Sicherheitsexpert:innen unterteilen Rootkits in verschiedene Kategorien, die nach den Angriffspunkten beziehungsweise der vom Rootkit befallenen Systemebene benannt sind. Das frühzeitige Erkennen von Schadsoftware ist dabei der wichtigste Faktor, um die unbemerkte Verbreitung einer solchen Malware zu unterbinden.
Kernel-Mode-Rootkits
Als Reaktion auf Rootkit-Scanner, die in der Lage sind, schädliche Kits auf Kernel-Ebene (also tief im Betriebssystem) zu entdecken, haben Hacker:innen sogenannte Kernel-Mode-Rootkits entwickelt. Diese befinden sich auf derselben Computerebene wie das Betriebssystem und können alle relevanten Bereiche innerhalb eines Computers kompromittieren, ohne durch Rootkit-Scanner enttarnt zu werden.
Sobald Ihr Computer von einem Kernel-Mode-Rootkit betroffen ist, kann ein Anti-Rootkit-Tool die Infektion durch einfache Scans nicht mehr zuverlässig erkennen. Kernel-Mode-Rootkits sind zudem verglichen mit anderer Schadsoftware kompliziert aufgebaut und nicht durch einen simplen Programmstart zu installieren.
Wenn ein Kernel (Betriebssystemkern) durch Malware manipuliert wird, führt das in der Regel zu deutlich sichtbaren Effekten wie beispielsweise Systemabstürzen, Speicherfehlern oder Bluescreens. Derartige Fehler können jedoch auch durch andere Systemprobleme ohne Malwareeinwirkung entstehen. Bei der Ursachenforschung sollte aber die Möglichkeit eines Befalls durch Kernel-Mode-Rootkits immer Teil der Betrachtung sein.
Bootkits
Beim Booten greifen Desktop-Rechner und die meisten Server auf einen so genannten Master Boot Record (MBR) zurück, um das Betriebssystem zu laden. Bootloader-Rootkits (Bootkits) sind eine Variante von Kernel-Mode-Rootkits, die den MBR infizieren und den Ladevorgang manipulieren. Bei einer Infizierung des Boot Record startet das Rootkit nachgeschaltete Schadsoftware noch vor dem eigentlichen Betriebssystem.
Die unter Windows oder anderen Betriebssystemen installierte Schutzsoftware startet ebenfalls erst danach. Dadurch hat sie kaum Möglichkeiten, diese Manipulation zu entdecken, da der Schadcode sich nicht im Betriebssystem, sondern „eine Ebene darunter” befindet.
MBRs sind mittlerweile sehr wirksam geschützt. Deshalb kommen Bootkits nicht mehr häufig zum Einsatz. Sowohl Windows 8 als auch Windows 10 und viele modernen Linux-Varianten prüfen den MBR vor dem Start auf Manipulationen. Daher gelingt es Bootkits nur noch selten, unerkannt zu bleiben.
User-Mode-Rootkits
User-Mode-Rootkits infizieren das Administratorkonto des Betriebssystems und verschaffen sich darüber die höchstmöglichen Berechtigungsstufen. So lassen sich Sicherheitsprotokolle und nahezu alle systemrelevanten Bereiche im Hintergrund manipulieren.
Sind diese Rootkits erst einmal auf dem Rechner eingerichtet, starten sie automatisch zusammen mit dem System. Alle auf Kernel-Ebene arbeitenden Malware-Scanner und Bereinigungsprogramme erkennen jedoch User-Mode-Rootkits und sind in der Lage, diese zu entfernen.
Hybrid-Rootkits
Hybrid-Rootkits arbeiten in unterschiedlichen Ebenen. Sie platzieren einige der Komponenten auf Benutzerebene und andere im Kernelbereich. Dadurch lassen sich diese Rootkits schwerer identifizieren, sind aber gleichzeitig stabiler als reine Kernel-Kits. Aktuell ist diese Mischform die bei Hackern beliebteste Rootkit-Variante.
Firmware-Rootkits
Die sogenannte Firmware ist eine auf niedriger Hardwareebene arbeitende Software. Im IT-Bereich findet sich Firmware zur Steuerung von Systemen und Hardware beispielsweise auf Grafikkarten, in Routern, in Hubs oder anderen Netzwerk- und Rechnerkomponenten. Häufig sind diese Komponenten auch über das Netzwerk ansprechbar. Einige Rootkits nutzen diese Vernetzung aus, um sich in der Firmware zu verstecken. So können sie über die kompromittierten Systeme Malware nachladen oder den Datenverkehr manipulieren.
Sicherheitsscanner können Firmware-Rootkits normalerweise während der Ausführung erkennen und deaktivieren. Allerdings entfernt der Scanner meist nur den im flüchtigen Arbeitsspeicher befindlichen Schadcode. Zur Beseitigung des Kits selbst ist bei der befallenen Hardware die Neuinstallation einer unverfälschten Firmware-Version erforderlich.
Virtuelle Rootkits
Virtuelle Maschinen (VM) haben den Ruf, besonders sicher zu sein, da sich im Fehlerfall die virtuelle Umgebung mit wenig Aufwand in einen sauberen Ursprungszustand versetzen lässt. Virtuelle Maschinen werden häufig verwendet, um die Ausführung mehrerer Betriebssysteme auf einem einzigen Gerät zu ermöglichen; oder um Programme in einer isolierten Umgebung zu testen.
Virtuelle Rootkits oder Virtual-Machine-based Rootkits (VMBRs) versuchen, sich auf dem Hostsystem zu installieren und von dort virtuelle Maschinen zu infizieren. Da die aktiven Bereiche der VM getrennt vom Betriebssystem und den Schutzmechanismen des Hosts laufen, sind diese Rootkits nur schwer zu identifizieren.
Weitere Rootkit-Versionen
Eine der ursprünglichsten und inzwischen kaum noch eingesetzten Rootkit-Varianten ist das Application-Rootkit. Hierbei werden Standard-Systemprogramme durch modifizierte Varianten ersetzt. Da diese ursprüngliche Form von Rootkits von nahezu allen Schutzprogrammen problemlos erkannt und entfernt wird, setzen Hacker:innen diese kaum noch ein. Eine weitere Gruppe sind die Speicher-Rootkits. Diese existieren nur vorübergehend im Arbeitsspeicher und verschwinden beim Neustart automatisch aus dem System.
