Xem mã nguồn của Rootkit

[[Tập tin:Ubuntu 10.04 rootkit2.png|nhỏ|Rootkit trên Ubuntu]]
'''Rootkit''' (/{{IPA|ru:tkit}}/ đọc là ''rút-kít'') là một bộ công cụ [[phần mềm]] do kẻ xâm nhập đưa vào máy tính nhằm mục đích cho phép quay lại xâm nhập máy tính đó và dùng nó cho các mục đích xấu mà không bị phát hiện,<ref name=LINFO>The Linux Information Project, [http://www.linfo.org/rootkit.html Rootkit Definition]</ref> bộ công cụ này cho phép truy nhập vào hoạt động của máy tính ở mức căn bản nhất.<ref name=IIT>InformIT, [http://www.informit.com/articles/article.aspx?p=408884&seqNum=6 The Basics of Rootkits: Leave No Trace]</ref> Các mục đích của kẻ xâm nhập khi sử dụng rootkit bao gồm:<ref name=LINFO/> 
# thu thập dữ liệu về máy tính (kể các máy tính khác trong cùng mạng) và những người sử dụng chúng (chẳng hạn mật khẩu và thông tin tài chính),
# gây lỗi hoặc sai trong hoạt động của máy tính
# tạo hoặc chuyển tiếp [[thư rác (điện tử)|spam]]

Có các rootkit khác nhau được viết cho nhiều loại hệ điều hành như [[Linux]], [[Môi trường điều hành Solaris|Solaris]] và các phiên bản [[Microsoft Windows]].

Từ "rootkit" trở nên phổ biến khi có cuộc [[tranh luận về chống sao chép CD Sony 2005]], trong đó các đĩa CD nhạc của [[Sony BMG]] cài một roolkit vào các [[tương thích IBM PC|PC]] chạy [[Microsoft Windows]].

== Nguồn gốc của rootkit ==
Thuật ngữ "rootkit" (còn được viết là "'''root kit'''") lúc đầu được dùng để chỉ một bộ công cụ [[Unix]] được biên dịch lại như "ps", "netstat", "w" and "passwd" có thể che giấu kĩ lưỡng vết tích của kẻ xâm nhập mà bình thường sẽ bị hiển thị bởi các lệnh trên, vì vậy nó cho phép kẻ xâm nhập duy trì quyền "[[Superuser|root]]" ("siêu người dùng") trên hệ thống mà ngay cả người quản trị hệ thống cũng không thể thấy họ.

Ngày nay thuật ngữ này không chỉ giới hạn ở các [[hệ điều hành]] dựa trên Unix mà còn được dùng để chỉ các công cụ thực hiện tác vụ tương tự trên hệ điều hành không Unix như Microsoft Windows (ngay cả khi hệ điều hành đó không có tài khoản "root").

== Hoạt động ==
=== Chức năng của rootkit ===
Rootkit tạo đường truy nhập cho kẻ xâm nhập trở lại, việc này được thực hiện bằng cách cài đặt một cửa hậu ([[backdoor]] - một phương pháp ẩn cho việc lấy quyền truy nhập máy tính). Cửa hậu này có thể là một [[daemon]] truy nhập từ xa, chẳng hạn một phiên bản đã được sửa chữa của telnetd hoặc sshd, được cấu hình để chạy trên một [[cổng (máy tính)|cổng]] không phải cổng mặc định mà các daemon này thường nghe. (daemon là một loại chương trình chạy ngầm, đợi được kích hoạt bởi một điều kiện hoặc một sự kiện cụ thể, daemon không chịu sự kiểm soát trực tiếp của người dùng).<ref name=LINFO/>

Một rootkit được thiết kế tốt sẽ có khả năng che giấu hoặc xóa bỏ bất cứ dấu vết nào của việc nó được đưa vào máy tính, sự tồn tại và hoạt động của nó. Ví dụ, nó có thể sửa nhật trình (log) hệ thống để không ghi hoặc xóa bỏ tất cả các thông tin liên quan đến việc nó được đưa vào máy, thông tin về các lần truy nhập tiếp theo của kẻ xâm nhập, và thông tin về các tiến trình (các chương trình được thực thi) mà rootkit chạy. Những kẻ xâm nhập không lành nghề có thể chỉ xóa hoặc tẩy trắng các nhật trình, hiện tượng này có thể là đầu mối cho thấy có chuyện bất thường.<ref name=LINFO/>

=== Sử dụng bởi kẻ phá hoại ===
Trong trường hợp điển hình, rootkit che giấu [[đăng nhập]], [[tiến trình máy tính|tiến trình]], tập tin và [[log dữ liệu|log]] và có thể bao gồm phần mềm đánh cắp dữ liệu từ [[trạm cuối máy tính|trạm cuối]] (''terminal''), các nối kết mạng và [[bàn phím|bàn phím máy tính]]. Trong nhiều trường hợp rootkit được xem là [[Trojan]].

