Questão FC406923
Um rootkit tem a capacidade de efetuar diversas modificações em um sistema com o intuito de dissimular sua presença, tornando, assim, mais árdua a tarefa do usuário de detectar sua
Ameaças aos Sistemas Computacionais
FGV · 2024
Um rootkit tem a capacidade de efetuar diversas modificações em um sistema com o intuito de dissimular sua presença, tornando, assim, mais árdua a tarefa do usuário de detectar sua existência e discernir as alterações realizadas.
A classificação de um rootkit pode ser determinada com base nas seguintes características:
- persistente e resiliente;
- modo local e persistente;
- modo local e modo de kernel;
- baseado em máquina virtual e resiliente;
- modo de kernel e baseado em máquina virtual.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A alternativa correta aponta duas formas de classificação: modo de kernel e baseado em máquina virtual. Um rootkit em modo de kernel opera com privilégios do núcleo do sistema, podendo alterar tabelas de chamadas, carregar módulos maliciosos ou manipular estruturas internas do SO para ocultar processos, arquivos e conexões.
Esses artefatos agem abaixo das ferramentas de usuário, tornando a detecção mais difícil, pois interceptam e adulteram respostas do próprio kernel.
Já um rootkit baseado em máquina virtual (ou em hypervisor) posiciona-se abaixo do sistema operacional, virtualizando-o e controlando sua execução. Pelo nível inferior, ele pode monitorar e modificar o SO hospedeiro sem ser visível a partir dele.
Ambos os tipos aumentam a persistência e exigem técnicas avançadas de análise (integridade do kernel, verificações fora do contexto do SO ou detecção de hypervisor) para serem identificados e removidos.
Conteúdo do catálogo FC Concursos · Atualizado em