Rootkits In Windows 10 (In-Depth Guide)

Roоtkits are usеd by hackers to hide рersiѕtent, ѕeemingly undetectable malware within yоur device that will silently ѕteal data or resourсes, sometimes over the courѕe of multiple years. They can also be υsed in keylogger fashion where your keystrokes and communications are surveilled providing the onlooker wіth privaсy information.  

This particular hacking method saw more relevance pre-2006, prior to Microsoft Vista requiring vendors to digitally sign all computer drivers. The Kernel Patch Protection (KPP) caused malware writers to change their attack methods and only recently as of 2018 with the Zacinlo ad fraud operation, did rootkits re-enter the spotlight.

The rootkits pre-dating 2006 were all specifically operating system-based. The Zacinlo situation, a rootkit from the Detrahere malware family, gave us something even more dangerous in the form of a firmware-based rootkit. Regardless, rootkits are only around one percent of all malware output seen annually. 

Even so, because of the danger they can present, it would be prudent to understand how detecting rootkits that may have already infiltrated your system works.

Detecting Rootkits in Windows 10 (In-Depth)

Zacinlo had actually been in play for almost six years before being discovered targeting the Windows 10 platform. The rootkit component was highly configurable and protected itself from processes it deemed dangerous to its functionality and was capable of intercepting and decrypting SSL communications.

It would encrypt and store all of its configuration data within the Windows Registry and, while Windows was shutting down, rewrite itself from memory to disk using a different name, and update its registry key. This helped it to evade detection by your standard antivirus software.

This goes to show that a standard antivirus or antimalware software is not enough for detecting rootkits. Although, there are a few top tier antimalware programs that will alert you to suspicions of a rootkit attack. 

The 5 Key Attributes Of a Good Antivirus Software

Most of the prominent antivirus programs today will perform all five of these notable methods for detecting rootkits.

• Signature-based Analysis – The antivirus software will compare logged files with known signatures of rootkits. The analysis will also look for behavioral patterns that mimic certain operating activities of known rootkits, such as aggressive port use.
• Interception Detection – The Windows operating system employs pointer tables to run commands that are known to prompt a rootkit to act. Since rootkits attempt to replace or modify anything considered a threat, this will tip off your system to their presence.
• Multi-Source Data Comparison – Rootkits, in their attempt to remain hidden, may alter certain data presented in a standard examination. The returned results of high and low-level system calls can give away the presence of a rootkit. The software may also compare the process memory loaded into the RAM with the content of the file on the hard disk.
• Integrity Check – Every system library possesses a digital signature that is created at the time the system was considered “clean”. Good security software can check the libraries for any alteration of the code used to create the digital signature.
• Registry Comparisons – Most antivirus software programs have these on a preset schedule. A clean file will be compared with a client file, in real-time, to determine if the client is or contains an unrequested executable (.exe).

Performing Rootkit Scans

Performing a rootkit scan is the best attempt for detecting rootkit infection. Most often your operating system cannot be trusted to identify a rootkit on its own and presents a challenge to determine its presence. Rootkits are master spies, covering their tracks at almost every turn and capable of remaining hidden in plain sight.

If you suspect a rootkit virus attack has taken place on your machine, a good strategy for detection would be to power down the computer and execute the scan from a known clean system. A surefire way to locate a rootkit within your machine is through a memory dump analysis. A rootkit cannot hide the instructions it gives your system as it executes them in the machine’s memory.

Using WinDbg For Malware Analysis

Microsoft Windows has provided its own multi-function debugging tool that can be used to perform debugging scans on applications, drivers, or the operating system itself. It will debug kernel-mode and user-mode code, help analyze crash dumps, and examine the CPU registers.

Some Windows systems will come with WinDbg already bundled in. Those without will need to download it from the Microsoft Store. WinDbg Preview is the more modern version of WinDbg, providing easier on the eyes visuals, faster windows, complete scripting, and the same commands, extensions, and workflows as the original.

At the bare minimum, you can use WinDbg to analyze a memory or crash dump, including a Blue Screen Of Death (BSOD). From the results, you can look for indicators of a malware attack. If you feel that one of your programs may be hindered by the presence of malware, or is using more memory than is required, you can create a dump file and use WinDbg to help analyze it.

A complete memory dump can take up significant disk space so it may be better to perform a Kernel-Mode dump or Small Memory dump instead. A Kernel-Mode dump will contain all memory usage information by the kernel at the time of the crash. A Small Memory dump will contain basic information on varying systems like drivers, the kernel, and more, but is tiny in comparison.

Small Memory dumps are more useful in analyzing why a BSOD has occurred. For detecting rootkits, a complete or kernel version will be more helpful.

Creating A Kernel-Mode Dump File

A Kernel-Mode dump file can be created in three ways:

• Enable the dump file from Control Panel to allow the system to crash on its own
• Enable the dump file from Control Panel to force the system to crash
• Use a debugger tool to create one for you

We’ll be going with choice number three. 

To perform the necessary dump file, you only need to enter the following command into the Command window of WinDbg.

