Rootkits: Funk­ti­ons­wei­se, Arten und Schutz­maß­nah­men

Ihr Computer läuft scheinbar normal, der Vi­ren­scan­ner meldet keine Funde – und trotzdem könnte das System längst kom­pro­mit­tiert sein, etwa als Teil eines Bot-Netzes, das Klick­be­trug oder Cy­ber­an­grif­fe ausführt. Möglich macht das ein so­ge­nann­tes Rootkit: Es wirkt wie eine Tarnkappe, unter deren Schutz Angreifer unbemerkt im System arbeiten. Wer weiß, wie Rootkits funk­tio­nie­ren und wo sie sich fest­set­zen, kann sich gezielter schützen. Im Folgenden erfahren Sie das Wich­tigs­te über Rootkits.

Was ist ein Rootkit?

Ein Rootkit ist eine Software oder eine Sammlung von Software-Werk­zeu­gen, die einem Angreifer nach dem Ein­drin­gen in ein System dauerhaft pri­vi­le­gier­ten Zugriff sichert und dabei seine Spuren verbirgt. Rootkits ver­ste­cken sich selbst und andere Schad­pro­gram­me – also Prozesse, Dateien, Netz­werk­ver­bin­dun­gen oder Registry-Einträge – vor Vi­ren­scan­nern, Si­cher­heits­lö­sun­gen und Ad­mi­nis­tra­to­ren, sodass der Benutzer nichts von ihrer Existenz mit­be­kommt. Häufig dienen sie dazu, einen dau­er­haf­ten fern­ge­steu­er­ten Zugriff (Remote-Access) auf­recht­zu­er­hal­ten.

Wichtig ist die Ab­gren­zung: Ein Rootkit ver­schafft An­grei­fern in der Regel nicht selbst den Zugang zu einem System. Für die In­stal­la­ti­on, ins­be­son­de­re eines Kernel-Mode-Rootkits, benötigen Angreifer meist bereits Ad­mi­nis­tra­tor- oder Root-Rechte, die sie zuvor etwa über ge­stoh­le­ne Zu­gangs­da­ten oder eine aus­ge­nutz­te Si­cher­heits­lü­cke erlangt haben. Das Rootkit sorgt an­schlie­ßend dafür, dass diese Kontrolle über den Rechner un­ent­deckt bestehen bleibt. Je tiefer es im System verankert ist, desto um­fas­sen­der ist diese Kontrolle.

Die ersten Rootkits tauchten Anfang der 1990er-Jahre auf und zielten auf Unix-Systeme wie SunOS, später auch auf Linux. Sie bestanden zumeist aus mo­di­fi­zier­ten Versionen von Stan­dard­pro­gram­men wie „ps“ (ein Unix-Kommando, das die laufenden Prozesse auflistet) und „passwd“ (zum Ändern des Be­nut­zer­pass­worts). Aus dieser Zeit stammt auch die Be­zeich­nung: „Root“ ist bei Unix der Name des Ad­mi­nis­tra­tor-Kontos mit un­ein­ge­schränk­ten Rechten, „kit“ bedeutet so viel wie „Aus­rüs­tung“ oder „Werk­zeug­kas­ten“. Ein Rootkit ist also ein Werk­zeug­kas­ten, mit dem ein Angreifer erlangte Root-Rechte behalten und verbergen kann. Die frühen Rootkits ar­bei­te­ten dabei noch auf Pro­gramm­ebe­ne, nicht im Kernel.

Heute gibt es Rootkits für nahezu alle ver­brei­te­ten Be­triebs­sys­te­me, darunter Windows, Linux, macOS und Android. Der Name blieb, auch wenn es unter Windows kein „root“-Konto gibt: Gemeint ist in­zwi­schen allgemein Software, die sich mit höchsten Rechten tarnt – im Ex­trem­fall direkt im Kernel, dem Kern des Be­triebs­sys­tems, oder noch darunter.

Wie funk­tio­nie­ren Rootkits?

Es gibt sehr un­ter­schied­li­che Arten von Rootkits, ihre grund­sätz­li­che Funk­ti­ons­wei­se folgt aber meist demselben Muster aus Infektion, Tarnung und dau­er­haf­tem Zugriff.

Schritt 1: Infektion des Systems

Einer Rootkit-Infektion geht häufig eine Form von Social En­gi­nee­ring voraus: Cy­ber­kri­mi­nel­le nutzen dabei die oft schwächs­te Stelle eines Si­cher­heits­sys­tems aus – die mensch­li­che Kom­po­nen­te. Durch Be­ein­flus­sung oder bewusste Täuschung gelangen Angreifer an Zu­gangs­da­ten und Pass­wör­ter, mit denen sie sich auf einem Rechner anmelden und das Rootkit in­stal­lie­ren.

Weitere typische In­fek­ti­ons­we­ge sind Drive-by-Downloads auf ma­ni­pu­lier­ten Websites, das Her­un­ter­la­den von Software aus un­si­che­ren Quellen, Links oder Anhänge in Phishing-E-Mails sowie das Ausnutzen un­ge­patch­ter Si­cher­heits­lü­cken, etwa in öf­fent­lich er­reich­ba­ren Ser­ver­diens­ten. Häufig wird das Rootkit nicht direkt ein­ge­schleust, sondern von einer anderen Malware nach­ge­la­den.

Auch phy­si­scher Zugriff kann genügen: Ein Angreifer lässt bei­spiels­wei­se einen prä­pa­rier­ten USB-Stick in der Öf­fent­lich­keit liegen, den ein neu­gie­ri­ger Finder an seinen Rechner an­schließt. Bei so­ge­nann­ten „Evil Maid Attacks“ (Deutsch: „Böses-Dienst­mäd­chen-Angriff“) ma­ni­pu­liert der Angreifer einen un­be­auf­sich­tig­ten Computer direkt. Der Name geht auf das Szenario zurück, dass ein Zim­mer­mäd­chen auf diese Weise die Laptops von Ho­tel­gäs­ten kom­pro­mit­tie­ren könnte.

Schritt 2: Tarnung (Stealth)

Einmal im System, ver­schlei­ert das Rootkit seine Existenz. Dazu ma­ni­pu­liert es die Schnitt­stel­len, über die Programme In­for­ma­tio­nen vom Be­triebs­sys­tem abfragen – etwa Listen laufender Prozesse, Da­tei­ver­zeich­nis­se oder offene Netz­werk­ver­bin­dun­gen. Fragt ein Vi­ren­scan­ner oder ein Ad­mi­nis­tra­tor diese In­for­ma­tio­nen ab, erhält er ge­fälsch­te Er­geb­nis­se, aus denen alle Hinweise auf das Rootkit her­aus­ge­fil­tert wurden. Deshalb können selbst gute Si­cher­heits­pro­gram­me ein aktives Rootkit von innen heraus oft weder über Si­gna­tu­ren noch über eine Ver­hal­tens­ana­ly­se (Heuristik) zu­ver­läs­sig erkennen.

Schritt 3: Dau­er­haf­ter Zugriff über eine Hintertür (Backdoor)

Viele Rootkits richten eine „Backdoor“ ein oder verbergen eine bereits vor­han­de­ne – eine Hintertür, über die der Angreifer per Remote-Access jederzeit auf den Rechner zugreifen kann. Das Rootkit verbirgt dabei An­mel­dun­gen, Prozesse und Netz­werk­ver­bin­dun­gen des An­grei­fers.

So kann der Angreifer weitere Schad­soft­ware wie Keylogger nachladen, Tas­ta­tur­ein­ga­ben und Daten ausspähen oder Sys­tem­ein­stel­lun­gen ändern. Häufig werden kom­pro­mit­tier­te Rechner zu Bot-Netzen zu­sam­men­ge­schlos­sen und für Spam, Phishing, Kryp­to­mi­ning oder DDoS-Attacken miss­braucht.

Was un­ter­schei­det Rootkits von anderen Schäd­lin­gen?

Rootkits werden um­gangs­sprach­lich auch „Tarnviren“ genannt, obwohl sie streng genommen keine Viren sind. Der ent­schei­den­de Un­ter­schied: Viren, Würmer und Trojaner werden danach un­ter­schie­den, wie sie sich ver­brei­ten oder auf ein System gelangen. Ein Rootkit dagegen be­schreibt eine Funktion – das Verbergen und Absichern des Zugriffs. Deshalb werden Rootkit-Techniken oft mit anderen Malware-Typen kom­bi­niert.

