Chức năng của rootkit

Rootkit tạo đường truy nhập cho kẻ xâm nhập trở lại, việc này được thực hiện bằng cách cài đặt một cửa hậu (backdoor - một phương pháp ẩn cho việc lấy quyền truy nhập máy tính). Cửa hậu này có thể là một daemon truy nhập từ xa, chẳng hạn một phiên bản đã được sửa chữa của telnetd hoặc sshd, được cấu hình để chạy trên một cổng không phải cổng mặc định mà các daemon này thường nghe. (daemon là một loại chương trình chạy ngầm, đợi được kích hoạt bởi một điều kiện hoặc một sự kiện cụ thể, daemon không chịu sự kiểm soát trực tiếp của người dùng).[1]

Một rootkit được thiết kế tốt sẽ có khả năng che giấu hoặc xóa bỏ bất cứ dấu vết nào của việc nó được đưa vào máy tính, sự tồn tại và hoạt động của nó. Ví dụ, nó có thể sửa nhật trình (log) hệ thống để không ghi hoặc xóa bỏ tất cả các thông tin liên quan đến việc nó được đưa vào máy, thông tin về các lần truy nhập tiếp theo của kẻ xâm nhập, và thông tin về các tiến trình (các chương trình được thực thi) mà rootkit chạy. Những kẻ xâm nhập không lành nghề có thể chỉ xóa hoặc tẩy trắng các nhật trình, hiện tượng này có thể là đầu mối cho thấy có chuyện bất thường.[1]

Sử dụng bởi kẻ phá hoại

Trong trường hợp điển hình, rootkit che giấu đăng nhập, tiến trình, tập tin và log và có thể bao gồm phần mềm đánh cắp dữ liệu từ trạm cuối (terminal), các nối kết mạng và bàn phím máy tính. Trong nhiều trường hợp rootkit được xem là Trojan.

Cửa sau cũng cho phép các tiến trình từ người dùng thông thường thi hành các chức năng dành riêng cho siêu người dùng. Rootkit cũng có thể che giấu mọi loại công cụ khác có thể dùng để xâm phạm hệ thống. Điều này bao gồm các công cụ dùng để tấn công thêm vào các hệ thống máy tính có kết nối với hệ thống bị xâm nhập như là công cụ bắt gói tin (packet sniffer) và chương trình ghi tác vụ bàn phím (keylogger). Một cách xâm phạm phổ biến là dùng hệ thống bị chiếm làm bàn đạp cho xâm nhập tiếp theo. Điều này được thực hiện bằng cách làm cho một vụ xâm nhập có vẻ như xuất phát từ mạng hay hệ thống bị chiếm thay vì từ kẻ tấn công. Các công cụ này bao gồm công cụ tấn công từ chối dịch vụ (DDOS), công cụ chuyển tiếp phiên chat và các tấn công spam email.

Một thí dụ gần đây cho việc rootkit được sử dụng trên CD thương mại dùng để quản lý quyền kỹ thuật số là cuộc tranh luận chống sao chép CD Sony 2005.