Đặc điểm của rootkit là có khả năng ẩn các tiến trình, file, và cả dữ liệu trong registry (với Windows), nếu chỉ dùng những công cụ phổ biến của hệ điều hành như "Registry Editor", "Task Manager", "Find Files" thì không thể phát hiện ra các file và tiến trình này.

Ngoài ra nó còn có khả năng ghi lại các thông số về kết nối mạng, ghi lại các phím bấm (giữ vai trò của keylogger). Cũng có thể Rootkit được dùng trong những việc tốt, nhưng trong nhiều trường hợp, Rootkit được coi là Trojan vì chúng có những hành vi như nghe trộm, che giấu hoặc bị lợi dụng để che giấu các chương trình độc hại.

Dựa vào mức hoạt động của Rootkit trong hệ thống mà có thể chia Rootkit thành 2 loại  chính:

- Rootkit hoạt động ở mức ứng dụng: Hoạt động cùng mức với các chương trình thông thường như Word hay Excel, do vậy nó có thể được coi là một chương trình ứng dụng. Ở mức này Rootkit thường sử dụng một số kỹ thuật như hook, code inject, tạo file giả... để can thiệp vào các ứng dụng khác nhằm thực hiện mục đích che giấu tiến trình, file, registry....

- Rootkit hoạt động trong nhân của hệ điều hành (Kernel): Hoạt động cùng mức với các trình điều khiển thiết bị (driver) như driver điều khiển card đồ hoạ, card  âm thanh, đây là mức thấp của hệ thống, vì vậy rootkit có quyền rất lớn với hệ thống. 

Đối với người sử dụng thông thường, để phát hiện được Rootkit khi nó đang hoạt động trong bộ nhớ là một điều vô cùng khó. Vì vậy trong trường hợp máy bị nhiễm Rootkit thì tốt nhất bạn nên nhờ đến sự trợ giúp của các chuyên gia.

Nếu máy tính của bạn gặp những hiện tượng bất thường, bạn nghi ngờ có virus, đã quét virus và đã sử dụng cả Task Manager để xem các tiến tình chạy trên máy nhưng không thấy có gì đặc biệt, có thể máy tính của bạn đã bị nhiễm Rootkit. Bạn hãy liên lạc ngay tới các trung tâm về virus và an ninh mạng, các chuyên gia sẽ hướng dẫn cho bạn cách xử lý.

Trung tâm An ning mạng Bkis - Đại học Bách Khoa Hà Nội

Điện thoại: 04 8683583
Email: bkav@bkav.com.vn Website: www.bkav.com.vn