রুটকিট ও পার্সিস্টেন্স মেকানিজম

১ · রুটকিট কী — এবং কেন "হাইডিং"-ই এর মূল লক্ষ্য

একটি সাধারণ ম্যালওয়্যারের লক্ষ্য সরাসরি ক্ষতি করা (ফাইল চুরি, এনক্রিপ্ট ইত্যাদি)। কিন্তু একটি রুটকিট (Rootkit)Rootkitনিজের এবং প্রায়ই অন্য ম্যালওয়্যারের উপস্থিতি স্বাভাবিক ডিটেকশন টুল থেকে সক্রিয়ভাবে লুকানোর জন্য ডিজাইন করা ম্যালওয়্যার। -এর প্রাথমিক লক্ষ্য সম্পূর্ণ ভিন্ন — এটি নিজের উপস্থিতিই লুকিয়ে রাখতে চায়, যাতে অন্য ম্যালওয়্যার বা আক্রমণকারীর অ্যাক্সেস দীর্ঘদিন অলক্ষিত থাকতে পারে।

ইউজার-মোড রুটকিট সাধারণ ব্যবহারকারীর প্রিভিলেজে চলে এবং তুলনামূলক সহজে সনাক্তযোগ্য। কিন্তু কার্নেল-মোড রুটকিট OS-এর সবচেয়ে প্রিভিলেজড স্তরে কাজ করে — এটি ঠিক সেই API কল (প্রসেস তালিকা, ফাইল তালিকা ইত্যাদি) নিজেই ইন্টারসেপ্ট করে মিথ্যা তথ্য দিতে পারে, যা একটি ডিটেকশন টুল তার অস্তিত্ব খুঁজতে ব্যবহার করে। ফলাফল: টুলটি নিজেই যাকে জিজ্ঞেস করছে, সেই OS-ই তাকে মিথ্যা বলছে।

২ · পার্সিস্টেন্স মেকানিজম — কীভাবে ম্যালওয়্যার রিবুটের পরও টিকে থাকে

পার্সিস্টেন্স (Persistence)Persistenceরিবুট বা লগ-অফের পরও ম্যালওয়্যার কীভাবে টিকে থাকে বা নিজের অ্যাক্সেস পুনঃস্থাপন করে। মানে একটি সিস্টেম রিস্টার্ট হওয়ার পরও ম্যালওয়্যারের অ্যাক্সেস টিকে থাকা বা নিজে থেকে পুনরায় চালু হওয়া। চারটি সাধারণ মেকানিজম —

এই ঠিক এই জায়গাগুলোই একজন ইনসিডেন্ট রেসপন্ডার প্রথমে পরীক্ষা করেন যখন একটি সিস্টেমে চলমান আপস (compromise) সন্দেহ করা হয় (M10-এর ইনসিডেন্ট রেসপন্স লাইফসাইকেলের সাথে সরাসরি সম্পর্কিত)।

৩ · প্রতিরক্ষা — ইন্টিগ্রিটি মনিটরিং ও EDR

যেহেতু একটি কার্নেল-মোড রুটকিট চলমান OS-কেই মিথ্যা বলাতে পারে, প্রতিরক্ষা কৌশলগুলো OS-এর নিজের রিপোর্টের উপর সম্পূর্ণ নির্ভর না করার দিকে ঝোঁকে —

• ইন্টিগ্রিটি মনিটরিং — স্টার্টআপ এন্ট্রি, গুরুত্বপূর্ণ সিস্টেম ফাইল বা রেজিস্ট্রি অঞ্চলের একটি known-good বেসলাইন (হ্যাশসহ, L01/L28-এর ধারণা পুনরায় ব্যবহার করে) রেখে অপ্রত্যাশিত পরিবর্তন সনাক্ত করা।
• EDR (Endpoint Detection and Response) — এন্ডপয়েন্ট-স্তরের আচরণ ক্রমাগত পর্যবেক্ষণ ও বিশ্লেষণ করার আধুনিক টুলিং (মেনশন-স্তরে)।
• অফলাইন/এক্সটার্নাল স্ক্যানিং — বিশ্বস্ত এক্সটার্নাল মিডিয়া থেকে বুট করে সন্দেহভাজন সিস্টেম স্ক্যান করা, যেহেতু রুটকিটটি তখন চলমান নেই এবং স্ক্যানারকে মিথ্যা বলার কোনো উপায় থাকে না।

৪ · Code cell — পার্সিস্টেন্স ডিটেকশন সিমুলেশন

নিচের কোডটি L09-এর ARP-স্পুফিং ডিটেকশন প্যাটার্নের মতোই — একটি known-good বেসলাইনের সাথে বর্তমান অবস্থা তুলনা করে অপ্রত্যাশিত এন্ট্রি চিহ্নিত করে। সম্পূর্ণ ইন-মেমরি সিমুলেশন, কোনো বাস্তব ফাইলসিস্টেম বা রেজিস্ট্রি স্পর্শ করা হচ্ছে না।

import copy

baseline_state = {
    "startup_entries": [
        "WindowsDefender - C:\\Program Files\\Windows Defender\\MSASCui.exe",
        "OneDrive - C:\\Users\\User\\AppData\\Local\\Microsoft\\OneDrive\\OneDrive.exe",
    ]
}

def add_persistence(state, entry):
    """একটি নতুন স্টার্টআপ এন্ট্রি যোগ করে — বৈধ ইনস্টল বা ম্যালওয়্যার persistence, উভয়ই এভাবে ঘটে।"""
    state["startup_entries"].append(entry)
    return state

def detect_new_persistence(current_state, baseline_state):
    """বেসলাইনের সাথে তুলনা করে অপ্রত্যাশিত নতুন এন্ট্রি চিহ্নিত করে — ইন্টিগ্রিটি-মনিটরিং লজিক।"""
    baseline_set = set(baseline_state["startup_entries"])
    current_set = set(current_state["startup_entries"])
    return list(current_set - baseline_set)

current_state = copy.deepcopy(baseline_state)

print("বেসলাইন স্টার্টআপ এন্ট্রি:")
for entry in baseline_state["startup_entries"]:
    print(" -", entry)

suspicious_entry = "svchost32 - C:\\Users\\Public\\AppData\\svchost32.exe"
add_persistence(current_state, suspicious_entry)

print()
print("বর্তমান স্টার্টআপ এন্ট্রি (সম্ভাব্য সংক্রমণের পর):")
for entry in current_state["startup_entries"]:
    print(" -", entry)

new_entries = detect_new_persistence(current_state, baseline_state)
print()
print("বেসলাইনের বাইরে নতুন এন্ট্রি সনাক্ত হলো:", new_entries)