轻松检测魔影病毒（TDSS.TDL-4）By PowerTool

显示全部楼层 · 发表于 2011-7-18 09:01:43

本帖最后由 ithurricane 于 2011-7-18 10:55 编辑

关于魔影（TDSS.TDL-4）的介绍，可以看以下两篇文章

http://bbs.kafan.cn/forum.php?mod=viewthread&tid=899525
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1025119

就不过多重复了，为了保护自己的篡改的MBR，可谓是用尽可手段，

PowerTool可以在不恢复和修改TDL-4任何钩子的情况下，
直接穿透它的防护，检测到TDL-4 rootkit

首先，有两个地方，大家可能以前就知道了，
一个是工作列线程

一个是StartIO的钩子

这个以前版本的PowerTool就可以检测到
这次加强了内核模块的检测，可以看到TDL-4的隐藏驱动

TDL-4还劫持了ATAPI的设备

如果以上，大家还不能确认是否是真的中了TDL-4病毒的话
最后一个，可以彻底让它露出真面目，

在MBR里面点击强力检测按钮(目前不支持AHCI/RAID/SCSI模式)
可以完全穿透TDL-4的防护，检测到MBR

清除的话，建议大家可以用卡巴或者BitDefender的专杀工具
也可以到PE系统里面，修复MBR来清除

以后PT会进一步加强清除的工作，呵呵

显示全部楼层 · 发表于 2011-7-18 09:07:49

支持来了。

显示全部楼层 · 发表于 2011-7-18 09:49:51

唯有支持大大

显示全部楼层 · 发表于 2011-7-18 10:24:58

前排啊~~

我去找个样本试试

显示全部楼层 · 发表于 2011-7-18 10:46:55

谢谢分享，下来检测偶的电脑一下，也求个心理安慰。

显示全部楼层 · 发表于 2011-7-18 10:56:13

表示支持～

加油～

显示全部楼层 · 发表于 2011-7-18 12:37:22

本帖最后由 FreeEquFraT 于 2011-7-18 14:14 编辑

恩，越来越强大了

-------------------------------------------------------------
刚刚发现楼主帖子里所有路径那里/都变成了那个那个代表钱的符号了（我不会打这个符号

）

显示全部楼层 · 发表于 2011-7-18 14:34:19

支持。。。！

显示全部楼层 · 发表于 2011-7-18 14:48:08

pt 可以直接修复不？

显示全部楼层 · 发表于 2011-7-18 14:48:33

前来支持

[原创文章] 轻松检测魔影病毒（TDSS.TDL-4）By PowerTool

评分