Rootkit

Définition

Un rootkit est un ensemble d'outils logiciels conçus pour dissimuler la présence d'un attaquant, d'un malware ou d'une activité malveillante sur un système compromis, en interceptant et modifiant à un niveau profond les mécanismes normaux d'observation du système d'exploitation : appels système, listes de processus, entrées de fichiers, clés de registre ou connexions réseau. Le terme dérive de la combinaison de « root », l'accès administrateur sous Unix, et « kit », l'ensemble d'outils déployés une fois cet accès privilégié obtenu, condition généralement préalable à l'installation efficace d'un rootkit. Les rootkits se classent selon leur niveau d'intervention : les rootkits en espace utilisateur (userland), qui interceptent les appels de bibliothèques applicatives, plus faciles à détecter mais aussi à déployer, les rootkits en espace noyau (kernel-mode), qui modifient directement les structures internes du noyau ou interceptent la table d'appels système, offrant une dissimulation beaucoup plus profonde et difficile à détecter par les outils de sécurité classiques, et les bootkits, qui s'installent au niveau du chargeur de démarrage pour prendre le contrôle avant même le chargement complet du système d'exploitation. La détection repose sur l'analyse forensique hors ligne d'un support de stockage monté depuis un système sain, l'analyse mémoire avec des outils comme Volatility, ou des mécanismes de vérification d'intégrité matérielle comme Secure Boot et l'attestation TPM.