Discussion:Rootkit

message: Je pense qu'il y un nouveau rootkit à ajouter à la liste : Sony DRM
http://www.theinquirer.net/?article=27349 
http://www.sysinternals.com/blog/2005/10/sony-rootkits-and-digital-rights.html
Ca n'est cependant pas un rootkit au sens propre du terme mais un logiciel non malicieux qui utilise une technique similaire pour cacher sa présence à l'utilisateur.
"L’installation d’un « rootkit » nécessite des droits administrateurs sur la machine, notamment à cause des modification profondes du système qu’il engendre. Cela signifie que le pirate doit initialement disposer d’un accès frauduleux, avec les droits du « root » sous linux par exemple, afin de mettre en place son « rootkit »."
J'ai toujours pensé que c'était le contraire : un rootkit s'installe sous un compte utilisateur et modifie suffisament le système pour s'approprier des droits administrateur.
En ce sens, le Rootkit de Sony ne serait pas un véritable Rootkit puisqu'il suffit d'être connecté en simple utilisateur pour empêcher son installation.
Et en ce sens, tous les "rootkit" du genre de ce de Sony ne sont pas plus inquiétants que les autres spywares puisqu'il suffirait de ne pas utiliser le compte administrateur (ce que tout le monde devrait faire) pour prévenir leur installation.
Or, tout le monde dit que les rootkits sont la prochaine grosse menace, qu'ils sont indétectables, invisibles, etc... Pas plus qu'un bon trojan, finalement ?
Pour l'article en lui-même, je pense qu'il est important de donner une définition "étymologique" (root équivalant sous Unix au compte administrateur sous windows) et j'aurais plutôt commencé par l'histoire des rootkits sous Unix, au lieu de terminer par eux.
C'est juste mon avis perso.
: Ca n'est cependant pas un rootkit au sens propre du terme mais un logiciel non malicieux qui utilise une technique similaire pour cacher sa présence à l'utilisateur.
C'est exactement ça un rootkit : un logiciel qui cache sa présence à l'utilisateur. Et puisqu'il fonctionne à l'insu de l'utilisateur, il est bien malicieux (ou alors on m'expliquera ce que signifie malicieux).
: un rootkit s'installe sous un compte utilisateur et modifie suffisament le système pour s'approprier des droits administrateur
Non, ça c'est une élévation de privilèges. Normalement cela ne doit pas être possible, par définition : si un utilisateur peut modifier le "système", c'est qu'il possède de facto des droits équivalents à ceux d'un administrateur (puisqu'il peut les obtenir indirectement), alors qu'il n'est pas censé les avoir. C'est bel et bien une faille de sécurité.
Un rootkit ne pénètre pas dans un système informatique, ni n'élève ses privilèges; par définition, il suppose des privilèges suffisant au départ pour fonctionner. Il sert typiquement après une attaque informatique, quand des privilèges élevé ont été obtenus via une faille de sécurité. Il peut aussi servir à masquer le fait qu'un cheval de Troie devient résidant. En gros il permet la persistance du contrôle frauduleux d'un ordinateur après la prise de contrôle elle-même (par une brèche dans la sécurité).
--Wcorrector (d) 24 novembre 2007 à 03:36 (CET)
thread_title:  Sony DRM 

message: Bonjour,
J'ai relu l'article, qui me semble complet. Par contre comme je suis « dans le milieu », je ne suis peut-être pas objectif sur l'accessibilité de l'article par le commun des mortels. Sinon il manque des sources pour le paragraphe prévention. Pour le BA, à mon avis ça pourrait passer. Ça serait plus facile avec une photo en gros plan d'un rootkit en milieu sauvage, mais bon ...  Mafiou44 (d) 3 mars 2010 à 09:41 (CET)
replies: text: Bonjour et merci pour la relecture ! Je ne vise pas encore l'AdQ, je suis un assez modeste contributeur, cela dit je veux apprendre et être progresser, mais aussi relancer un peu le portail sécurité. Pour le niveau de lecture, c'est vrai que c'est dur de juger. Pour les sources, je vais essayer d'en trouver, c'est vrai que ça manque un peu. Pour la photo du rootkit, je vais tenter d'en faire une en me plongeant dans l'ordi de mon frangin --Janiko (d) 3 mars 2010 à 09:48 (CET)
thread_title:  Relecture 

