Căutați și eliminați rootkit-uri (Rootkit). Programe pentru detectarea și eliminarea rootkit-urilor

Simptomele unei infecții cu rootkit

În practică, detectarea unui rootkit nu este întotdeauna posibilă din cauza faptului că acest tip de hacking de sistem este în majoritatea cazurilor destul de eficient deghizat în profunzimile sale, dar în cazul în care încep acțiunile active ale atacatorului, cum ar fi transferul de cantități mari de informații , conexiuni suspecte, modificări de fișiere, la exterior neobișnuit și manifestări necaracteristice sistemului de operare în sine, identificabile prin software-ul antivirus, atunci exact așa și cel mai adesea utilizatorul poate afla despre asta. Cu alte cuvinte, există doar două simptome - procese suspecte în sistem și rezultatele unei scanări antivirus. În unele cazuri, este posibil să se identifice un rootkit într-un sistem utilizând un software specializat foarte bine vizat, cu cunoștințe și experiență suficiente.

Cum ajung rootkit-urile într-un computer?

Cel mai adesea, rootkit-urile pătrund într-un computer prin intermediul programelor malware sau piratate infectate. „Porțile larg deschise” pentru rootkit-uri sunt găuri și vulnerabilități în sistem și aplicații care apar ca urmare a deteriorării cauzate de alte programe rău intenționate sau a actualizării intempestive a unor astfel de aplicații la cele mai recente versiuni securizate. După ce a detectat astfel de vulnerabilități, rootkit-ul obține acces la fișierele de sistem, le modifică și instalează componentele necesare pentru a obține acces ascuns de la distanță la sistem, care este adesea destul de dificil de detectat.

Cum să eliminați singur un rootkit dacă este detectat?

Încercările independente și inepte de a elimina rootkit-urile pot duce la defecțiuni ale sistemului și ale aplicațiilor acestuia. Cel mai adesea, ștergerea câtorva fișiere nu este suficientă, deoarece rootkit-urile se maschează bine. Este necesară verificarea completă a modificării fișierelor, fișierelor de registru, aplicațiilor, proceselor, serviciilor și altor activități. Dacă antivirusul dvs., de exemplu, Kaspersky antivirus, detectează în continuare fișiere suspecte pe computer, înainte de a le șterge, faceți copii ale acestora pentru orice eventualitate, pentru ca ulterior, în caz de defecțiuni, să le puteți restaura pentru încercările ulterioare de tratament.

Cum și cu ajutorul căror programe antivirus anti-rootkit pot găsi/detecta rootkit-uri?

Alegerea software-ului pentru detectarea rootkit-urilor este destul de mare. Gradul în care detectează rootkit-urile variază; din păcate, niciunul dintre ele nu are un rezultat 100% de detectare și eliminare. Iată doar o listă de programe antivirus și utilitare anti-rootkit care le caută și le elimină mai mult sau mai puțin decent:

• AVG Anti-Rootkit
• Avira Rootkit Detection
• Dr.Web
• F-Secure
• Kaspersky
• Kaspersky TDSSKiller
• KernelDetective
• McAfee
• Online Solutions Autorun Manager
• Panda Anti-Rootkit
• Rootkit Unhooker
• RootRepeal
• Sophos Anti-Rootkit
• Symantec
• Sys Reveal
• Trend Micro RootkitBuster
• VBA32
• XueTr

Acestea sunt programele pe care le folosim pentru a căuta/detecta automat rootkit-urile. Toate acestea, într-o măsură sau alta, vă permit să găsiți și să eliminați diferite tipuri de rootkit-uri.

Sfaturi de bază despre cum să vă protejați computerul de rootkit-uri

Iată câteva reguli simple, în urma cărora puteți crește semnificativ nivelul de securitate antivirus și puteți reduce riscul cazurilor cu probleme:

• Utilizați numai software cu licență;
• Utilizați cele mai recente versiuni de sisteme de operare;
• Actualizați-vă software-ul în mod regulat;
• Nu utilizați un cont administrativ;
• Asigurați-vă că utilizați un software antivirus eficient și configurat corect;
• Protejați-vă computerul de terți;
• Verificați mediile de stocare amovibile pentru malware;
• Nu descărcați și nu deschideți fișiere suspecte primite din surse nesigure;
• Comandați servicii de la noi pentru a asigura securitatea antivirus de înaltă calitate.