• Virus: Ein Virus hängt sich an einen Wirt, etwa an aus­führ­ba­re Dateien (zum Beispiel im .exe-Format), Makros in Office-Do­ku­men­ten oder Boot­sek­to­ren. Er ver­viel­fäl­tigt sich, sobald der Wirt aus­ge­führt wird, ist für seine Ver­brei­tung aber auf Menschen oder andere Programme an­ge­wie­sen, die in­fi­zier­te Dateien wei­ter­ge­ben.
• Wurm: Ein Wurm ist ein ei­gen­stän­di­ges Programm, das keinen Wirt benötigt und sich selbst­stän­dig über Netzwerke ver­brei­tet, etwa indem er Si­cher­heits­lü­cken in Netz­werk­diens­ten ausnutzt.
• Trojaner: Ein Trojaner tarnt sich als nützliche Anwendung und ver­brei­tet sich nicht selbst. Angreifer nutzen solche tro­ja­ni­schen Pferde, um Schad­funk­tio­nen ein­zu­schleu­sen oder eine Hintertür zu öffnen.
• Rootkit: Ein Rootkit verbirgt sich und andere Schad­soft­ware aktiv im System und sichert den Zugriff des An­grei­fers ab. Viele Trojaner und Bot-Programme bringen Rootkit-Funk­tio­nen mit, weshalb die Grenzen in der Praxis fließend sind.

Was für Rootkits gibt es?

Rootkits un­ter­schei­den sich vor allem darin, auf welcher Ebene des Systems sie sich einnisten. Je tiefer diese Ebene liegt, desto mehr Kontrolle hat das Rootkit und desto schwerer ist es zu entdecken und zu entfernen. Am weitesten ver­brei­tet sind User-Mode- und Kernel-Mode-Rootkits.

Kernel-Mode-Rootkits

Kernel-Mode-Rootkits nisten sich im Kernel des Be­triebs­sys­tems ein. Dieser Bereich, auch als „Ring 0“ be­zeich­net, hat die höchsten Rechte innerhalb des Be­triebs­sys­tems: Code, der dort läuft, kann auf den gesamten Speicher und die Hardware zugreifen und beliebige Sys­tem­funk­tio­nen verändern. Gelingt es einem Angreifer, dort ein Rootkit zu plat­zie­ren, kon­trol­liert er das gesamte Be­triebs­sys­tem – ein­schließ­lich der Si­cher­heits­soft­ware, die darauf läuft. Noch tiefer liegen nur Hy­per­vi­sor und Firmware (siehe unten).

Solche Rootkits verändern Kernel-Code oder Kernel-Da­ten­struk­tu­ren. Unter Linux und anderen Unix-ähnlichen Be­triebs­sys­te­men geschieht das häufig über nach­lad­ba­re Kernel-Module, weshalb man von „LKM-Rootkits“ (kurz für „Loadable Kernel Modules“) spricht. Unter Windows werden Kernel-Rootkits als Treiber geladen. Da 64-Bit-Versionen von Windows seit Vista nur noch digital signierte Kernel-Treiber zulassen und Ver­än­de­run­gen am Kernel durch den Kernel-Patch-Schutz (Patch­Guard) erschwert werden, weichen Angreifer heute oft auf ge­stoh­le­ne Zer­ti­fi­ka­te oder auf legitime, aber ver­wund­ba­re signierte Treiber aus („Bring Your Own Vul­nerable Driver“, BYOVD). Weil Kernel-Rootkits dem Vi­ren­schutz von Grund auf ge­fälsch­te In­for­ma­tio­nen liefern können, sind sie besonders schwer zu entdecken und zu entfernen.

User-Mode-Rootkits

User-Mode-Rootkits agieren auf der Be­nut­zer­ebe­ne eines Computers, auf der auch ge­wöhn­li­che An­wen­dungs­pro­gram­me laufen. Diese Ebene hat die nied­rigs­te Be­rech­ti­gungs­stu­fe der CPU („Ring 3“), weshalb User-Mode-Rootkits weniger Mög­lich­kei­ten haben als Kernel-Mode-Rootkits. Dafür sind sie einfacher zu ent­wi­ckeln und kommen häufiger zum Einsatz, ins­be­son­de­re auf Windows-Systemen.

User-Mode-Rootkits tarnen sich, indem sie sich zwischen An­wen­dun­gen und Be­triebs­sys­tem schalten und deren Kom­mu­ni­ka­ti­on ma­ni­pu­lie­ren. Typische Techniken sind DLL-Injection und API-Hooking: Eine ein­ge­schleus­te Pro­gramm­bi­blio­thek (Dynamic Link Library, kurz: DLL) wird in laufende Prozesse geladen und leitet Aufrufe be­stimm­ter Pro­gram­mier­schnitt­stel­len (Ap­pli­ca­ti­on Pro­gramming In­ter­faces, kurz: API) auf eigenen Code um. So kann das Rootkit bei­spiels­wei­se seine Prozesse aus Anzeigen wie dem Windows Task-Manager her­aus­fil­tern.

Bootkits und Firmware-Rootkits

Bootkits sind eine Form von Rootkit, die sich in den Start­vor­gang des Rechners ein­klin­ken – früher in den Master Boot Record (MBR) oder den Boot­loa­der, heute vor allem in den UEFI-Boot­vor­gang. Da sie vor dem Be­triebs­sys­tem starten, können sie dessen Si­cher­heits­me­cha­nis­men aushebeln, bevor diese überhaupt aktiv werden. Gegen ma­ni­pu­lier­te Boot­loa­der schützt UEFI Secure Boot, das nur signierte Boot­kom­po­nen­ten startet. Dass auch dieser Schutz nicht absolut ist, zeigte 2023 das Bootkit Black­Lo­tus: Laut ESET umging es Secure Boot selbst auf voll­stän­dig ak­tua­li­sier­ten Windows-11-Systemen, indem es eine bereits gepatchte Si­cher­heits­lü­cke (CVE-2022-21894) in älteren, aber weiterhin gültig si­gnier­ten Windows-Boot­da­tei­en ausnutzte.

Wichtig für die Ein­ord­nung: Ein Bootkit sitzt auf dem Da­ten­trä­ger – im MBR, im Boot­loa­der oder in der EFI-Sys­tem­par­ti­ti­on –, nicht in der Firmware der Haupt­pla­ti­ne. Auch Black­Lo­tus ist laut US-Ge­heim­dienst NSA keine Firmware-Bedrohung, sondern greift in die frühesten Software-Stufen des Start­vor­gangs ein. Ein Bootkit lässt sich deshalb entfernen, indem der Da­ten­trä­ger ein­schließ­lich seines Start­be­reichs neu ge­schrie­ben wird.

Noch tiefer setzen Firmware-Rootkits an, die sich im Flash-Speicher der Haupt­pla­ti­ne (UEFI/BIOS) fest­set­zen. Schon 2006 stellte der Si­cher­heits­for­scher John Heasman auf der Konferenz Black Hat ein Konzept vor, bei dem ein Rootkit über das ACPI (Advanced Con­fi­gu­ra­ti­on and Power Interface), die Schnitt­stel­le zur En­er­gie­ver­wal­tung, in der BIOS-Firmware ge­spei­chert wird – und so sogar eine Neu­for­ma­tie­rung der Fest­plat­te übersteht. 2018 do­ku­men­tier­te ESET mit LoJax das erste in freier Wildbahn gefundene UEFI-Rootkit, das einer staatlich un­ter­stütz­ten An­grei­fer­grup­pe zu­ge­ord­net wird. Es überstand sowohl die Neu­in­stal­la­ti­on des Be­triebs­sys­tems als auch den Austausch der Fest­plat­te.

Hy­per­vi­sor-Rootkits

Ein weiterer Ansatz sind Rootkits, die auf Vir­tua­li­sie­rung basieren (VMBR, Virtual Machine Based Rootkit). 2006 stellten Forscher der Uni­ver­si­ty of Michigan und von Microsoft Research mit SubVirt ein solches Konzept vor: Das Rootkit schiebt sich als Hy­per­vi­sor unter das laufende Be­triebs­sys­tem, das danach unbemerkt in einer vir­tu­el­len Maschine wei­ter­läuft. Im selben Jahr prä­sen­tier­te die Si­cher­heits­for­sche­rin Joanna Rutkowska mit „Blue Pill“ einen ähnlichen Ansatz auf Basis der Hardware-Vir­tua­li­sie­rung moderner Pro­zes­so­ren. Andere Forscher, unter anderem von der Stanford Uni­ver­si­ty, ar­gu­men­tier­ten 2007, dass sich solche Rootkits grund­sätz­lich erkennen lassen, etwa an Zeit­ver­zö­ge­run­gen. Hy­per­vi­sor-Rootkits sind bislang vor allem For­schungs­ge­gen­stand geblieben.

Weitere Rootkit-Arten

• Ap­pli­ca­ti­on-Rootkit: Die ur­sprüng­li­che und ein­fachs­te Variante. Sie ersetzt einzelne Sys­tem­pro­gram­me durch ma­ni­pu­lier­te Versionen. Durch einen Abgleich von Prüf­sum­men mit den Ori­gi­nal­da­tei­en lässt sie sich ver­gleichs­wei­se leicht erkennen und kommt deshalb kaum noch vor.
• Speicher-Rootkit: Solche Rootkits exis­tie­ren nur im Ar­beits­spei­cher und ver­schwin­den beim nächsten Neustart. Für Angreifer kann das trotzdem genügen – zum Beispiel auf Servern, die nur selten neu gestartet werden.
• Mobile Rootkits: Auch Smart­phones, ins­be­son­de­re mit Android, können betroffen sein, etwa nach der In­stal­la­ti­on einer ma­ni­pu­lier­ten App aus einer un­si­che­ren Quelle. Moderne Smart­phones prüfen beim Start al­ler­dings die In­te­gri­tät des Systems (Verified Boot), was dauerhaft ver­an­ker­te Rootkits deutlich erschwert.
• eBPF-Rootkits: Unter Linux miss­brau­chen neuere Rootkits die Kernel-Tech­no­lo­gie eBPF, mit der sich Programme im Kernel ausführen lassen, ohne ein klas­si­sches Kernel-Modul zu laden. Si­cher­heits­for­scher von Datadog be­schrei­ben mehrere solcher Rootkit-Familien, die bereits in echten Angriffen ein­ge­setzt wurden und sich vor gängigen Ana­ly­se­werk­zeu­gen verbergen.

Rootkits als Teil von Malware-Kampagnen

Rootkits werden selten allein ein­ge­setzt, sondern sind meist Baustein größerer Malware-Kampagnen. Ein Beispiel aus dem Jahr 2018 ist das Rootkit CEID­Pa­ge­Lock, das über das Exploit-Kit RIG ver­brei­tet wurde. Es nistete sich über einen Treiber in Windows-Systemen ein und übernahm die Kontrolle über den In­ter­net­brow­ser: Nutzer wurden auf ge­fälsch­te Seiten um­ge­lei­tet, um ihre Daten ab­zu­grei­fen. Betroffen waren damals vor allem Rechner in China.

Beispiele bekannter Rootkits

Rootkits gibt es für die ver­schie­dens­ten Be­triebs­sys­te­me. Einige bekannte Beispiele:

• TDSS bzw. Alureon (erstmals erkannt 2008): wird auch als Trojaner geführt, was zeigt, wie fließend die Übergänge zwischen den Schäd­lings­ty­pen sind. Das Rootkit ma­ni­pu­lier­te die Windows-Registry, um etwa den Task-Manager, Windows Update und Vi­ren­schutz­pro­gram­me zu blo­ckie­ren, und baute ein großes Bot-Netz auf. Spätere Versionen (TDL-4) in­fi­zier­ten den Master Boot Record.
• Ze­roAc­cess (entdeckt 2011): ein Trojaner mit Rootkit-Funk­tio­nen, der den Master Boot Record oder einen Sys­tem­trei­ber in­fi­zier­te und an­schlie­ßend das Windows-Si­cher­heits­cen­ter, Windows Defender und die Firewall ab­schal­te­te. Die in­fi­zier­ten Rechner wurden für Bitcoin-Mining und Klick­be­trug ein­ge­setzt. Im Dezember 2013 störten Microsoft, das FBI und Europol das Bot-Netz in einer ge­mein­sa­men Aktion.
• LoJax (entdeckt 2018): das erste in freier Wildbahn gefundene UEFI-Rootkit (siehe oben).
• Black­Lo­tus (entdeckt 2023): UEFI-Bootkit, das Secure Boot unter Windows 11 umgehen konnte (siehe oben).

