Rootkits erklärt: 5 gefährliche Typen, die jeder kennen sollte

Rootkits gehören zur gefährlichsten Malware-Klasse: Sie kapern das gesamte System, deaktivieren Antivirenprogramme und verstecken sich extrem gut. Symptome: unerklärliche Verlangsamung, Bluescreens, seltsame Netzwerkaktivität. Infektionswege: Phishing, Social Engineering, Drive-by-Downloads.

1. User-Mode Rootkits (Anwenderebene)

Infizieren ausführbare Dateien alltäglicher Programme (Editor, Office, Browser). Aktivieren sich beim Programmstart. Der Nutzer merkt nichts – der Angreifer erhält Kontrolle. Bekannte Beispiele: Hacker Defender, Aphex, Vanquish. Erkennung: Vergleichsweise einfach – gute AV-Scanner finden sie.

2. Kernel-Mode Rootkits (Kernelebene)

Infizieren den OS-Kernel selbst. Können Systemfunktionen hinzufügen, entfernen, manipulieren, weitere Malware nachladen. Beispiel: ZeroAccess (2011) – infizierte >2 Mio. Systeme, baute Botnet für Klickbetrug/DDoS, lud weitere Malware nach. Erkennung schwer, da sie auf derselben Privilegienebene wie der Scanner laufen.

3. Bootloader Rootkits (Boot-Ebene)

Infizieren Master Boot Record (MBR) oder Volume Boot Record (VBR). Laden vor dem OS – kontrollieren den Startprozess vollständig. Die meisten AV-Scanner prüfen Bootsektoren nicht standardmäßig. Beispiele: Stoned Bootkit, Rovnix, Olmasco. Entfernung oft nur über Boot-Medien möglich.

4. Memory Rootkits (RAM-Ebene)

Verstecken sich ausschließlich im Arbeitsspeicher (RAM). Keine Dateien auf Festplatte → keine klassischen Scans. Verursachen starke Verlangsamung (Ressourcenverbrauch). Vorteil: Verschwinden bei Neustart (RAM flüchtig). Nicht für Persistenz gedacht.

5. Firmware Rootkits (Hardware-Ebene)

Infizieren BIOS/UEFI, Festplatten-Controller, Netzwerkkarten-Firmware. Härteste Klasse: Überleben Neuinstallation, Festplattenwechsel, sogar Mainboard-Tausch (bei NIC-Firmware). Können Tastatureingaben loggen, Traffic mitschneiden, kryptografische Schlüssel stehlen. Reales Beispiel: 2008 nutzten Kriminelle in Pakistan/China Firmware-Rootkits für Kreditkartendiebstahl – Schaden: zig Millionen Dollar.

Schutz & Erkennung

• UEFI Secure Boot aktivieren (schützt Bootloader).
• Firmware-Updates vom Hersteller einspielen.
• Spezialisierte Scanner (z. B. GMER, Kaspersky TDSSKiller, Windows Defender Offline).
• Verhaltensbasierte Erkennung (EDR/XDR) statt nur Signaturen.
• Bei Verdacht: Offline-Scan von bootbarem Medium.