Replace FileName with an appropriate name for the dump file and the “?” with an f. Make sure that the “f” is lowercase or else you’ll create a different kind of dump file.

Once the debugger has run its course (the first scan will take considerable minutes), a dump file will have been created and you’ll be able to analyze your findings.

Understanding what it is your looking for, such as volatile memory (RAM) usage, to determine the presence of a rootkit takes experience and testing. It is possible, though not recommended for a novice, to test malware discovering techniques on a live system. To do this will again take expertise and in-depth knowledge on workings of WinDbg so as not to accidentally deploy a live virus into your system.

There are safer, more beginner-friendly ways to uncover our well-hidden enemy.

Additional Scanning Methods

Manual detection and behavioral analysis are also reliable methods for detecting rootkits. Attempting to discover the location of a rootkit can be a major pain so, instead of targeting the rootkit itself, you can instead look for rootkit-like behaviors.

You can look for rootkits in downloaded software bundles by using Advanced or Custom install options during installation. What you’ll need to look for are any unfamiliar files listed in the details. These files should be discarded, or you can do a quick search online for any references to malicious software.

Firewalls and their logging reports are an incredibly effective way to discover a rootkit. The software will notify you if your network is under scrutiny, and should quarantine any unrecognizable or suspicious downloads prior to installation. 

If you suspect that a rootkit may already be on your machine, you can dive into the firewall logging reports and look for any out of the ordinary behavior.

Reviewing Firewall Logging Reports

You’ll want to review your current firewall logging reports, making an open-source application like IP Traffic Spy with firewall log filtering capabilities, a very useful tool. The reports will show you what is necessary to see should an attack occur. 

If you have a large network with a standalone egress filtering firewall, IP Traffic Spy will not be necessary. Instead, you should be able to see the inbound and outbound packets to all devices and workstations on the network via the firewall logs.

Whether you’re in a home or small business setting, you can use the modem provided by your ISP or, if you own one, a personal firewall or router to pull up the firewall logs. You’ll be able to identify the traffic for each device connected to the same network. 

It may also be beneficial to enable Windows Firewall Log files. By default, the log file is disabled meaning no information or data is written.

• To create a log file, open up the Run function by pressing the Windows key + R.
• Type wf.msc into the box and press Enter.

• In the Windows Firewall and Advanced Security window highlight “Windows Defender Firewall with Advanced Security on Local Computer” in the left side menu. On the far right side menu under “Actions” click Properties.

• In the new dialog window, navigate over to the “Private Profile” tab and select Customize, which can be found in the “Logging” section.

• The new window will allow you to select how big of a log file to write, where you’d like the file sent, and whether to log only dropped packets, successful connection, or both.

• Dropped packets are those that Windows Firewall has blocked on your behalf.
• By default, Windows Firewall log entries will only store the last 4MB of data and can be found in the %SystemRoot%\System32\LogFiles\Firewall\Pfirewall.log
• Keep in mind that increasing the size limit on data usage for logs can impact your computer’s performance.
• Press OK when finished.
• Next, repeat the same steps you just went through in the “Private Profile” tab, only this time in the “Public Profile” tab.
  • Logs will now be generated for both public and private connections. You can view the files in a text editor like Notepad or import them into a spreadsheet.
  • You can now export the logs’ files into a database parser program like IP Traffic Spy to filter and sort the traffic for easy identification.

Keep an eye out for anything out of the ordinary in the log files. Even the slightest system fault can indicate a rootkit infection. Something along the lines of excessive CPU or bandwidth usage when you’re not running anything too demanding, or at all, can be a major clue.

Related posts

• Download Quick Start Guide ke Windows 10 dari Microsoft

• Cara Menggunakan Windows 10 PC - Basic Tutorial & Tips untuk Pemula

• Download Windows Ink Guide untuk Windows 10 dari Microsoft

• Mengenal Windows 10 Guide untuk Employees dari Microsoft

• Group Policy Settings Reference Guide untuk Windows 10

• Top 3 Reddit apps untuk Windows 10 yang tersedia di Windows Store

• Best Gratis Barcode Scanner software untuk Windows 10

• Cara Menggunakan Network Sniffer Tool PktMon.exe di Windows 10

• PicsArt menawarkan Custom Stickers & Exclusive 3D Editing pada Windows 10

• Cara Menggunakan Performance Monitor pada Windows 10 (Detailed GUIDE)

• Cara Menginstal NumPy Menggunakan PIP pada Windows 10

• Ashampoo WinOptimizer adalah perangkat lunak gratis untuk mengoptimalkan Windows 10

• Nonaktifkan Layar Sentuh di Windows 10 [GUIDE]

• Step-by-Step Guide untuk menginstal FFmpeg pada Windows 10

• Pintasan Keyboard Windows 10: Panduan Utama

• Tidak dapat terhubung ke Xbox Live; Fix Xbox Live Networking issue di Windows 10

• Cara Delete Win Setup Files di Windows 10 [GUIDE]

• Reset Network Data Usage pada Windows 10 [Panduan]

• Ultimate Windows 10 WiFi Troubleshooting Guide

• Panduan Utama HDG untuk Mengambil Tangkapan Layar di Windows 10