Rootkit-Techniken beim Ko­pier­schutz

Nicht immer stecken hinter Rootkit-Techniken Cy­ber­kri­mi­nel­le. So nutzten etwa CD-Emu­la­to­ren rootkit-ähnliche Methoden, um sich vor Ko­pier­schutz­maß­nah­men zu verbergen. Ob das legal ist, hängt vom Zweck und vom Umfang der Nutzung ab.

Umgekehrt setzten auch Rech­te­inha­ber auf solche Techniken: Im Oktober 2005 deckte der Si­cher­heits­exper­te Mark Rus­si­no­vich auf, dass der Ko­pier­schutz XCP (Extended Copy Pro­tec­tion) auf Musik-CDs des Labels Sony BMG mit einem Rootkit getarnt war. Die Software in­stal­lier­te sich beim Abspielen der CD unbemerkt auf Windows-PCs. Besonders heftig kri­ti­siert wurde, dass sie sich vor An­ti­vi­ren­pro­gram­men ver­steck­te und damit auch anderer Schad­soft­ware ein Versteck bot. Sony BMG musste die CDs zu­rück­ru­fen und einigte sich später unter anderem mit der US-Han­dels­be­hör­de FTC auf Ent­schä­di­gun­gen für be­trof­fe­ne Kunden.

Ähnliche Vorwürfe gab es etwa beim Ko­pier­schutz der Firma Kinowelt im Jahr 2006 oder beim Ko­pier­schutz des EA-Com­pu­ter­spiels „Spore“ von 2008.

Wie kann man sich gegen Rootkits schützen?

Da Tarnung die Kern­funk­ti­on eines Rootkits ist, lässt es sich auf einem laufenden System nur schwer aufspüren und noch schwerer zu­ver­läs­sig entfernen. Umso wichtiger ist es, einer Infektion vor­zu­beu­gen.

Einer Infektion vorbeugen

Viele Schutz­maß­nah­men gegen Rootkits sind dieselben, die auch gegen andere Schad­soft­ware helfen:

• Verwenden Sie aktuelle Si­cher­heits­pro­gram­me auf Ihrem Rechner.
• Halten Sie Be­triebs­sys­tem, An­wen­dun­gen, Treiber und Firmware mit re­gel­mä­ßi­gen Updates aktuell.
• Ent­wi­ckeln Sie ein Be­wusst­sein für ver­brei­te­te Be­trugs­ma­schen, zum Beispiel Phishing.
• Sorgen Sie für einen guten Pass­wort­schutz und nutzen Sie, wo möglich, Zwei-Faktor-Au­then­ti­fi­zie­rung.
• In­stal­lie­ren Sie Software nur aus ver­trau­ens­wür­di­gen Quellen.

Darüber hinaus gibt es einige spe­zi­fi­sche Maßnahmen gegen Rootkits:

• Mit ein­ge­schränk­ten Rechten arbeiten: Nutzen Sie im Alltag ein Stan­dard­be­nut­zer­kon­to statt eines Ad­mi­nis­tra­tor­kon­tos und be­stä­ti­gen Sie Abfragen der Be­nut­zer­kon­ten­steue­rung (UAC) nur, wenn Sie die Änderung selbst ausgelöst haben. Ohne Ad­mi­nis­tra­tor- bzw. Root-Rechte muss Schad­soft­ware zu­sätz­lich eine Si­cher­heits­lü­cke ausnutzen, um ein Kernel-Rootkit zu in­stal­lie­ren.
• Start­vor­gang absichern: Ak­ti­vie­ren Sie UEFI Secure Boot. Windows 11 setzt einen Secure-Boot-fähigen UEFI-Rechner und TPM 2.0 voraus. In­stal­lie­ren Sie Firmware-Updates nur aus of­fi­zi­el­len Quellen des Her­stel­lers.
• Windows-Ker­nel­schutz nutzen: Unter Windows 11 er­schwe­ren die Spei­cher­in­te­gri­tät (Memory Integrity, auch HVCI) und die Microsoft-Sperr­lis­te für anfällige Treiber das Ein­schleu­sen ma­ni­pu­lier­ter oder ver­wund­ba­rer Treiber. Die Sperr­lis­te ist seit dem Windows-11-Update 2022 stan­dard­mä­ßig aktiv.
• Server härten: Auf Linux-Servern sollten Sie Root-Logins per Passwort de­ak­ti­vie­ren, SSH-Schlüssel verwenden, nur benötigte Dienste betreiben und Si­cher­heits­up­dates zeitnah ein­spie­len. Secure Boot mit si­gnier­ten Kernel-Modulen erschwert LKM-Rootkits.

Ein Rootkit erkennen

Vi­ren­scan­ner suchen anhand von Si­gna­tu­ren nach bekannten Rootkits oder achten auf ver­däch­ti­ges Verhalten. Das Problem: Ein aktives Rootkit kann genau die In­for­ma­tio­nen fälschen, die diese Programme auswerten. Wenn nicht gerade ein feh­ler­haf­tes Kernel-Mode-Rootkit durch Blue­screens auffällt, liefern Rootkits oft kaum An­halts­punk­te für eine Infektion. Mögliche Warn­zei­chen sind de­ak­ti­vier­te Si­cher­heits­pro­gram­me, un­er­klär­li­che Netz­werk­ak­ti­vi­tät, ver­än­der­te Sys­tem­ein­stel­lun­gen oder Ab­wei­chun­gen zwischen dem, was das System anzeigt, und dem, was von außen messbar ist (etwa Netz­werk­ver­kehr an der Firewall).

Deutlich aus­sa­ge­kräf­ti­ger ist eine Prüfung außerhalb des mög­li­cher­wei­se in­fi­zier­ten Be­triebs­sys­tems: Ein Rootkit, das sich im in­stal­lier­ten Be­triebs­sys­tem ein­ge­nis­tet hat, wird dann nicht geladen und kann die Er­geb­nis­se nicht fälschen. Eine Garantie für ein sauberes System ist aber auch ein Offline-Scan nicht. Firmware-Rootkits laufen un­ab­hän­gig davon, von welchem Medium der Rechner startet, und Bootkits können je nach Variante bereits aktiv sein, wenn die Prüf­um­ge­bung über den Start­vor­gang des be­trof­fe­nen Rechners geladen wird. Zudem findet jeder Scanner nur, was er anhand von Si­gna­tu­ren oder Auf­fäl­lig­kei­ten erkennt. Bleibt ein Offline-Scan ohne Fund, ist das ein gutes Zeichen, aber kein Beweis.

• Windows: Die Microsoft-Defender-Off­line­über­prü­fung startet den Rechner in einer ver­trau­ens­wür­di­gen Umgebung neu und durch­sucht ihn, bevor Windows geladen wird. Sie lässt sich in der App „Windows-Si­cher­heit“ unter „Viren- & Be­dro­hungs­schutz“ > „Scan­op­tio­nen“ starten. Auch andere Her­stel­ler bieten boot­fä­hi­ge Ret­tungs­me­di­en an, die früher als Boot-CD, heute meist als USB-Stick genutzt werden.
• Linux-Server: Werkzeuge wie sudo rkhunter --check oder sudo chkrootkit suchen nach bekannten Rootkit-Spuren und ver­däch­ti­gen Ver­än­de­run­gen. Aus­sa­ge­kräf­ti­ger ist die Prüfung aus einem Ret­tungs­sys­tem, das un­ab­hän­gig von der in­stal­lier­ten Dis­tri­bu­ti­on startet. Moderne Kernel- und eBPF-Rootkits erkennen diese Werkzeuge al­ler­dings nicht zu­ver­läs­sig.

