Sådan registreres en 64-bit Alureon Rootkit-infektion
- Kategori: Software
Alureon, eller TDL, TLD3 og Tidserv, er den første rodkit, der kan inficere 64-bit Windows-pc'er. Før det var kun 32-bit-systemer påvirket af rootkits, og mange Windows-brugere indså, at i februar, da Microsoft patch MS10-015 fik inficerede maskiner til at vise en blå skærm. Det var tydeligvis ikke Microsofts skyld dengang, som først blev antaget af fagfolk og brugere. Det viste sig efter nogle undersøgelser, at TLD3 rodkit var ansvarlig for denne opførsel.
Udviklerne af rootkit har forbedret det markant siden da og formået at tilføje muligheden for at inficere 64-bit Windows-systemer. Det er en første, og sikkerhedsleverandører er alarmerede over denne tendens.
Forfatterne af disse angreb har dog ikke hvilt. For en knap måned siden blev vi opmærksomme på en ny variant af Alureon, der inficerer Master Boot Record (MBR) i stedet for en inficeret driver. Mens denne nye variant ikke påvirkede 64-bit maskiner, havde den en inert fil kaldet ldr64 som en del af sit virtuelle filsystem. For nylig opdagede vi en opdateret variant, der med succes inficerede 64-bit-maskiner, der kører Windows Vista eller nyere, mens vi gjorde 64-bit Windows XP- og Server 2003-maskiner uoverkommelige.
Mange sikkerhedsfirmaer har allerede tilføjet detektion af 64-bit-varianten til deres sikkerhedsapplikationer, Microsoft tilføjede for eksempel underskrifter til Microsoft Security Essentials i begyndelsen af august.
Stadig kan Windows 64-bit ejere muligvis selv verificere, at rootkit ikke er installeret på deres operativsystem. Som ovenstående oplysninger antyder, vil ejere af Windows XP og Windows Server 2003 straks bemærke, at der er noget galt, da deres operativsystem ikke kan starte. Windows Vista eller Windows 7 64-bit brugere skal læse videre.
Der er mindst to muligheder for at gøre det, alle med værktøjer, der allerede er inkluderet i operativsystemet:
Åbn en kommandoprompt med Windows-R, indtast cmd og indtast.
Brug kommandoen diskpart for at åbne Diskpart i et nyt kommandolinjevindue.
Gå ind læse siger i den nye prompten, hvis den forbliver tom, er computeren inficeret med rootkit. Hvis diske vises, er det ikke det.
godt
Bad
Den anden mulighed for at registrere 64-bit rootkit er følgende: Start Disk Management fra Computer Management-ruden.
Hvis det ikke viser diske, betyder det, at systemet er inficeret med rodkit. Hvis det viser diske, er alt i orden.
Inficeret system
Yderligere oplysninger er tilgængelige på Technet og Symantec .
Sådan fjernes rodkit, hvis systemet er inficeret:
Flere programmer er i stand til at fjerne rodkit og reparere MBR, så systemet normalt starter efter reparationen.
Hitman Pro Beta 112 og senere kan f.eks.