In quale fase di un attacco informatico un hacker potrebbe usare un rootkit?

Nel panorama delle minacce informatiche, i rootkit sono uno degli strumenti più insidiosi nelle mani degli attaccanti: software progettati per ottenere il controllo amministrativo (o “root”) di un sistema, nascondersi in profondità ed eludere la rilevazione.

La risposta breve alla domanda del titolo: un hacker utilizza un rootkit subito dopo aver compromesso il sistema, nella fase di installazione del payload, per poi sfruttarlo nelle fasi successive di comando e controllo ed esecuzione, dove il rootkit garantisce persistenza e invisibilità. Vediamo nel dettaglio come funziona.

1. Che cos’è un rootkit?
2. Le fasi di un attacco informatico
3. In quali fasi l’hacker usa il rootkit
4. Casi reali: Stuxnet, Sony BMG e Operation Aurora
5. Come difendersi
6. Conclusioni

Che cos’è un rootkit?

Un rootkit è un insieme di software che, una volta installato su un dispositivo, concede all’attaccante l’accesso amministrativo al sistema. Ne esistono varie tipologie, ognuna con specifiche modalità di infiltrazione:

• rootkit kernel-mode: risiedono a livello del kernel del sistema operativo, manipolano direttamente le funzioni core e sono quasi invisibili;
• rootkit user-mode: operano nello spazio utente, intercettando e modificando le chiamate di sistema standard;
• bootkit: si inseriscono nel processo di avvio, alterando il bootloader per eseguirsi prima che il sistema operativo si carichi completamente.

A differenza di altri malware che puntano a danni immediati o furto rapido di dati, i rootkit sono progettati per garantire persistenza e occultamento: una base stabile per attività prolungate nel tempo.

Le fasi di un attacco informatico

Per capire dove entra in gioco il rootkit, serve la mappa completa. Un attacco informatico strutturato si suddivide generalmente in sette fasi:

1. Ricognizione: l’attaccante raccoglie informazioni sul bersaglio per identificarne le vulnerabilità;
2. weaponization: sviluppo o acquisizione di un exploit mirato a quelle vulnerabilità;
3. consegna: trasmissione dell’exploit al sistema target, ad esempio via email o siti compromessi;
4. sfruttamento: attivazione dell’exploit per guadagnare l’accesso al sistema;
5. installazione: immissione di un payload nel sistema — spesso proprio un rootkit;
6. comando e controllo (C2): creazione di un canale per gestire da remoto il malware installato;
7. azioni sull’obiettivo: uso del sistema compromesso per furto di dati, spionaggio o attacchi verso altri sistemi.

In quali fasi l’hacker usa il rootkit

Il rootkit entra in scena nella fase 5 e resta protagonista fino alla fine dell’attacco:

1. Installazione: subito dopo lo sfruttamento della vulnerabilità, l’attaccante impianta il rootkit nel sistema. I rootkit kernel-mode, ad esempio, vengono installati sfruttando falle a livello di sistema operativo, per un controllo profondo e duraturo. L’installazione è progettata per essere invisibile ad antivirus e strumenti di sicurezza;
2. comando e controllo (C2): il rootkit stabilisce un canale di comunicazione persistente e occulto tra sistema compromesso e attaccante, che può eseguire comandi, scaricare altri malware o esfiltrare dati senza destare sospetti. In pratica agisce come una backdoor che resta aperta anche dopo che la vulnerabilità originaria è stata corretta;
3. esecuzione: nella fase finale il rootkit copre le attività dannose vere e proprie — dalla creazione di account fittizi con privilegi elevati all’intercettazione del traffico di rete, fino alla manipolazione dei processi di sistema.

Casi reali: Stuxnet, Sony BMG e Operation Aurora

L’uso dei rootkit negli attacchi non è teoria. Tre casi celebri:

• Stuxnet: il worm che colpì le centrifughe nucleari iraniane usava componenti rootkit per nascondere i propri moduli e mantenere l’accesso ai sistemi industriali. Ne abbiamo parlato nell’approfondimento sul caso Stuxnet;
• lo scandalo Sony BMG: nel 2005 Sony BMG installò un rootkit su milioni di CD musicali per contrastare la pirateria — aprendo involontariamente vulnerabilità nei computer di chiunque inserisse quei CD;
• Operation Aurora: l’attacco coordinato contro Google e altre aziende tecnologiche, in cui i rootkit servirono a mantenere l’accesso persistente ai sistemi compromessi.

E la tecnica resta attuale: casi recenti come il rootkit Curing per sistemi Linux dimostrano che l’evoluzione non si è fermata.

Come difendersi

Sapere in quale fase agisce il rootkit indica anche dove difendersi:

• prima dell’installazione: chiudere le vulnerabilità con aggiornamenti costanti e proteggere gli endpoint con soluzioni professionali capaci di scansione all’avvio;
• durante il C2: monitorare il traffico di rete — le comunicazioni verso l’esterno sono spesso l’unico segnale visibile di un rootkit attivo;
• dopo la scoperta: seguire una procedura di rimozione rigorosa. Abbiamo dedicato una guida a come individuare e rimuovere un rootkit.

Conclusioni

Il rootkit non apre l’attacco: lo consolida. Entra nella fase di installazione e da lì copre tutto ciò che segue, trasformando una singola vulnerabilità sfruttata in un accesso permanente e invisibile. Comprenderne il ruolo nelle fasi dell’attacco non è solo materia da specialisti: è il punto di partenza per costruire difese che agiscano prima, durante e dopo — perché contro un malware progettato per non farsi vedere, l’unica strategia vincente è non farlo entrare.