标题: 难道中了RootKit？ [打印本页]

---

作者: gatpone     时间: 2007-6-30 15:11    标题: 难道中了RootKit？

前几天邮件反映过，没回应。

微点扫描出隐藏文件：C:\WINDOWS\SYSTEM32\DRIVERS\A99N69GN.SYS，是隐藏文件，即使用ICEsword也看不见。

选择隔离（隔离过程中，主界面报删除成功，但是从桌面又下角的弹出窗口会报不成功，延迟删除），接着微点会报发现发现Rootkit，要求删除，重启。重启后扫描依然会有可疑文件C:\WINDOWS\SYSTEM32\DRIVERS\AXXXXXXX.SYS，文件名变化 - 文件名是随机生成的，但都是以a开头。

用小红伞和DRweb扫描过，未发现任何问题。

Vista HP 32bit， vista loader 212 （曾经把Visataloader卸载扫描，还是发现隐藏文件）

Antivir P版。

预升级版：
1.2.10570.0156
1.6.369.070630

---

作者: Legend     时间: 2007-6-30 15:23
请加入微点技术交流群: 1471553，联系微点群管理员解决。

---

作者: gatpone     时间: 2007-7-7 11:18
这个问题基本上搞清楚了。

只要装Alcohol或者Daemontools就会出现这个隐藏的驱动，因为它们都使用了SPTD.sys(SCSI Pass Through Direct, Duplex Secure Ltd开发)。这个驱动使用了类似于rootkit的技术，所以某些些Anti-rootkit软件会检测出隐藏文件（比如 AVG anti-rootkit）。那个隐藏的驱动实际上在硬盘上是找不到的，不过可以用rootkit unhooker 把它dump下来。

用各种杀软扫描dump下来的文件，未发现病毒。

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn