xt--内核--对象劫持如何处理？！怎么恢复？！

显示全部楼层 · 发表于 2010-9-19 12:29:08

回复 10楼 dl123100 的帖子

是否tdssrootkit一定会感染内核驱动？我用专杀扫了一下提示未发现，可是我有时也会发现可疑驱动对象，现在有点儿怀疑可能是tdssrootkit，专杀如果杀不了是否查得出？还望不吝赐教！

显示全部楼层 · 发表于 2010-9-19 13:06:05

回复 10楼 dl123100 的帖子

我这里也有对象劫持，不过似乎不太一样（xuetr）：
对象对象类型对象名称描述
0x87823780 DeviceObject \Device\Harddisk\DR0的下层设备/驱动被劫持

这是仅有的信息了，不知是什么原因，望赐教！

显示全部楼层 · 发表于 2010-9-19 13:28:21

回复 12楼 zhou0197 的帖子

可以看下在内核模块中是否能找到对应的驱动对象如果可以这个可以无视

显示全部楼层 · 发表于 2010-9-19 13:33:07

回复 10楼 dl123100 的帖子

谢谢！

显示全部楼层 · 发表于 2010-9-19 13:37:08

回复 11楼墨涵的帖子

这帖附的样本会随机感染驱动
TDSS用XueTr可以检测主要看回调出是否有未知模块

显示全部楼层 · 发表于 2010-9-19 13:54:05

回复 15楼 dl123100 的帖子
多谢大牛指点！回调还真没有未知模块！

显示全部楼层 · 发表于 2010-9-19 14:03:45

本帖最后由 tawny2008 于 2010.9.19 14:04 编辑

http://www.enet.com.cn/article/2010/0816/A20100816709425.shtml

http://wenku.baidu.com/view/b4fc391cfad6195f312ba60f.html

TDSS rootkit这个吗？理论上只要允许加驱就可以与之抗衡吧

显示全部楼层 · 发表于 2010-9-19 16:07:39

回复 13楼 dl123100 的帖子
非常感谢，不过……似乎没有找到对应的，下一步该怎么做呢？

显示全部楼层 · 发表于 2010-9-19 17:18:38

TDSS rootkit这个吗？理论上只要允许加驱就可以与之抗衡吧
tawny2008 发表于 2010.9.19 14:03

我也百度查询TDSS rootkit ...坛友贴上的工具下载备用！重新运行样本！
重启结果用services服务以外出错。。。倒计时。。。
倒计时结束后尚未关闭系统。。。视频，上网之类能用，但工具打不开。。。没法用坛友给的工具！。。。
最后只好重做系统而告一段落！

显示全部楼层 · 发表于 2010-9-19 22:09:46

回复 18楼 zhou0197 的帖子

再仔细找下一般来说都是可以找到的除非是类似TDSS rootkit那样的劫持
可以用9楼的专杀检查下

[求助] xt--内核--对象劫持 如何处理？！怎么恢复？！