Rootkit

El 23% de las empresas españolas infectadas con malware avanzado en 2025 tenían rootkits activos sin detectar, según ESET Security Report, permaneciendo ocultos durante 156 días de media antes de su descubrimiento forense.

¿Qué es un rootkit?

Un rootkit es un tipo de malware especialmente sigiloso diseñado para:

1. Ocultar su propia presencia en el sistema infectado
2. Ocultar otros programas maliciosos (backdoors, keyloggers, troyanos)
3. Mantener acceso privilegiado persistente para el atacante
4. Evadir detección por antivirus, EDR y herramientas forenses tradicionales

El término proviene de Unix/Linux: “root” (usuario con máximos privilegios) + “kit” (conjunto de herramientas). En Windows, equivale a privilegios de SYSTEM o Administrador.

Diferencia con malware convencional

Tipos de rootkits

1. Rootkits user-mode (espacio de usuario)

Operan con privilegios de aplicación (no kernel), modificando librerías del sistema (DLLs en Windows, shared libraries en Linux):

Técnicas de hooking:

Ejemplo de código malicioso (IAT hooking en Windows):

// Rootkit user-mode que oculta procesos propios
#include <windows.h>

// Puntero a función original
typedef NTSTATUS (WINAPI *pNtQuerySystemInformation)(
    ULONG SystemInformationClass,
    PVOID SystemInformation,
    ULONG SystemInformationLength,
    PULONG ReturnLength
);

pNtQuerySystemInformation OriginalNtQuerySystemInformation = NULL;

// Función hookeada
NTSTATUS WINAPI HookedNtQuerySystemInformation(
    ULONG SystemInformationClass,
    PVOID SystemInformation,
    ULONG SystemInformationLength,
    PULONG ReturnLength
) {
    // Llamar a función original
    NTSTATUS status = OriginalNtQuerySystemInformation(
        SystemInformationClass, SystemInformation,
        SystemInformationLength, ReturnLength
    );

    // Si se está listando procesos, filtrar los del rootkit
    if (SystemInformationClass == SystemProcessInformation) {
        // Recorrer lista de procesos y ocultar "malware.exe"
        // (código simplificado)
    }

    return status;
}

Ventajas para atacante: Fácil de desarrollar, no requiere firma digital de driver.

Debilidades: Detectable con análisis de memoria, puede ser eliminado sin formatear.

2. Rootkits kernel-mode (espacio de kernel)

Operan con máximos privilegios del sistema (Ring 0 en arquitectura x86), modificando el propio kernel:

Técnicas avanzadas:

Ejemplo: Rootkit TDL4/TDSS (2011-2012)

• Infectaba MBR (Master Boot Record) para cargarse ANTES del sistema operativo
• Driver kernel modificaba SSDT para ocultar su presencia
• Resistente a formateo (vivía en MBR fuera de particiones)
• Deshabilitaba antivirus y actualizaciones de Windows

Indicadores forenses:

• Procesos con PID válido pero sin ejecutable en disco
• Drivers no firmados o con firma revocada
• Modificaciones en SSDT detectables con System Service Descriptor Table scan

3. Bootkits (rootkits de bootloader)

Infectan el proceso de arranque del sistema (MBR, VBR, UEFI):

Bootkits históricos:

Técnicas de detección forense

Análisis de comportamiento

Los rootkits no pueden ocultar TODO su comportamiento. Señales detectables:

Análisis de memoria con Volatility

El análisis forense de RAM es la técnica más efectiva contra rootkits:

# 1. Captura de memoria física (antes de apagar equipo)
winpmem_mini_x64.exe memory.raw

# 2. Identificar perfil del sistema
volatility -f memory.raw imageinfo

# 3. Detectar procesos ocultos (DKOM)
volatility -f memory.raw --profile=Win10x64_19041 pslist > visible_processes.txt
volatility -f memory.raw --profile=Win10x64_19041 psscan > all_processes.txt
diff visible_processes.txt all_processes.txt  # Procesos ocultos

