TDSSKiller, Kaspersky TDSS odstraňovač rootkitů
- Kategorie: Bezpečnostní
Jednou z nejznámějších rodin rootkitů na dnešním internetu je rodina Rootkitů TDSS, která je známá jako Rootkit.Win32.TDSS, Tidserv, TDSServ nebo Alureon. Rootkit se začal šířit v roce 2008 a je jednou z příčin neautorizovaná přesměrování Google které uživatelé zažívají, když je rootkit aktivní v jejich PC systému.
Jedním z nástrojů určených k detekci a odebrání rootkitů rodiny TDSS je produkt Kaspersky TDSSKiller, který byl nedávno vydán v nové verzi.
Tento nástroj dokáže nejen detekovat a odstranit rootkity rodiny TDSS, ale také rootkity známé jako Sinowa, Whistler, Phanta, Trup a Stoned. Dále může být schopen použít heuristiku k detekci neznámých rootkitů, které jsou aktivní nebo nainstalované v systému.
Podrobný přehled podezřelých objektů, které může najít
- Skrytá služba - klíč registru skrytý před standardním výpisem;
- Blokovaná služba - klíč registru, který nelze otevřít standardními prostředky;
- Skrytý soubor - soubor na disku, který je skryt před standardním výpisem;
- Blokovaný soubor - soubor na disku, který nelze otevřít standardními prostředky;
- Kovaný soubor - při čtení standardními prostředky se vrací původní obsah místo skutečného;
- Rootkit.Win32.BackBoot.gen - podezření na infekci MBR s neznámým bootkitem.
Tato aplikace je přenosný software pro Windows, který lze po stažení a vybalení spustit z libovolného umístění. Ve výchozím nastavení bude prověřovat služby i ovladače i spouštěcí sektory. Z kontroly je možné odebrat buď služby, ovladače, nebo spouštěcí sektory.
Kliknutím na Spustit prověřování spustíte prověřování systému, které trvalo rychlým systémem Windows 7 méně než minutu. Po skenování na stránce s výsledky se zobrazí možné nebezpečné soubory.
Obvykle je vhodné vyhledat Bing nebo Google název souboru před přesunutím rootkitu do karantény a dezinfikovat ohrožený systém. Další možností je odeslat podezřelý soubor do služby jako Virus Lab nebo Virus Celkem naskenovat to tam pro druhý názor.
TDSSKiller má několik přepínačů příkazového řádku:
- -l - uložení protokolu do souboru;
- -qpath - cesta ke složce karantény (automaticky vytvořena, pokud neexistuje);
- -h - tato pomoc;
- -sigcheck - detekuje všechny nepodepsané ovladače jako podezřelé;
- -tdlfs - detekuje systém souborů TDLFS, který rootkity TDL 3/4 vytvářejí v posledních sektorech pevného disku pro ukládání svých souborů. Všechny tyto soubory je možné uložit do karantény.
Následující klávesy umožňují spuštění nástroje v tichém režimu:
- -qall - karanténa všech objektů (včetně čistých);
- -qsus - pouze podezřelé objekty v karanténě;
- -qmbr - karanténa všech MBR;
- -qcsvc - karanténa služby;
- -dcsvc - odstranit službu.
- -silent - skenování v tichém režimu (nezobrazovat žádná okna), aby bylo možné nástroj spustit centralizovaně po síti.
Bezplatný odstraňovač rootkitů podporuje 32bitové a 64bitové operační systémy Windows. Stahování je nabízen na Kaspersky's Knowledge Base.