TDSSKiller, Kaspersky odstraňovač rootkitov TDSS
- Kategórie: Zabezpečenia
Jednou z najznámejších rodín rootkitov na dnešnom internete je rodina Rootkitov TDSS, ktorá je známa ako Rootkit.Win32.TDSS, Tidserv, TDSServ alebo Alureon. Rootkit sa začal šíriť v roku 2008 a je jednou z príčin neautorizované presmerovania Google ktoré užívatelia zažívajú, keď je rootkit aktívny v ich PC systéme.
Jedným z nástrojov určených na detekciu a odstránenie rootkitov rodiny TDSS je produkt Kaspersky's TDSSKiller, ktorý bol nedávno vydaný v novej verzii.
Tento nástroj dokáže nielen detekovať a odstrániť rootkity rodiny TDSS, ale tiež rootkity známe ako Sinowa, Whistler, Phanta, Trup a Stoned. Ďalej môže byť schopný používať heuristiku na detekciu neznámych rootkitov, ktoré sú aktívne alebo nainštalované v systéme.
Podrobný prehľad podozrivých predmetov, ktoré môže nájsť
- Skrytá služba - kľúč databázy Registry, ktorý je skrytý pred štandardným výpisom;
- Blokovaná služba - kľúč databázy Registry, ktorý nemožno otvoriť štandardnými prostriedkami;
- Skrytý súbor - súbor na disku, ktorý je skrytý pred štandardným výpisom;
- Blokovaný súbor - súbor na disku, ktorý nemožno otvoriť štandardnými prostriedkami;
- Kovaný súbor - pri čítaní štandardnými prostriedkami sa namiesto skutočného obsahu vracia pôvodný obsah;
- Rootkit.Win32.BackBoot.gen - podozrenie na infekciu MBR s neznámym bootkitom.
Aplikácia je prenosný softvér pre Windows, ktorý je možné spustiť z ľubovoľného miesta po stiahnutí a vybalení. V predvolenom nastavení bude skenovať služby aj ovládače, ako aj spúšťacie sektory. Z kontroly je možné odstrániť služby, ovládače alebo objekty zavádzacích sektorov.
Kliknutím na tlačidlo Spustiť skenovanie sa vykoná kontrola systému, ktorá na rýchlom systéme Windows 7 trvala menej ako minútu. Po skenovaní na stránke s výsledkami sa zobrazia možné nebezpečné súbory.
Pred presunutím rootkitu do karantény je zvyčajne vhodné vyhľadať názov súboru Bing alebo Google a dezinfikovať ohrozený systém. Ďalšou možnosťou je odoslať podozrivý súbor do služby ako Virus Lab alebo Vírus celkom aby sa tam naskenoval druhý názor.
TDSSKiller má niekoľko prepínačov príkazového riadku:
- -l - uloží log do súboru;
- -qpath - cesta do karanténnej zložky (automaticky vytvorená, ak neexistuje);
- -h - táto pomoc;
- -sigcheck - zistí, že všetky nepodpísané ovládače sú podozrivé;
- -tdlfs - detekuje systém súborov TDLFS, ktorý rootkity TDL 3/4 vytvárajú v posledných sektoroch pevného disku na ukladanie svojich súborov. Všetky tieto súbory je možné uložiť do karantény.
Nasledujúce klávesy umožňujú spustiť obslužný program v tichom režime:
- -všetky - karanténne všetky objekty (vrátane čistých);
- -qsus - iba podozrivé objekty v karanténe;
- -qmbr - karanténa všetkých MBR;
- -qcsvc - karanténa služby;
- -dcsvc - odstrániť službu.
- -silent - skenovať v tichom režime (nezobrazovať žiadne okná), aby bolo možné spustiť obslužný program centralizovaným spôsobom v sieti.
Bezplatný odstraňovač rootkitov podporuje 32-bitové a 64-bitové operačné systémy Windows. Stiahnutie je ponúkané na Znalostná základňa spoločnosti Kaspersky.