Rootkit 有哪些类型

Rootkit的类型有：1. 硬件或固件 Rootkit；2. Bootloader rootkit；3. 内存 Rootkit；4. 应用程序 Rootkit；5. 内核模式 Rootkit；6. 虚拟 Rootkit；硬件或固件 Rootkit 可影响硬盘驱动器、路由器或系统的 BIOS，这是安装在计算机主板上的小内存芯片上的软件。

1. 硬件或固件 Rootkit

硬件或固件 Rootkit 可以影响您的硬盘驱动器、路由器或系统的 BIOS，这是安装在计算机主板上的小内存芯片上的软件。它们不是针对您的操作系统，而是针对您的设备的固件安装难以检测的恶意软件。因为它们会影响硬件，所以可让黑客记录您的击键以及监控在线活动。虽然与其它类型相比不太常见，但硬件或固件 Rootkit 是对在线安全的严重威胁。

2. Bootloader rootkit

Bootloader 机制负责在计算机上加载操作系统。Bootloader Rootkit 可攻击此系统，用被破解的 Bootloader 替换您计算机的合法 Bootloader。这甚至可以在计算机的操作系统完全加载之前激活 Rootkit。

3. 内存 Rootkit

内存 Rootkit 隐藏在计算机的随机存取内存 (RAM) 中，使用计算机的资源在后台执行恶意活动。内存 Rootkit 会影响计算机的 RAM 性能。因为它们只存在于计算机的 RAM 中，不会注入永久代码，所以一旦重新启动系统，内存 Rootkit 就会消失 —— 尽管有时需要进一步的工作才能摆脱它们。它们的寿命短意味着它们往往不会被视为重大威胁。

4. 应用程序 Rootkit

应用程序 Rootkit 将计算机中的标准文件替换为 Rootkit 文件，甚至可能改变标准应用程序的工作方式。这些 Rootkit 会感染 Microsoft Office、Notepad 或 Paint 等程序。每次运行这些程序时，攻击者都可以访问您的计算机。由于受感染的程序仍然正常运行，Rootkit 检测对于用户来说很困难 —— 但防病毒程序可以检测到它们，因为它们都在应用程序层上运行。

5. 内核模式 Rootkit

内核模式 Rootkit 是这种威胁最严重的类型之一，因为它们针对操作系统的核心（即内核级别）。黑客使用它们不仅可以访问计算机上的文件，还可以通过添加自己的代码来更改操作系统的功能。

6. 虚拟 Rootkit

虚拟 Rootkit 会在计算机的操作系统下自行加载。然后，它将目标操作系统托管为虚拟机，从而允许它拦截原始操作系统进行的硬件调用。这种类型的 Rootkit 不必修改内核来颠复操作系统，可能非常难检测。

延伸阅读：

Rootkit 示例

Stuxnet

历史上最臭名昭著的 Rootkit 之一是 Stuxnet，这是一种在 2010 年发现的恶意计算机蠕虫，据信自 2005 年以来一直在开发中。Stuxnet 对伊朗的核计划造成了重大破坏。虽然这两个国家都不承认责任，但人们普遍认为这是美国和以色列在称为奥运会的合作努力中共同创造的网络武器。

Rootkit 的其它值得注意的例子包括：

Flame

2012 年，网络安全专家发现了 Flame，这是一种主要用于中东的网络间谍活动的 Rootkit。Flame（也称为Flamer、sKyWIper 和 Skywiper）可影响计算机的整个操作系统，使其能够监控流量、捕获屏幕截图和音频、并记录设备击键。Flame 背后的黑客没有被发现，但研究表明它们使用横跨三大洲的 80 台服务器访问受感染的计算机。

Necurs

2012 年，Necurs 作为 Rootkit 出现，据报道当年被在 83,000 起感染中检测到。Necurs 与东欧的精英网络犯罪分子有关，被认为由于其技术复杂性和演化能力而脱颖而出。

ZeroAccess

2011 年，网络安全专家发现了 ZeroAccess，这是一种内核模式 Rootkit，感染了全球超过 200 万台计算机。该 Rootkit 不直接影响受感染计算机的功能，而是在受感染计算机上下载并安装恶意软件，使其成为黑客用于进行网络攻击的全球僵尸网络的一部分。ZeroAccess 如今正在积极使用中。

TDSS

2008 年，TDSS Rootkit 被首次检测到。它与 Bootloader Rootkit 类似，因为它在操作系统的早期阶段加载和运行，使得检测和删除成为挑战。