Rootkit гэж юу вэ, түүнээс хэрхэн сэргийлж, устгах вэ?

Rootkit бол өнөөдөр байгаа хамгийн дэвшилтэт хортой программын нэг. Олон жилийн турш хамгаалалтын программууд түүнийг илрүүлж, устгахад бэрхшээлтэй байсаар ирсэн. Учир нь rootkit үйлдлийн системийг маш гүн түвшинд эвддэг тул хортой программын эсрэг программаас ч, үйлдлийн системээс ч өөрийгөө нууж чаддаг.

Rootkit гэж юу вэ, хэрхэн ажилладаг вэ?

Rootkit гэдэг нэр томьёо нь Unix төрлийн үйлдлийн системийн хамгийн өндөр эрхтэй хэрэглэгч болох «root», мөн rootkit-ийг бүрдүүлдэг программын хэрэгслийн багц болох «kit» гэсэн хоёр үгнээс бүтсэн. Rootkit 1990-ээд оны эхээр Sun болон Linux-д чиглэж гарч ирсэн бол шинэ үйлдлийн системүүд гарахын хэрээр 1999 онд Windows, 2009 онд Mac-д зориулсан rootkit бий болсон.

Уламжлалт хортой программаас ялгаатай нь rootkit халдсан компьютерт суурь алдаа үүсгэдэг. Тэд файл, хавтсыг эвддэггүй. Харин үйлдлийн системийн танд мэдээлж буй бүх зүйлийг бүтээгчийнхээ хэрэгцээнд нийцүүлэн өөрчилдөг.

Rootkit үйлчлэх хүрээгээрээ хэрэглэгчийн горимын (user-mode) болон цөмийн горимын (kernel-mode) rootkit гэсэн 2 үндсэн ангилалд хуваагдана.

Тэд үйлдлийн системийг хэрхэн эвддэгийг ойлгохын тулд эхлээд үйлдлийн систем хэрхэн ажилладгийг мэдэх хэрэгтэй. Компьютер дээрх бүх программ үйлдлийн системийн API (Application Programming Interface)-аар дамжуулан функцийн дуудлагаар харилцдаг. Хэрэглэгчийн горимын драйвер нь Import Address Table (программ үйлдлийн системийн цөмөөр гүйцэтгүүлэх шаардлагатай API буюу системийн функцуудын хаягийн жагсаалт)-д залгагддаг.

Цөмийн горимын rootkit нь цөмд залгагдах системийн драйвер ашиглан хэрэглэгчийн программ болон үйлдлийн системийн хоорондох API дуудлагыг «зуучилдаг». Суулгагдсаны дараа rootkit-ийн драйвер системийн функцийн дуудлагыг чиглүүлж, цөмийн кодын оронд өөрийн кодыг ажиллуулдаг. Жишээ нь, та хавтас нээж агуулгыг нь харах үед ихэвчлэн тухайн хавтсанд хэдэн файл байгааг цөмөөс асууж байдаг. Гэвч rootkit таны хүсэлтийг таслан авч, хортой зарим файлаас бусад бүх файлыг харуулж болно. Ингэснээр та, таны үйлдлийн систем, эсвэл хортой программын эсрэг программ тань тэр хавтсанд зарим файл байсныг ч мэдэхгүй үлдэнэ.

Rootkit ашигласнаар хакер таны компьютер болон программд администраторын бүрэн эрх эдэлж, лог үзэх, таны үйл ажиллагааг хянах, хувийн мэдээлэл, файл хулгайлах, тохиргоог эвдэх боломжтой болдог. Таныг мэдэлгүй байхад таны бүх нууц үг, мэдээлэл хулгайд алдагдах эрсдэлтэй.

Rootkit компьютерт минь хэрхэн орж ирдэг вэ?

Хэдийгээр өнөөг хүртэлх хамгийн аюултай цахим аюулын нэг ч rootkit өөрөө дангаараа ажилладаггүй — тархаж, суулгагдахын тулд халдварын зам хэрэгтэй. Хакерууд rootkit суулгахдаа трояны программ ашиглах эсвэл үйлдлийн системийн эмзэг байдлыг ашигладаг. Системд нэвтэрсний дараа тэд ихэвчлэн тагнуулын программ (spyware), өт (worm), keylogger эсвэл компьютерийн вирус агуулж, таны компьютерийг ашиггүй «зомби» болгодог. Дараа нь хакерууд түүнийг гуравдагч этгээд, магадгүй таны харилцагчид руу DoS халдлага, спам, фишинг (хууран мэхлэх сайт, и-мэйл) кампанит ажил явуулахад ашиглаж болно. Үйлдлийн системийн root эрхтэй болсноор таны компьютер бүхэлдээ хакерын гарт ордог тул rootkit-ийг хамгийн туршлагатай мэргэжилтэн ч шууд илрүүлэхэд хэцүү.

Гэхдээ rootkit үргэлж хортой байдаггүй. Заримдаа зохиогчийн эрх болон хулгайн эсрэг хамгаалалтыг тойрох зэрэг хууран мэхлэх зорилгоор ашиглагддаг. Нөгөө талаар Sony, Lenovo зэрэг компаниуд хүсээгүй программыг дахин суулгах эсвэл дижитал эрхийн менежментийн хүрээнд хэрэглэгчийн төхөөрөмжид rootkit суулгаж байсан нь мэдэгдсэн. Хор хөнөөлгүй зорилгоор суулгасан ч илэрвэл хакеруудад дараа нь ашиглахад хялбар эмзэг цэг болдог.

Анхааруулах шинж тэмдэг, устгах, сэргийлэх

Rootkit таны компьютерийг, тэр дундаа халдварыг устгахаар сонгосон программыг тань ч бүрэн хянадаг тул түүнийг илрүүлэх нь маш хэцүү, заримдаа боломжгүй байж болно. Хэрэв та техникийн мэдлэгтэй бол сигнатураар шалгах (signature scanning) эсвэл санах ойн dump шинжилгээ зэрэг алхам хийж болно. Гэхдээ rootkit цөмийн санах ойг (өөрөөр хэлбэл үйлдлийн системийн «тархи»-ийг) эзэлсэн бол ялагдлаа хүлээн зөвшөөр: хатуу дискээ форматлаж, үйлдлийн системээ дахин суулгана.

Таны ойлгосноор rootkit маш боловсронгуй тул дахин суулгахгүйгээр түүнээс салж чадахгүй байж магадгүй. Үнэндээ хэтэрхий оройтох хүртэл, эсвэл антивирусын шалгалт (scan) ажиллуулах гэтэл антивирус тань асахгүй болох хүртэл та түүнийг илрүүлэхгүй байж ч болно.

Бүх мэдээллээ алдахгүйн тулд интернэт ашиглахдаа зөв дадал хэвшүүлээрэй:

• Хувийн мэдээллээ шифрлэж, аюулгүй байлгах үүднээс өгөгдлөө хэд хэдэн газарт нөөцөлж байгаарай.
• Хакерын сүлжээнд нэвтрэх хамгийн түгээмэл арга нь трояны программ тул огт мэдэхгүй илгээгчийн и-мэйлийн хавсралтыг хэзээ ч бүү нээ.
• Видео үзэж эсвэл файл нээх гэж байтал plugin татаж суулгахыг шаардвал бүү зөвшөөр.
• Галт хана (Firewall) болон хамгаалалтын программаа байнга шинэчилж, Windows болон Mac компьютер дээрээ бүрэн системийн шалгалтыг үе үе хийж байгаарай.