Définition simple
Un rootkit regroupe des composants malveillants destinés à dissimuler une présence ou une activité non autorisée sur un système.
Objectif et usage
Il cherche à masquer des fichiers, processus, connexions ou autres indices pour rendre la compromission plus difficile à observer.
Comment ça fonctionne ?
Selon son niveau d’installation, il peut modifier des mécanismes système ou la façon dont des informations sont présentées aux outils d’analyse.
Points clés
- Exemple : des observations réseau ne correspondent pas aux informations fournies par les outils locaux d’une machine suspecte.
- Comparer plusieurs sources de preuve et utiliser, si nécessaire, un environnement de contrôle dont la confiance est établie.
Points d’attention
Le nom rootkit ne démontre pas à lui seul le mécanisme utilisé ni les privilèges obtenus. Une analyse depuis le système compromis peut fournir une vue incomplète.
En résumé
Le rootkit vise la dissimulation ; la confiance dans les outils et dans le système analysé est centrale.