帮忙看看XueTr扫出的可疑驱动

显示全部楼层 · 发表于 2010-2-17 00:16:38

下载XueTr扫了，有几280个SSM的SSDT，667个Shadow SSDT
另外有4个可疑驱动，但看不到文件
截了个图，但我上传附件几次都不成功，放个链接
http://www.tuxw.cn/down/EPS_1.jpg
帮忙看看怎么回事，谢谢了

显示全部楼层 · 发表于 2010-2-17 10:41:52

一般都可以无视，不放心可以把可疑驱动dump出来上传下。

显示全部楼层 · 发表于 2010-2-21 09:42:28

右键可疑驱动，拷贝模块内存，出错，怎么dump?

显示全部楼层 · 发表于 2010-2-21 14:42:42

拷贝不了就算了
XueTr不是杀软就算检测出可疑也只是提供一个参考无视就可以了

显示全部楼层 · 发表于 2010-2-21 20:05:47

回复 4# dl123100
　　为什么无视？这个不可能是隐藏更深的Rootkit而是安全程序吗？

显示全部楼层 · 发表于 2010-2-21 21:43:15

回复 5# 穿越星空

基本上可以看出是SSM导致的。

显示全部楼层 · 发表于 2010-2-21 22:02:09

回复 5# 穿越星空

避免看不懂的朋友自寻烦恼。。也许是最好的

显示全部楼层 · 发表于 2010-2-21 22:50:39

回复 7# tawny2008
　　这个鸵鸟心态恐怕不能解决实际问题吧？

显示全部楼层 · 发表于 2010-2-21 22:55:06

回复 6# dl123100
　　请教下这么判断的理由是什么呢？还有“驱动代码”这列的8个16进制数字代表的是什么含义？

显示全部楼层 · 发表于 2010-2-22 10:52:26

真的要寻根究底的话需要开调试器了
可以用windd、livekd之类的工具或者手动触发蓝屏生成一个MemoryDump
然后用windbg载入看Driver/Device Object等相关的内核数据结构
下面的链接也提到了XueTr检测内核模块用到的一些方法
http://www.ntinternals.org/driver_detection_test.php

[求助] 帮忙看看XueTr扫出的可疑驱动

浏览过的版块