我中了超级强悍内核驱动级 Rookit 木马，无法清除，救命！！！（附图）

显示全部楼层 · 发表于 2007-9-15 16:37:17

前几天我用IceSword扫了下SSDT,发现未知路径的程序hook了几个系统函数，因为IceSword看不到被hook的函数，我又用另外一款程序Rookit Unhooker LE 扫了下，附图如下，把这些函数恢复后重启又被hook了，该怎么处理哦

用IceSword扫未签名驱动附图如下：

a8xx57xg.sys 和 rkhdrv40.sys很可疑，可惜怎么也无法删掉它，drives目录下看不见，用Rookit Unhooker LE也删不掉，用PE进去也看不见，OMG

，就是看见它在可是拿它没有办法

再附上System Repair Engineer的扫描日志：

[ 本帖最后由 lblzms 于 2007-9-15 17:36 编辑 ]

显示全部楼层 · 发表于 2007-9-15 19:08:45

下载个panda antirootkit看看..
sreng对于rootkit根本无招啊..扫了也没用..

ps:日志无问题...感觉没什么事情的,你op加antivir还怕什么啊?!

显示全部楼层 · 发表于 2007-9-15 19:15:45

那几个系统函数不知道被啥给hook了，看着不放心

，现在有些rookit太NB了，无进程，无文件，无注册表的三无产品，可能OP加小红伞都防不住的

显示全部楼层 · 发表于 2007-9-15 20:20:22

既然这样你不如删除那2个驱动后再建立个同名的文件夹,看看还有没?

显示全部楼层 · 发表于 2007-9-15 20:28:25

现在关键是这两个驱动查的出来，可在目录下用冰刃都看不见，甚至我用PE启动都看不见，没法删除哦

显示全部楼层 · 发表于 2007-9-15 20:46:57

rkhdrv40.sys是Rootkit Unhooker自己的驱动，楼主别神经过敏了……

我感觉楼主的SSDT挂钩是OP的做的。（像NtCreateThread，Rootkit不会去挂的。）
其实现在的Rootkit几乎不会用SSDT挂钩了，太容易检测了，反而SSDT挂钩的一般是杀毒软件，因为此法稳定可靠。

显示全部楼层 · 发表于 2007-9-15 20:50:14

可是a8xx57xg.sys这个驱动太可疑了，每次启动都会随机改名字

显示全部楼层 · 发表于 2007-9-15 20:52:55

我看楼主的其实也不菜
wsyscheck 试试这个工具自己拿着用就可以解决了!

显示全部楼层 · 发表于 2007-9-15 20:55:27

楼主重启后直接执行icesword再看看是否还会再显示这几个东西上次我碰到的经历是在执行了某款安全软件后再执行icesword发现只见显示的东西就是发现不了文件折腾了N久重启之后再打开icesword什么东西都没有这才焕然大悟是那款软件搞的鬼(具体什么软件忘了)

显示全部楼层 · 发表于 2007-9-15 20:56:55

原帖由 lblzms 于 2007-9-15 20:50 发表
可是a8xx57xg.sys这个驱动太可疑了，每次启动都会随机改名字

可能是杀软躲避病毒的检查吧……我不知道了…… 而且那几个SSDT函数几乎可以肯定与病毒无关。
不过总而言之，IceSword对目前的成熟Rootkit都可以有效检测。

[ 本帖最后由 flo 于 2007-9-15 20:58 编辑 ]

回复 1楼 lblzms 的帖子