De ce uneori un rootkit detectat nu este eliminat de un antivirus?

Aceasta este o situație destul de comună care apare din cauza faptului că numai o parte a codului rău intenționat este detectată, după care kernel-ul rootkit restaurează această parte. În acest caz, este necesară o căutare a nucleului. Acest lucru se întâmplă și din cauza faptului că fișierele sistemului de operare au fost infectate și ștergerea lor poate duce la defecțiuni ale sistemului și de aceea algoritmul încorporat în antivirusuri nu poate șterge aceste fișiere din cauza limitărilor sistemului însuși la manipularea unor astfel de fișiere, adică. e. Antivirusul nu are suficiente drepturi pentru a face astfel de acțiuni.

Un rootkit este un program rău intenționat care ascunde urmele prezenței oricăror programe terțe sau malware în sistemul de operare. În opinia noastră, un rootkit este cel mai periculos program rău intenționat datorită capacității de a ascunde orice urme ale prezenței curente sau anterioare a cuiva sau a ceva în sistem și acțiunile efectuate. Detectarea unui rootkit este o sarcină foarte dificilă, care necesită cunoștințe profesionale și o experiență vastă. Un atacator poate folosi un virus, vierme sau alt tip de program rău intenționat pentru a obține un punct de sprijin acolo. Dacă computerul dvs. este conectat la Internet, atunci, în funcție de rootkit, un atacator poate obține de facto acces absolut la întregul dvs. sistem; el poate modifica orice parametri ai sistemului, poate obține toate informațiile necesare, poate utiliza resursele computerului dvs. propriile scopuri și așa mai departe. Datorită prezenței sale ascunse, utilizatorul obișnuit nici măcar nu își va putea imagina că acest tip de malware este prezent în sistemul său, iar atacatorul, după abilitățile și cunoștințele sale, va folosi computerul dvs. în scopuri proprii sau va obține toate informatiile necesare. Vom încerca să vă protejăm computerul cât mai mult posibil de prezența programelor malware.

În zilele noastre, chiar și cel mai modern program antivirus nu poate recunoaște și bloca întotdeauna toate amenințările care încearcă să pătrundă într-un computer. Unul dintre cele mai neplăcute și insidioase pericole este rootkit-urile. Folosind acest instrument, atacatorii obțin controlul asupra computerelor și apoi le folosesc în propriile lor scopuri.

Ce sunt rootkit-urile și de ce sunt periculoase? Un rootkit este un program sau un set de software care maschează prezența aplicațiilor nedorite pe un sistem de operare, ajutând atacatorii să opereze pe computerele victimelor fără a fi detectați. Adesea, rootkit-urile sunt localizate adânc în profunzimea sistemului și este foarte dificil să le detectezi folosind un antivirus sau alte instrumente de securitate. Rootkit-urile în sine nu sunt întotdeauna periculoase, dar programele și procesele pe care le ascund sunt. Comparativ cu virușii, rootkit-urile pot provoca mult mai multe daune, deoarece... obține acces la sistem cu drepturi de administrator. Acestea pot conține o varietate de instrumente rău intenționate, cum ar fi un keylogger, un hoț de parole salvate, un scanner de date pentru carduri bancare, un bot DDoS controlat de la distanță și funcții pentru a dezactiva programele antivirus.

Cum să eliminați un rootkit

Kaspersky TDSSKiller. Utilitarul gratuit TDSSKiller de la Kaspersky Lab este conceput pentru a trata un sistem infectat cu malware din familia Rootkit.Win32.TDSS, bootkit-uri și alte rootkit-uri cunoscute. Este rapid de utilizat și nu necesită instalare.

Pentru a descărca gratuit TDSSKiller, accesați site-ul oficial support.kaspersky.ru

După lansarea programului, puteți începe imediat scanarea sau adăugați obiecte de scanat. Pentru a face acest lucru, accesați fila „Modificați parametrii de scanare” și bifați casetele necesare.

