微点交流论坛 - 预升级反馈专区

gatpone
注册用户

积分 60
发帖 60
注册 2007-4-19

#1 难道中了RootKit？

前几天邮件反映过，没回应。

微点扫描出隐藏文件：C:\WINDOWS\SYSTEM32\DRIVERS\A99N69GN.SYS，是隐藏文件，即使用ICEsword也看不见。

选择隔离（隔离过程中，主界面报删除成功，但是从桌面又下角的弹出窗口会报不成功，延迟删除），接着微点会报发现发现Rootkit，要求删除，重启。重启后扫描依然会有可疑文件C:\WINDOWS\SYSTEM32\DRIVERS\AXXXXXXX.SYS，文件名变化 - 文件名是随机生成的，但都是以a开头。

用小红伞和DRweb扫描过，未发现任何问题。

Vista HP 32bit， vista loader 212 （曾经把Visataloader卸载扫描，还是发现隐藏文件）

Antivir P版。

预升级版：
1.2.10570.0156
1.6.369.070630

※ ※ ※ 本文纯属【gatpone】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-6-30 15:11

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#2

请加入微点技术交流群: 1471553，联系微点群管理员解决。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2007-6-30 15:23

gatpone
注册用户

积分 60
发帖 60
注册 2007-4-19

#3

这个问题基本上搞清楚了。

只要装Alcohol或者Daemontools就会出现这个隐藏的驱动，因为它们都使用了SPTD.sys(SCSI Pass Through Direct, Duplex Secure Ltd开发)。这个驱动使用了类似于rootkit的技术，所以某些些Anti-rootkit软件会检测出隐藏文件（比如 AVG anti-rootkit）。那个隐藏的驱动实际上在硬盘上是找不到的，不过可以用rootkit unhooker 把它dump下来。

用各种杀软扫描dump下来的文件，未发现病毒。

※ ※ ※ 本文纯属【gatpone】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-7-7 11:18

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号