Früher ver­brei­te­te kos­ten­lo­se Spe­zi­al­pro­gram­me wie Sophos Anti Rootkit oder der Rootkit Remover von Bit­de­fen­der sind nicht mehr verfügbar bzw. werden nicht mehr wei­ter­ent­wi­ckelt. Bit­de­fen­der verweist für die Rootkit-Suche in­zwi­schen auf seinen Ret­tungs­mo­dus (Rescue Mode).

Ein Rootkit entfernen

Eine hun­dert­pro­zen­tig sichere Methode, ein Rootkit aus einem laufenden System zu entfernen, gibt es nicht. Selbst wenn ein Si­cher­heits­pro­gramm das Rootkit findet und löscht, bleibt unklar, ob das System danach wirklich sauber ist und welche weiteren Ver­än­de­run­gen der Angreifer vor­ge­nom­men hat. Fachleute empfehlen deshalb bei einem be­stä­tig­ten Rootkit-Befall:

1. System neu aufsetzen: Löschen Sie den Da­ten­trä­ger voll­stän­dig, also ein­schließ­lich aller Par­ti­tio­nen und des Start­be­reichs (MBR bzw. EFI-Sys­tem­par­ti­ti­on), und in­stal­lie­ren Sie das Be­triebs­sys­tem aus einer ver­trau­ens­wür­di­gen Quelle neu. Das entfernt neben Kernel- und User-Mode-Rootkits auch Bootkits. Spielen Sie Daten nur aus einem Backup ein, das sicher vor der Infektion ent­stan­den ist.
2. Start­vor­gang nach­här­ten: Ak­ti­vie­ren Sie Secure Boot und spielen Sie alle Updates für Be­triebs­sys­tem und Firmware ein. Bei Bootkits wie Black­Lo­tus gehören dazu auch die Schutz­maß­nah­men von Microsoft, die ältere, ver­wund­ba­re Windows-Boot­da­tei­en sperren. Ohne diese Sperre könnte ein Angreifer das Bootkit erneut ein­schleu­sen.
3. Zu­gangs­da­ten ändern: Ändern Sie von einem sauberen Gerät aus alle Pass­wör­ter und tauschen Sie auf Servern SSH-Schlüssel, API-Schlüssel und Zer­ti­fi­ka­te aus, die auf dem be­trof­fe­nen System ge­spei­chert waren.
4. Nur bei Firmware-Rootkits: Firmware neu schreiben: Ein Firmware-Rootkit übersteht auch das Löschen des Da­ten­trä­gers. Nur wenn ein solcher Befall nach­ge­wie­sen oder begründet vermutet wird – etwa weil das Rootkit nach einer sauberen Neu­in­stal­la­ti­on wieder auftaucht –, muss die Firmware mit einer of­fi­zi­el­len Version des Her­stel­lers neu ge­schrie­ben werden. Weil sich nicht immer si­cher­stel­len lässt, dass das Rootkit dabei voll­stän­dig über­schrie­ben wird, ist bei hohem Schutz­be­darf der Austausch der Haupt­pla­ti­ne die sicherere Lösung.

Fazit: Vorbeugen ist der beste Schutz

Rootkits sind eine besonders hart­nä­cki­ge Bedrohung, weil sie An­grei­fern unbemerkt die Kontrolle über einen Rechner oder Server sichern. Ihre Ent­wick­lung reicht von ma­ni­pu­lier­ten Unix-Pro­gram­men über Kernel-Treiber bis zu UEFI-Rootkits, die selbst eine Neu­in­stal­la­ti­on über­ste­hen. Gleich­zei­tig sind moderne Be­triebs­sys­te­me deutlich besser geschützt als noch vor einigen Jahren: Signierte Treiber, Secure Boot und Ker­nel­schutz er­schwe­ren Angriffe erheblich, Offline-Scans ver­bes­sern die Chancen, einen Befall zu erkennen. Die wich­tigs­te Schutz­maß­nah­me bleibt, einer Infektion vor­zu­beu­gen – durch Updates, ein­ge­schränk­te Rechte und einen ge­si­cher­ten Start­vor­gang. Kommt es dennoch zu einem Befall, ist ein voll­stän­di­ges Neu­auf­set­zen des Systems meist der sicherste Weg.