Dr.Web CureIt. Folosind acest utilitar, vă puteți scana computerul nu numai pentru rootkit-uri, ci și pentru alte obiecte rău intenționate, urmate de tratament. Dr.Web CureIt este gratuit și nu necesită instalare.

Până de curând, atacatorii scriau doar viruși, pe care programele de securitate i-au prins și neutralizat fără probleme. A fost suficient să instalezi și să configurezi corect un sistem antivirus, să-i actualizezi în mod regulat baza de date... Și să trăiești în pace.

Astăzi, atacatorii de pe Internet operează la o scară mult mai mare! Nu mai sunt sedusi de „doar” infectarea a sute de mii de computere sau chiar de pandemia unui nou virus. Ei caută să câștige controlul asupra multor PC-uri și să le folosească pentru faptele lor întunecate. Din milioane de sisteme infectate, ei creează rețele uriașe controlate prin Internet. Folosind puterea de calcul gigantică a „rețelelor zombie”, este posibil, de exemplu, să trimiteți spam în masă și să organizați atacuri de hackeri de o putere fără precedent. Ca instrument auxiliar pentru astfel de scopuri, se folosește foarte des un nou tip de malware, mai ales periculos - rootkit-uri

Ce sunt rootkit-urile?

Rootkiturile nu numai că se ascund, ci și alte programe malware care au intrat în sistem. Scopul camuflajului este de a deturna computerul altcuiva neobservat de antivirusuri și alte programe de securitate. Pentru rootkit-uri precum Hacker Defender, există câteva trucuri foarte sofisticate în stoc. Acest „dăunător” deghizat ocolește firewall-ul și deschide uși secrete pe internet care permit hackerilor să controleze computerul infectat. Prin „ușa din spate” creată de rootkit-uri, puteți obține date confidențiale (de exemplu, parole) sau puteți introduce alte programe rău intenționate în sistem. Există încă puține rootkit-uri. Dar, din păcate, pentru ei au fost creați „constructori” (precum și pentru viruși), folosindu-se de care chiar și huliganii fără experiență pot crea „dăunători deghizat” (vezi bara laterală la pagina ??) și să-i folosească la discreția lor. Majoritatea programelor antivirus recunosc astfel de „software” rău intenționat în timp ce acesta nu este activ (de exemplu, „latent” sub forma unui document atașat la un e-mail). Dar dacă faceți dublu clic pentru a deschide un fișier aparent inofensiv, rootkit-ul va fi activat și va „urca” în adâncurile ascunse ale sistemului. După aceea, numai aplicațiile speciale îl vor putea găsi și neutraliza. ComputerBild a testat 8 programe a căror sarcină este să recunoască și să elimine rootkit-urile. Toți participanții la test apar pe DVD-ul inclus cu acest număr al revistei.

Trucuri ale rootkit-urilor

Un rootkit se strecoară într-un computer pentru a-l folosi în scopuri criminale. Poate fi atașat la un e-mail, de exemplu ca factură PDF. Dacă dai clic pe contul imaginar, dăunătorul invizibil va fi activat.

Rootkit-ul intră apoi adânc în sistemul de operare Windows și modifică unul dintre fișierele bibliotecii - *.dll. Și secvența de comenzi care controlează funcționarea corectă a programelor intră sub controlul dăunătorului.

« Prindere de putere Rootkit-ul trece neobservat și descarcă în liniște alt „software” rău intenționat de pe Internet. Noii dăunători sunt deghizați folosind un rootkit. Acum computerul poate fi folosit pentru diverse activități frauduloase, cum ar fi trimiterea de spam.

Cum sunt deghizați rootkit-urile?

Programele antivirus recunosc de obicei software-ul rău intenționat prin semnături - lanțuri de cod caracteristice în corpul virusului. Acestea sunt un fel de „semne speciale” prin care „dăunătorul” poate fi identificat și distrus. Furnizorii de software de securitate postează în mod regulat actualizări pe Internet cu cele mai recente semnături descoperite. În plus, antivirusurile recunosc „dăunătorii” după anumite caracteristici ale comportamentului lor - această metodă se numește „analiza euristică”. Dacă, de exemplu, un anumit program va șterge toate fișierele MP3 stocate pe hard disk, cel mai probabil este un virus care trebuie blocat și distrus.