message: Comment un cheval de troie permet à un rootkit (ou autre malware d'ailleurs) de se propager ? (paragraphe 2.1) Un malware qui se propage par le réseau est un ver. Il me semble qu'un cheval de troie va permettre d'établir un canal caché (fuite d'information, backdoor...), mais ne va pas permettre directement la propagation d'un malware. Qu'en pensez-vous ? —Shiningfm (d) 28 mars 2010 à 22:21 (CEST)
replies: text: En gros, dans le cas d'un cheval de Troie, c'est le cas classique : on tente de leurrer l'utilisateur (en lui envoyant un mail, en remplaçant un programme légitime sur un site de téléchargement par un autre, etc.) pour ouvrir une porte dérobée, installer un exécutable, etc. Je ne sais pas si c'est utile de trop détailler ce point ici : en effet, la contamination d'un système par un rootkit ne demande pas de technique particulière, c'est-à-dire qu'un rootkit utilise les techniques classiques des virus et autres programmes malveillants. --Janiko (d) 28 mars 2010 à 23:00 (CEST)
thread_title:  Cheval de troie 

message: En relisant l'article, j'ai commencé à passer au passé (sic ;-) une partie du paragraphe sur le rootkit Sony. J'avoue avoir ensuite hésité à continuer, mais bon... Le truc c'est que je suppose que XCP n'agit plus en tant que DRM (je ne pense pas que Sony continue d'exploiter les infos ni même de les récolter), mais d'un autre côté à partir du moment où un programme est gravé sur un CD, il reste à demeure... Ca ne me dérange pas de laisser au présent (vu que j'ai hésité, de toute façon), mais sait-on s'il reste beaucoup de CD en circulation ?  --Janiko (d) 23 avril 2010 à 09:27 (CEST)
replies: text: Il n'y a eu des rappels (ou simplement compensation) que dans certains pays (où il y a eu condamnation) ; et puis il subiste certainement encore des machines infectées. Àmha, c'est encore trop récent pour passer au passé ^^. Pour les explications sur le fonctionnement de XCP, il s'agit de véritées générales (atemporelles) : si quelqu'un installe XCP dans 20 ans sur sa machine, il se produira toujours la même chose (installation et exécution silencieuse, envoie de messages à un serveur... probablement mort). C'est l'utilisation de XCP qui est du passé. Romainhk (QTx10) 23 avril 2010 à 12:21 (CEST)
thread_title:  Rootkit Sony : passé ou présent 

message: ... , par exemple dans "Mode opératoire", pour expliquer les différence entre rootkit et virus, cheval de troie, etc. Les explications sont déjà plus ou moins présentes dans l'article mais on pourrait les regrouper ? Romainhk (QTx10) 23 avril 2010 à 13:09 (CEST)
replies: text: J'ai vu qu'il y avait un tel paragraphe dans le wiki anglais, mais je ne suis pas trop convaincu. En fait un rootkit ne se compare pas directement aux virus, chevaux de Troie et autres : il en implémente les techniques (ou certaines d'entre elles), mais tout en ayant comme objectif principal de rester dissimulé. Pour l'instant je ne vois pas ce qu'on pourrait dire dans ce paragraphe qui ne soit pas une redite.  --Janiko (d) 23 avril 2010 à 15:41 (CEST)
replies: text: Ok, dans ce cas un paragraphe serait un peu long. Par contre, en faisant des recherches sur le net, j'ai vu que l'amalguame virus-rootkit était très courant donc j'ai juste ajouté ", à la différence des autres logiciels malveillants" dans l'intro pour pousser le lecteur à lire le chapitre "contamination" qui explique un peu plus la différence. Romainhk (QTx10) 24 avril 2010 à 10:16 (CEST)
thread_title:  Ajouter un chapitre "Différences avec" 

