Cum să detectăm o infecție Rootkit de Alureon pe 64 de biți
- Categorie: Software-Ul
Alureon, sau TDL, TLD3 și Tidserv, este primul rootkit care poate infecta PC-uri Windows pe 64 de biți. Înainte de aceasta, doar sistemele pe 32 de biți au fost afectate de rootkit-uri, iar mulți utilizatori Windows au realizat că în februarie, când Microsoft patch-ul MS10-015 a determinat mașinile infectate să afișeze un ecran albastru. În mod evident, nu a fost vina Microsoft atunci, ceea ce a fost presupus pentru prima dată de profesioniști și utilizatori. După unele cercetări, s-a dovedit că rootkit-ul TLD3 era responsabil pentru acest comportament.
Dezvoltatorii rootkit-ului l-au îmbunătățit considerabil de atunci și au reușit să adauge capacitatea de a infecta sistemele Windows pe 64 de biți. Acesta este un prim lucru, iar vânzătorii de securitate sunt alarmați de această tendință.
Cu toate acestea, autorii acestor atacuri nu s-au odihnit. În urmă cu doar o lună, am luat cunoștință de o nouă variantă de Alureon care infectează Master Boot Record (MBR) în locul unui driver infectat. Deși această nouă variantă nu a afectat mașinile pe 64 de biți, acesta avea un fișier inert numit ldr64 ca parte a sistemului său de fișiere virtuale. Mai recent, am descoperit o variantă actualizată care a infectat cu succes mașini pe 64 de biți care rulează Windows Vista sau o versiune superioară, în timp ce făceau ca sistemul de operare Windows XP și Server 2003 să fie de neînceput.
Multe companii de securitate au adăugat deja detectarea variantei pe 64 de biți aplicațiilor lor de securitate, de exemplu, Microsoft a adăugat semnături la Microsoft Security Essentials la începutul lunii august.
Totuși, proprietarii Windows pe 64 de biți ar putea dori să verifice de la sine că rootkit-ul nu este instalat pe sistemul lor de operare. După cum sugerează informațiile de mai sus, proprietarii Windows XP și Windows Server 2003 vor observa imediat că ceva nu este în regulă, deoarece sistemul lor de operare nu va reuși să pornească. Utilizatorii Windows Vista sau Windows 7 pe 64 de biți ar trebui să citească mai departe.
Există cel puțin două opțiuni pentru a face acest lucru, toate cu instrumente deja incluse în sistemul de operare:
Deschideți un prompt de comandă, cu Windows-R, introducând cmd și enter.
Folosiți comanda diskpart pentru a deschide Diskpart într-o fereastră nouă linie de comandă.
introduce citește spune în noul prompt, dacă rămâne gol, computerul este infectat cu rootkit-ul. Dacă discurile sunt afișate, nu este.
Bun
Rău
A doua opțiune de detectare a rootkit-ului pe 64 de biți este următoarea: Lansați Managementul discului din panoul Managementului computerului.
Dacă nu prezintă discuri, înseamnă că sistemul este infectat cu rootkit-ul. Dacă arată discuri, totul este în regulă.
Sistem infectat
Informații suplimentare sunt disponibile la adresa: TechNet și Symantec .
Cum se elimină Rootkit dacă sistemul este infectat:
Mai multe programe sunt capabile să elimine rootkit-ul și să repare MBR-ul, astfel încât sistemul să pornească normal după reparare.
Hitman Pro Beta 112 și mai târziu îl pot face, de exemplu.