Gama-Ray 1.0 Rootkit&&Bootkit检测清除工具

宁妖

Gama-Ray 1.0 是一款通用的Rootkit和Bootkit检测清除工具，主要使用技术为重载磁盘端口驱动，自建I/O通道，支持atapi/scsiport/storport/ataport四种主要类型端口驱动，并区分IRP处理函数和StartIO处理函数实现不同的IRP(SRB)请求。

1.0版本为原型版本，病毒特征积累不多，目前主要检测清除对象包括（全是bootkit和文件感染型rootkit，暂时不包括独立型rootkit）：
Rootkit.Boot.Phanta.b
Rootkit.Win32.TDSS.tdl4
Rootkit.Boot.Cidox.a
Rootkit.Boot.Xpaj.a
Rootkit.Boot.Yurn.a
Rootkit.Boot.Geth.a
Rootkit.Boot.CPD.b
Rootkit.Win32.TDSS.tdl3 (测试过部分变种)
Virus. Win32.ZAccess （测试过部分变种，不包括usermode变种）

也许包括（没有样本验证，但有被感染过的MBR/VBR/IPL bin，所以有特征提取）:
Rootkit.Boot.Sinowal.b
Rootkit.Boot.Wistler.a
Rootkit.Boot.Sinowal.a
Rootkit.Boot.Trup.b
Rootkit.Boot.Phanta.a
Rootkit.Boot.Phanta.c
Rootkit.Boot.Stoned.a
Rootkit.Boot.SST.a
Rootkit.Boot.SST.b
Rootkit.Boot.Pihar.a
Rootkit.Boot.Nimnul.a
Rootkit.Boot.Backboot.a
Rootkit.Boot.Pihar.b
Rootkit.Boot.Cidox.b
Trojan-Ransom.Boot.Mbro.d
Rootkit.Boot.CPD.a
Rootkit.Boot.Plite.a
Rootkit.Boot.Qvod.a
Rootkit.Boot.Smitnyl.a
Rootkit.Boot.Harbinger.a

还包括：
可疑启动扇区
可疑系统核心文件

另外，1.0版本目前只支持以下平台（基于BIOS MBR Style）：
a.  XP 32 bit
b.  Windows 2003 32 bit
c.  Vista SP1/SP2 32 bit
d.  Win7 SP0/SP1 32 bit
e.  Win8 32 bit

64bit以及新的OS将在下版本中添加。

欢迎大家使用Gama-Ray 1.0，有任何好的建议或者意见请联系我，可以直接回帖或者加入交流群：
Gama-Ray ARK  287012137
如果大家有兴趣，我会在交流群里分享更多病毒查杀技术细节以及现有或未来的病毒分析报告等等。

欢迎大家加入群一起学习windows内核安全，逆向分析技术，rootkit && bookit的检测和清除，新型病毒（uefi bootkit/usermode rootkit/ransonware等等）的研究，行业交流等等。

在tool的使用过程中，任何误报或者未检测case，都欢迎大家提供检测报告/可疑文件，真诚的感谢大家！

下载：http://vdisk.weibo.com/s/aInIZbAN82-cp  

风之暇想

没图？

宁妖

风之暇想 发表于 2013-9-4 19:30
没图？

UI画的很简单


谢谢

小v可

厉害 工具很棒 提点建议 既然可以直接清除rootkit强度应该不用怀疑 能否提供一些自主手动功能 毕竟扫描不可能扫描到所有 在有未知rootkit的情况下可以帮助确认查看和清除。当然LZ想做纯扫描我也没意见

宁妖

小v可 发表于 2013-9-4 20:27
厉害 工具很棒 提点建议 既然可以直接清除rootkit强度应该不用怀疑 能否提供一些自主手动功能 毕竟扫描不可 ...

谢谢你的建议 原本就准备加的 但时间比较紧 先放出来跑跑 后面会加的
再次感谢

benlvan

你的意思是，重载atapi/scsiport/storport/ataport这几个驱动，并向他们发送SRB读写磁盘么？

宁妖

benlvan 发表于 2013-9-4 22:19
你的意思是，重载atapi/scsiport/storport/ataport这几个驱动，并向他们发送SRB读写磁盘么？

是的

zhoufeng

这个工具可以清除装了易速还原这种还原下的rootkit吗

简单的说就是机子中了rootkit 然后装上了易速还原这种还原软件
你这个工具可以穿透还原删除掉这个rootkit吗 。

m_direction

支持下，貌似会火啊

梦遗大师

前排支持。。不明觉厉。。。