微点交流论坛

标题: 【评测】流氓会Rootkit，谁能挡得住？ [打印本页]

作者: 红塔山 时间: 2007-7-25 18:47 标题: 【评测】流氓会Rootkit，谁能挡得住？

转自：http://bbs.deepin.org/read.php?tid=242899
作者：比萨斜饼

技术探讨，追求客观公正，对事不对人

Rootkit，我个人的理解应该是两个单词的缩写，root相当于计算机管理员，kit应该是工具包的意思。Rootkit就是一种常被黑客用于控制系统，隐藏文件，保护自己的木马后门无法被清除的内核级恶意程序。

无意间看到360说CNNIC使用了Rootkit技术进行自我保护，下面就以CNNIC为靶子，把几款常见的插件清理工具进行一轮大测试，车轮大战CNNIC~！看看究竟谁有能力击破CNNIC的rootkit保护~！

节目预告：

第2楼　　 360
第3楼　　瑞星卡卡
第4楼　　微点主动防御
第5楼　　微点延迟删除的秘密
第6楼　　超级兔子

恶意软件清理助手　　正在准备。。。

[ Last edited by 红塔山 on 2007-7-25 at 19:39 ]

作者: 红塔山 时间: 2007-7-25 19:06
第一回合：360
这CNNIC果然够狠，先装360，后装CNNIC，结果360就不能启动了。。。

重装360，无效。。。
去360官网下载CNNIC专杀

详细的列表：

大家要注意这个CNNIC的Rootkit是非常狡猾的，故意生成了数量不定的随机八位名称的驱动程序（扫描结果的前三项）。这样，传统插件清理工具依靠文件名进行鉴别的手段就完全无效了。360做得还不错，显然使用了特征码技术彻底干掉了CNNIC。

小插曲：Rootkit这类驱动型黑客程序，必须要重启才能彻底消除影响。我用360专杀搞完之后，没有按照提示重启，虽然360可以正常启动了，但是使用上还是不太正常。。。

作者: 红塔山 时间: 2007-7-25 19:11
第二回合：瑞星卡卡
瑞星卡卡使用了最新的4.0版本

大家注意看这张图，显然瑞星没有能够识别出CNNIC的随机文件名驱动，这也就注定了接下来必然的悲剧结果。。。

Rootkit需要重启，这个报警正常

重启后，让人大跌眼镜的画面出现了，瑞星卡卡只清除了几个次要的注册表项，CNNIC的主程序可是一个也没少。。。

我分析瑞星卡卡的失利可能有两个原因：
1.没有识别出那个随机八位Rootkit
2.没有能力清除Rootkit，大家注意看360的专杀，上面启用了一种特殊模式Anti Defence来解除保护，这样才干掉了CNNIC。

作者: 红塔山 时间: 2007-7-25 19:27
第三回合：微点主动防御

微点并不是专业的插件卸载工具，但是他的系统分析功能比较有特色，用于清理插件也还是不错的，特别是对付Rootkit很有特效。呵呵，用综合性工具对比专业工具，多少都有点儿欺负人哈

为了公平起见，微点的自动报警选择忽略不删除（不好意思，本文较长图不是一天抓的，所以中英文版微点都有。。。）