message: Deux chercheurs de la North Carolina State University vont publier (18 mai) des travaux sur une méthode de sécurisation des hyperviseurs. Leur outil, appelé HyperSafe, est censé protéger contre des attaques de type Blue Pill (merci Matrix !) ; il fonctionne aujourd'hui sous Xen et BitVisor, et devrait être porté sur des hyperviseurs de type 1 comme VMWare ESX et Microsoft Hyper-V. Article ici et publication ici (« HyperSafe: A Lightweight Approach to Provide Lifetime Hypervisor Control-Flow Integrity »).
:A ajouté un paragraphe sur Blue Pill et HyperSafe. Romainhk (QTx10) 11 mai 2010 à 12:11 (CEST)
thread_title:  Niveau hyperviseur 

message: bonjour. je vois que dans l'historique des rootkit on cite back orifice c'est hors contexte et cela fait partie de l'histoire des trojans mais pas des rootkits
Bo quand il est sorti on appelait ça un trojan.(le terme rootkit est apparu bien plus tard) ce n'est pas les mêmes méthodes d'infection et de dissimulation
la virtualisation n'était encore pas possible de même que les méthodes de types "hooks" ou de modification du kernell en live.
BO  n'utilisait pas de méthode furtive et aussi complexe q'un rootkit ce qui fait de lui un simple trojan.
et ce qui a fait aussi de lui un des trojan les plus vite détecté de l'histoire et qui était tout sauf furtif. a part lors des premiers mois de sa propagation.
cela n'était pas du a l'ingéniosité des codeurs mais tout simplement à l'incompétence des développeurs antivirus et des systèmes de détection heuristiques faibles.
on peut citer back orifice comme un trojan qui aurait inspiré les futurs créateurs de rootkits
mais cela n'a jamais été un rootkit
je trouve l'emploi du mot "rootkit" hors contexte pour tout les trojans qui n'utilisent pas une méthode de virtualisation ou de modification du kernell pour se dissimuler
je pense q'il faut appeler un chat un chat. et back orifice est tout sauf un rootkit au niveau de son fonctionnement. 
il n'a pas sa place dans l'histoire des rootkits en tant que rootkit mais en tant que trojan qui inspira ceux qui comme décrit dans l'article de phrack on commencé a chercher des moyens de contourner les systèmes de détections classiques.
la véritable histoire des rootkit commence en 97 comme précisé dans l'article sur le magasine phrack
je sait que je suis un peu pointilleux mais c'est comme si on rédigeait un article sur l'histoire des briquets et qu'on disait
" les premier briquets datent de la préhistoire quand l'homme a inventé le feu" absurde n'est-ce pas ?
on ne peut pas employer un terme qui n'existais pas avant qu'il existe on peut simplement dire que c'etais un précurseur d'une autre invention
:C'est une question toute à fait pertinente en fait ; cela montre que l'article n'est pas suffisamment claire sur ce point . Je vais d'ailleurs ajouter un petit paragraphe reprenant l'explication ci-dessous.
:BO est un rootkit car il s'attaque au ring 0 ; c'est vrai que BO n'est pas spécialement discret ^^ mais tous les rootkits ne le sont pas forcément, mêm si c'est le bur généralement fixé.
:En fait, la distinction entre rootkit et trojan est assez difficile car ils amènent le plus couramment au même résultat : la prise de contrôle d'une machine ; de plus, il ne sont pas plus discret l'un que l'autre.
:La différence se situe au niveau du mode de diffusion : un trojan est un programme qui ne fait pas exactement ce qu'on attend de lui (la définition de :en:Trojan horse (computing) est meilleure) et qui va ouvrir la voie à d'autres infections (comme le VIH en fait), généralement un outil de prise de contrôle y compris pour les autres ring (1, 2 ou 3 pour Unix ; 1 pour Windows, car il n'y a que celui-là ^^), mais cela peut aussi être un keylogger, un spyware, ou autre... C'est un vecteur de diffusion, de contournement de protection, au même titre qu'un virus.
:Un rootkit est un application qui "falsifie" le kernel (soit par hooking, soit moins récemment par falsification des logs et des programmes de l'utilisateur root). Il peut être véhiculé par un virus, une backdoor, un trojan, ou même par un utilisateur particulièrement maso :).
:Pour en revenir à BO, il était généralement véhiculé par un trojan, un quelconque freeware hôte anodin.
:Pour la partie historique, les premiers manipulateurs de log apparaissent en 1989 et des versions modifiées des commandes who ou last existent depuis au moins 1993 ( , p10) ; on parlait déjà de rootkit avant le hooking qu'introduit phrack. Romainhk (QTx10) 10 décembre 2010 à 10:22 (CET)
thread_title:  ambiguïté dans l'historique / mauvaise interprétation du mot rootkit et trojan. 

message: Je suis en totale opposition avec les modifications effectuées par , qui balise dans tout l'article le mot "rootkit" comme étant un mot anglais. Je demande une justification à ces modifications, et demande pourquoi ce mot est utilisé dans tout l'article s'il est anglais ?? Cordialement, Freewol (d) 16 mars 2011 à 06:53 (CET)
replies: text: En l'absence de réactions, et puisque ces modifications qui touchaient tout l'article risquaient d'être plus délicates à annuler si d'autres modifications étaient faites à l'article, je les ai préventivement annulées. Cordialement, Freewol (d) 17 mars 2011 à 13:09 (CET)
thread_title:  langue du mot "rootkit"  

message: L'affirmation « un PC sur 6 en 2008 contient un rootkit » et le lien associé me paraissent peu crédibles, voire douteux.
:Salut! Merci pour la remarque, c'est effectivement très douteux. J'ai retiré le passage ainsi qu'une pub ; j'en ai aussi profité pour revenir sur certaines modifications apportées depuis la labellisation de l'article :
:* spoofing est mieux que usurpation d'identité car il regroupe l'IP spoofing et l'ARP spoofing.
:* "mise au jour" est non "mise à jour" car on parle de leur découverte (et non de mise à niveau). Romainhk (QTx10) 24 avril 2012 à 18:55 (CEST)
thread_title:  Liens suspect 

message: Bonjour aux contributeurs,
Je viens de modifier 1 lien(s) externe(s) sur Rootkit. Prenez le temps de vérifier ma modification. Si vous avez des questions, ou que vous voulez que le bot ignore le lien ou la page complète, lisez cette FaQ pour de plus amples informations. J'ai fait les changements suivants :
*L'archive https://web.archive.org/web/20090223194328/http://www.sans.org/reading_room/whitepapers/honors/linux_kernel_rootkits_protecting_the_systems_1500?show=1500.php&cat=honors a été ajoutée à http://www.sans.org/reading_room/whitepapers/honors/linux_kernel_rootkits_protecting_the_systems_1500?show=1500.php&cat=honors
*Ajout de la balise  à http://www.networkworld.com/news/2010/050710-researchers-to-cure-blue-pill.html?source=nww_rss
*Ajout de la balise  à http://www.thehackademy.net/madchat/vxdevl/avtech/An%20Overview%20of%20Unix%20Rootkits.pdf
*Ajout de la balise  à http://www.security-labs.org/fred/docs/sstic07-rk-article.pdf
SVP, lisez la FaQ pour connaître les erreurs corrigées par le bot.
Cordialement.—InternetArchiveBot (Rapportez une erreur) 23 juillet 2018 à 08:29 (CEST)
thread_title:  Liens externes modifiés