Cửa sau cũng cho phép các tiến trình từ người dùng thông thường thi hành các chức năng dành riêng cho siêu người dùng. Rootkit cũng có thể che giấu mọi loại công cụ khác có thể dùng để xâm phạm hệ thống. Điều này bao gồm các công cụ dùng để tấn công thêm vào các hệ thống máy tính có kết nối với hệ thống bị xâm nhập như là [[công cụ bắt gói tin]] (''packet sniffer'') và [[chương trình ghi tác vụ bàn phím]] (''keylogger''). Một cách xâm phạm phổ biến là dùng hệ thống bị chiếm làm bàn đạp cho xâm nhập tiếp theo. Điều này được thực hiện bằng cách làm cho một vụ xâm nhập có vẻ như xuất phát từ mạng hay hệ thống bị chiếm thay vì từ kẻ tấn công. Các công cụ này bao gồm công cụ [[tấn công từ chối dịch vụ]] (DDOS), công cụ chuyển tiếp phiên chat và các tấn công spam [[thư điện tử|email]].

Một thí dụ gần đây cho việc rootkit được sử dụng trên CD thương mại dùng để [[quản lý quyền kỹ thuật số]] là cuộc [[tranh luận chống sao chép CD Sony 2005]].

== Lây nhiễm ==
Cũng như với các [[Phần mềm ác ý|phần mềm độc hại]] khác, máy tính có thể bị lây nhiễm rootkit bằng nhiều đường, trong đó có lây nhiễm qua các chương trình được tải xuống từ Internet, qua tệp gắn kèm tại [[thư điện tử|email]], hoặc thậm chí khi truy cập một số trang web nhất định. Rootkit còn có thể được đưa vào máy qua việc đọc một ổ đĩa đặc biệt hoặc [[ổ USB flash|thẻ nhớ USB]].<ref name=LINFO/>

== Phân biệt ==
=== Rootkit không phải là exploit ===
Rootkit có thể được dùng cùng với một thủ thuật phá hoại (''[[exploit]]''), nhưng rootkit tự nó chỉ là một bộ các chương trình tiện ích. Các chương trình này thường không phụ thuộc vào các [[lỗi phần mềm]] (chẳng hạn [[lỗi tràn bộ đệm]]) mà các exploit lạm dụng. Nhiều tin tặc có một kho các exploit, nhưng chỉ có một hai chương trình rootkit để dùng kèm. Một khi vào được hệ thống, tin tặc sẽ triển khai rootkit thích hợp, bất kể mình sử dụng exploit nào.<ref name=IIT/>

Tuy rootkit không phải là một exploit, nhưng nó có thể chứa một exploit. Rootkit thường cần quyền truy nhập tới [[nhân hệ điều hành]] và chứa một vài chương trình bắt đầu chạy khi hệ thống khởi động (boot). Một trong các cách cài một rootkit vào hệ thống là sử dụng một exploit phần mềm, ví dụ lỗi tràn bộ đệm là một cơ chế để nạp mã chương trình vào nhân hệ điều hành.<ref name=IIT/>

=== Rootkit không phải là virus ===
[[Virus (máy tính)|Virus máy tính]] là một Chương trình tự nhân bản và phát tán. Trái lại, rootkit không tự nhân bản và không có cơ chế hoạt động độc lập tự chủ. Rootkit nằm hoàn toàn dưới quyền kiểm soát của một kẻ tấn công là con người,[[Hacker (an ninh máy tính)|hacker]] tấn công chúng ta bằng cách này là đa phần, virus thì không.<ref name=IIT/>

== Tham khảo ==
{{tham khảo|30em}}

[[Thể loại:Phần mềm độc hại]]
[[Thể loại:Tấn công mật mã]]