# 4. Detectar hooks en SSDT (rootkits kernel)
volatility -f memory.raw --profile=Win10x64_19041 ssdt | grep -v "ntoskrnl.exe"

# 5. Listar drivers cargados (incluidos rootkit drivers)
volatility -f memory.raw --profile=Win10x64_19041 driverscan

# 6. Detectar código inyectado (malfind)
volatility -f memory.raw --profile=Win10x64_19041 malfind -D dump/

# 7. Analizar conexiones de red ocultas
volatility -f memory.raw --profile=Win10x64_19041 netscan

Hallazgos típicos de rootkit:

• Proceso con PID 1234 visible en psscan pero no en pslist → DKOM ocultación
• Driver C:\Windows\System32\drivers\svchost.sys sin firma digital → Driver rootkit
• Hooks en NtQuerySystemInformation apuntando a módulo desconocido → SSDT hook

Escáneres anti-rootkit especializados

Marco legal español

Código Penal

Los rootkits son herramientas típicas en delitos informáticos graves:

Agravantes (Art. 264.4 CP):

• Afectación a infraestructuras críticas: +50% pena
• Daños especialmente graves (pérdida datos masiva): +50% pena
• Ánimo de lucro (ransomware con rootkit): +50% pena

Jurisprudencia relevante

SAN 28/2018 (Audiencia Nacional): Condena por instalar rootkit en sistema bancario para robar credenciales. La sentencia establece que:

“El uso de rootkits constituye dolo directo en delitos informáticos, dada su única finalidad de evasión de controles de seguridad y permanencia oculta, demostrando intencionalidad criminal clara.”

Pena: 4 años prisión + inhabilitación profesional + indemnización €87,000.

SAP Madrid 342/2020: Admite como prueba pericial análisis de memoria RAM que detectó rootkit DKOM. La sentencia valida:

• Análisis Volatility como metodología científica reproducible
• Volcado de memoria como evidencia digital legítima
• Cadena de custodia desde captura RAM hasta informe pericial

RGPD y rootkits

Si el rootkit comprometió datos personales:

• Notificación obligatoria (Art. 33 RGPD): 72 horas para notificar brecha a AEPD
• Comunicación a interesados (Art. 34 RGPD): Si hay alto riesgo para derechos
• Análisis de impacto (Art. 35 RGPD): Documentar alcance del compromiso
• Medidas técnicas (Art. 32 RGPD): Demostrar controles de seguridad y respuesta adecuada

Herramientas forenses para análisis de rootkits

Suite de detección y análisis

Metodología forense completa

Caso práctico: Rootkit en empresa de ingeniería

Contexto: Empresa de ingeniería civil (150 empleados, Sevilla) detecta exfiltración de planos CAD a competidor. Pérdida estimada: €420,000 en licitaciones perdidas. Denuncia penal + demanda civil.

Hallazgos forenses

Técnica del rootkit

DLL Injection con IAT Hooking:

// Rootkit user-mode encontrado (simplificado)
// Inyectaba DLL en explorer.exe para ocultar proceso malicioso

BOOL HookIAT(LPCSTR lpLibraryName, LPCSTR lpProcName, DWORD dwNewAddress) {
    PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)GetModuleHandle(NULL);
    PIMAGE_NT_HEADERS pNTHeaders = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);

    // Buscar tabla de imports
    PIMAGE_IMPORT_DESCRIPTOR pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)(
        (DWORD)pDosHeader + pNTHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress
    );

    // Iterar imports y reemplazar puntero a función
    // (código completo omitido por brevedad)

    // Desviar NtQuerySystemInformation para ocultar "dwm.exe"
    return TRUE;
}

Funcionalidad maliciosa:

1. Monitorear carpeta C:\Proyectos\ con FileSystemWatcher
2. Comprimir archivos .dwg en lotes de 50 MB
3. Cifrar con AES-256 (clave hardcoded en DLL)
4. Exfiltrar via POST HTTPS a servidor C2
5. Ocultarse de Task Manager y Process Explorer

