RootkitRevealer es una herramienta avanzada de detección de rootkits desarrollada por Mark Russinovich.
Este programa está diseñado para funcionar en sistemas operativos Windows XP (32 bits) y Windows Server 2003 (32 bits). Su principal función es listar las discrepancias en la API del registro y del sistema de archivos que pueden indicar la presencia de un rootkit, ya sea en modo usuario o en modo kernel.
Funcionamiento de RootkitRevealer
El funcionamiento de RootkitRevealer se basa en la comparación entre los resultados de un escaneo del sistema a nivel más alto (API de Windows) y los datos crudos del sistema de archivos o del registro.
Los rootkits persistentes suelen manipular los resultados devueltos por la API de Windows para ocultar su presencia. Por lo tanto, RootkitRevealer puede detectar estas discrepancias al comparar la información obtenida mediante la API con la que se obtiene directamente desde el almacenamiento físico.
Tipos de Rootkits detectados
RootkitRevealer es capaz de detectar varios tipos de rootkits persistentes, como AFX, Vanquish y HackerDefender. Sin embargo, no está diseñado para detectar rootkits que no intentan ocultar sus archivos o claves del registro, como el rootkit Fu.
La herramienta ha sido actualizada para ejecutar su escaneo desde una copia renombrada aleatoriamente que funciona como un servicio de Windows, lo que dificulta que los autores de malware apunten específicamente a su ejecución.
Limitaciones y consideraciones
Aunque RootkitRevealer es eficaz para identificar muchas formas comunes de rootkits, no hay una forma infalible de determinar la presencia de un rootkit dentro de un sistema operativo en ejecución.
Un rootkit en modo kernel puede controlar cualquier aspecto del comportamiento del sistema, lo que significa que incluso las lecturas directas realizadas por herramientas como RootkitRevealer pueden ser comprometidas. Para obtener resultados más confiables, se recomienda realizar escaneos fuera de línea utilizando un entorno seguro.
Uso práctico
Para utilizar RootkitRevealer, se requiere que la cuenta desde la cual se ejecuta tenga privilegios específicos asignados. Se aconseja ejecutar el programa en un sistema inactivo para minimizar los falsos positivos. Al iniciar el escaneo manualmente, el usuario puede observar las acciones reportadas y analizar cualquier discrepancia encontrada.
En resumen, RootkitRevealer es una herramienta esencial para detectar rootkits en sistemas Windows, proporcionando una manera efectiva de identificar software malicioso que intenta ocultarse.
Descargar RootkitRevealer
- Versión: Free
- Página Oficial: https://learn.microsoft.com/es-es/sysinternals/downloads/rootkit-revealer
- Plataforma: Windows NT/2000/XP
- Soporte: