Rootkit：隱藏大師的來歷與威脅
Rootkit 因 Sony BMG 音樂 CD/DVD 事件（2005）進入大眾視野：Sony 利用 Rootkit 技術隱藏 DRM 組件防盜版，卻被黑客利用漏洞隱藏惡意文件/進程/註冊表。**Rootkit 本質：修改內核/系統 API 回調，對用戶態/內核態檢測工具「撒謊」，實現完全隱藏**。
Rootkit 核心特徵
- 雙文件互護：
*.exe (用戶態) + *.sys (內核驅動) 同時駐留內存，互相監控、互相恢復，單刪即復活。
- 全方位隱藏：文件、進程、註冊表鍵值、網絡連接、服務、驅動對象、內核模塊——**對所有標準枚舉 API 返回虛假結果**。
- 傳統特徵碼掃描失效：文件不見、進程不見、註冊表不見，掃描引擎「看不到」自然查殺不了。
NOD32 ThreatSense 技術原理：不依賴特徵庫的智能偵測
- 高級啟發式分析：靜態反編譯/模擬執行，提取指令序列特徵，匹配已知惡意行為模式（解包、注入、掛鉤、隱藏、提權）。
- 行為監控 (HIPS)：內核級 Hook 關鍵操作（
NtCreateFile、NtWriteFile、NtSetValueKey、PsSetCreateProcessNotifyRoutine、MmMapViewOfSection），實時判斷異常行為鏈（如：驅動加載 → 隱藏文件 → 掛鉤 SSDT）。
- 雲端威脅情報：可疑樣本自動上傳雲端沙箱動態分析，秒級回傳裁決。
- 離線也能查殺：核心邏輯在本地 Agent，斷網環境同樣有效。
最佳防護配置建議
- 開啟 AMON 實時文件系統防護：掃描所有讀寫執行操作，首道防線。
- 開啟 IMON 網絡流量掃描：阻斷駕駭下載、C&C 通訊。
- 開啟 DMON 文檔掃描：Office/PDF 腳本/宏病毒防護。
- 啟用 HIPS/高級防護模式：阻止未簽名驅動加載、進程注入、關鍵註冊表修改、MBR/EFI 寫入。
- 設置「嚴格」清理級別：發現 Rootkit 組件自動刪除/隔離，不僅提示。
- 每日自動更新病毒庫 + 程序模塊更新**：ThreatSense 引擎更新同樣關鍵。
- 搭配高性能防火牆：Windows Defender Firewall / Comodo / TinyWall / 硬件防火牆，控制出站連接。
Rootkit 專項檢測工具補充
- GMER：經典反 Rootkit 掃描器，系統深度掃描（SSDT/IDT/GDT/IRP/內核模塊/隱藏進程/文件/註冊表/AD 流）。
- Kaspersky TDSSKiller：專殺 TDSS/Alureon/Rustock/Cutwail 等主流 Rootkit 家族。
- Malwarebytes Anti-Rootkit (MBAR)：免費、易用、掃描驅動/文件/註冊表隱藏項。
- Windows Defender Offline / WinPE 掃描**：離線環境繞過 Rootkit 隱藏機制直接掃描磁盤/註冊表。
總結
Rootkit 雖破壞力不如勒索軟件直觀，但其**隱蔽持久化能力**是 APT 攻擊、銀行木馬、間諜軟件的核心組件。**NOD32 ThreatSense 這類「不依賴特徵庫」的主動防禦技術，配合 HIPS、雲端聯動、離線掃描，是當前端點防禦 Rootkit 的最佳實踐組合。**