Evidencia judicial

Informe pericial de 94 páginas con:

1. Análisis de memoria RAM: Detección proceso oculto con Volatility
2. Extracción de DLL rootkit: Hash SHA-256, análisis desensamblado
3. Timeline de exfiltración: 47 sesiones en 3 meses, 1.2 GB CAD files
4. Atribución técnica: Servidor C2 registrado con email del ex-empleado
5. Impacto económico: 5 licitaciones perdidas, €420,000 daño demostrable

Resultado: Ex-empleado condenado a 3 años prisión (Art. 197.3 + 264 CP) + indemnización €380,000. Empresa implementó DLP y EDR.

Prevención de rootkits

Medidas técnicas

Detección temprana

Señales de posible rootkit:

• Rendimiento degradado sin causa aparente (CPU/RAM alta)
• Antivirus o Windows Defender deshabilitado repetidamente
• Conexiones de red a IPs sospechosas (verificar con TCPView)
• Archivos del sistema modificados (verificar con sfc /scannow)
• Drivers no firmados cargados (verificar con sigcheck -u -e C:\Windows\System32\drivers)

FAQs sobre rootkits forenses

¿Cómo saber si mi ordenador tiene un rootkit instalado?

Señales principales:

• Rendimiento degradado sin razón (CPU alta sin procesos visibles)
• Procesos ocultos en Task Manager pero visibles con System Informer
• Conexiones de red sospechosas (verificar con TCPView o Wireshark)
• Antivirus deshabilitado repetidamente sin intervención del usuario
• Archivos del sistema modificados o inaccesibles

Confirmar con análisis técnico: Escaneo anti-rootkit (GMER), análisis de memoria con Volatility, o arranque desde USB forense para análisis offline sin cargar el SO comprometido.

¿Se puede eliminar un rootkit o hay que formatear?

Depende del tipo de rootkit:

• Rootkits user-mode: Eliminables con herramientas especializadas (Malwarebytes, GMER) sin formatear
• Rootkits kernel: Suelen requerir formateo completo + reinstalación limpia del SO
• Bootkits (MBR/VBR): Requieren restauración MBR limpio + formateo de particiones
• UEFI rootkits: Requieren reflash de BIOS/UEFI o reemplazo de placa base (casos extremos)

En contextos forenses, se recomienda preservar la evidencia antes de cualquier limpieza: volcado de memoria, clonado de disco, análisis completo del rootkit.

¿Cuánto cuesta un análisis forense de rootkit para peritaje judicial?

Precios orientativos según complejidad:

• Rootkit user-mode básico: €800-1,200 (8-12 horas análisis)
• Kernel rootkit avanzado: €1,200-1,800 (15-20 horas)
• Bootkit con persistencia UEFI: €1,800-2,500 (25-35 horas)

Incluye: análisis técnico completo (memoria + disco), documentación pericial admisible, cadena de custodia certificada, extracción de IOCs, timeline detallado y ratificación en juicio si es necesaria.

¿Necesitas análisis forense de rootkit?

En Digital Perito realizamos análisis técnico especializado en rootkits con validez judicial para casos de:

• Detección de acceso persistente no autorizado en sistemas empresariales
• Investigación de sabotaje informático con rootkits kernel
• Análisis de brechas de seguridad con compromiso de kernel
• Peritajes para procedimientos penales (Art. 197, 264 CP)
• Análisis de malware avanzado con capacidades de ocultación

Metodología certificada ISO 27037 | Análisis con Volatility y herramientas forenses líderes | Disponibilidad 24/7 para incidentes críticos

Contactar con perito forense en rootkits →

Jonathan Izquierdo | Perito Informático Forense Ex-CTO | 5x AWS Certified | Metodología ISO 27037 📍 Jaén, España | Cobertura nacional