Rootkits: software malicioso que se esconde de si

A maior parte do software malicioso quer fazer alguma coisa: roubar, cifrar, espiar. Um rootkit quer não ser visto enquanto isso acontece. O NIST define um rootkit como um conjunto de ferramentas usado por um atacante depois de obter acesso de nível root a uma máquina, para esconder as atividades do atacante e manter o acesso privilegiado por meios encobertos. O nome vem do Unix, onde “root” é a conta de administrador todo-poderosa, e um “kit” era o conjunto de ferramentas modificadas que um intruso deixava para manter esse poder discretamente.

Duas tarefas: persistência e dissimulação

Um rootkit combina normalmente duas capacidades. A persistência significa sobreviver a reinícios e atualizações, para que o atacante não perca o acesso. A dissimulação significa esconder ficheiros, processos e ligações de rede das próprias ferramentas que usaria para os procurar. O MITRE ATT&CK descreve o segundo truque diretamente: os rootkits escondem a presença de programas, ficheiros, ligações de rede e serviços intercetando e modificando as chamadas do sistema operativo que os reportam. Se a parte do sistema a que pergunta “o que está a correr?” foi adulterada, pode simplesmente omitir a resposta.

Quanto mais fundo, mais difícil de encontrar

A regra geral é que o código que corre num nível mais baixo e mais privilegiado consegue enganar o código que corre acima dele. É por isso que os rootkits apontam o mais baixo possível, e é por isso que os defensores investem tanto esforço em tornar os níveis mais baixos de um computador resistentes a adulterações.

Como o macOS reage

O macOS moderno foi construído para negar aos rootkits os sítios onde costumavam esconder-se. A Apple documenta várias camadas no seu guia de Segurança da Plataforma:

• A Proteção da Integridade do Sistema (SIP) impede até a conta de administrador de modificar partes protegidas do sistema, como pastas e processos do sistema. A Apple recomenda mantê-la ativa.
• O volume do sistema é selado e assinado: no arranque, o macOS verifica se os ficheiros do sistema são exatamente os que a Apple distribuiu e recusa usar um sistema modificado.
• O arranque seguro nos Macs com Apple silicon (e nos Macs com o chip T2) verifica cada etapa do processo de arranque antes de a executar, para que nenhum código se consiga infiltrar antes do sistema operativo.
• As extensões de kernel de terceiros estão restringidas e exigem aprovação explícita; a Apple passou a maior parte do que faziam para extensões de sistema, que correm fora do kernel.

Em conjunto, estas camadas tornam o rootkit de kernel clássico muito mais difícil de instalar num Mac atual com as definições predefinidas. É também por isso que os atacantes tendem hoje a ficar ao nível do utilizador e a apoiar-se em truques de persistência como elementos de início de sessão e agentes de arranque, que não precisam de quebrar os selos do sistema.

Persistência que pode verificar por si

Como os rootkits profundos são difíceis de instalar, a maior parte da persistência nos Macs de hoje é visível se souber onde procurar. O macOS lista os elementos de início de sessão e os elementos em segundo plano nas Definições do Sistema, em Geral e depois Elementos de início de sessão e extensões, e avisa quando é acrescentado um novo elemento em segundo plano. Tudo o que lá estiver e que não reconheça merece um olhar mais atento. O MITRE ATT&CK cataloga os launch agents e launch daemons como técnicas de persistência comuns no macOS exatamente por esta razão.

Porque é que a rede continua a dizer a verdade

Um rootkit pode mentir aos programas da mesma máquina, mas normalmente continua a precisar de falar com o seu operador. Esse tráfego tem de atravessar a rede. Uma firewall por app que está na própria camada de filtragem do sistema operativo vê as ligações à medida que o sistema as trata, e um router ou outro dispositivo na rede vê-as de fora, onde o rootkit não tem controlo. O filtro de rede da FireAI é uma extensão de sistema da Apple; mostra que app está por trás de cada ligação e pergunta antes de novas apps se ligarem. Não é um detetor de rootkits e não consegue ver através de um kernel comprometido, mas tráfego inexplicado de um processo que não consegue justificar é um dos sinais clássicos de que algo se está a esconder.

Não só computadores: routers e outros dispositivos

Os implantes ao estilo rootkit não se limitam aos portáteis. Os routers domésticos, as caixas de armazenamento em rede e outros dispositivos sempre ligados correm os seus próprios pequenos sistemas operativos, muitas vezes atualizados raramente ou nunca. Os atacantes visaram-nos repetidamente porque estão em cada ligação e poucas pessoas alguma vez os verificam. Manter o firmware do router atualizado, mudar a palavra-passe de administrador predefinida e desativar a administração remota que não usa fecha as portas mais comuns. Isto também explica porque é valioso olhar para o tráfego a partir de mais do que um sítio: um problema que vive no router não aparece em nenhuma análise do Mac.

Se suspeitar de um rootkit

• Parta do princípio de que as ferramentas do próprio sistema podem não dizer a verdade; examine-o de fora sempre que possível.
• Confirme que a Proteção da Integridade do Sistema está ativa (a Apple documenta como) e mantenha o macOS atualizado.
• Reveja Elementos de início de sessão e extensões à procura de entradas desconhecidas.
• Perante uma suspeita séria, a solução fiável é fazer cópia de segurança dos seus documentos (não das apps nem dos ficheiros do sistema), apagar o Mac, reinstalar o macOS a partir da Apple e restaurar apenas os seus dados.
• Se a ameaça for dirigida, por exemplo contra um jornalista ou ativista, procure ajuda especializada e considere o Modo de bloqueio.