Pentru a păcăli programele antivirus, rootkit-urile manipulează procesele prin care aplicațiile computerizate comunică. Din aceste fluxuri, ei elimină informații despre ei înșiși și despre alți dăunători. Antivirusul primește informații false și consideră că „totul este calm în Bagdad”

Unele rootkit-uri (numite „rootkit-uri în mod utilizator”) interceptează fluxurile de date între programe (de exemplu, între Windows și un antivirus) și le manipulează după bunul plac.

Alte rootkit-uri (numite „rootkit-uri în modul kernel”) „se așează” mai adânc, între componente individuale Windows sau chiar în registrul sistemului și de acolo trimit date false către antivirus

Cum sunt distribuite rootkit-urile?

• Uneori, rootkit-urile sosesc în atașamente de e-mail, prefăcându-se ca documente de diferite formate (de exemplu, PDF). De fapt, acest „document imaginar” este un fișier executabil. Oricine încearcă să-l deschidă va activa un rootkit.
• O altă modalitate de distribuire este prin intermediul site-urilor care au fost manipulate de hackeri. Un utilizator care nu cunoaște pur și simplu deschide o pagină web și rootkit-ul intră în computerul său. Acest lucru devine posibil datorită găurilor de securitate din browsere.

Rootkit-uri „de casă”.

Mii de computere infectate cu rootkit-uri formează „rețele zombie” uriașe care sunt folosite pentru a trimite spam în fața utilizatorilor nebănuiți. Până de curând, se credea că astfel de fraude erau accesibile doar programatorilor profesioniști cu experiență. Cu toate acestea, situația se poate schimba în viitorul apropiat. Așa-numitele truse de instrumente (truse de instrumente) pentru fabricarea dăunătorilor ascunși se găsesc din ce în ce mai mult pe internet, de exemplu, destul de popular Pinch. Folosind acest „software”, chiar și un utilizator fără experiență poate crea un „dăunător invizibil”... Se bazează pe troianul Pinch Builder, care poate fi echipat cu o varietate de funcții rău intenționate folosind interfața software Pinch. Conform informațiilor publicate pe site-ul producătorului de antivirus Panda Software, Trojanul Pinch Builder poate:

• furați parolele browserului, în special Mozilla și Opera, și trimiteți-le escrocilor de pe Internet; datorită accesului la zone speciale ale Windows, poate prelua și parolele de Internet Explorer și Outlook;
• să citească datele introduse de la tastatură (în special, parole) și să le transmită pe Internet;
• ascunde-i funcțiile rău intenționate - programul protejează cu pricepere procesele „troiene” de detectarea de către software-ul antivirus.

Andreas Marx, expert la laboratorul de testare antivirus AV-Test, care efectuează în mod regulat teste în numele ComputerBild, confirmă: „Kiturile pentru crearea troienilor sunt deja vândute pe site-uri speciale cu câteva sute de euro. Dacă un val larg de astfel de dăunători de casă se răspândește pe internet, rootkit-urile vor deveni un adevărat dezastru pentru utilizatori.”

Cum să scapi de rootkit-uri?

Instalați programul Gmer, care a câștigat testul nostru. Detectează cu încredere rootkit-urile și alte tipuri de „dăunători” ascunși și, de asemenea, este capabil să elimine majoritatea acestora. Rootkit-urile rămase pot fi „terminate” folosind utilitarul AVG Anti-Rootkit. După îndepărtarea dăunătorilor, ar trebui să verificați sistemul cu un antivirus obișnuit, de exemplu din pachetul software Kaspersky Internet Security.

Rezumatul rezultatelor testelor

Testul nostru de 8 anti-rootkit-uri a arătat că există un remediu de încredere împotriva dăunătorilor deghizați vicleni. Adevărat, pentru a scăpa de oaspeții neinvitați, va trebui să trimiteți mai mulți „vânători” simultan să caute rootkit-uri.

Detectarea rootkit-ului

În timpul testării, s-a dovedit că nu toți „vânătorii de rootkit” sunt capabili să scoată la lumină „dăunători” deghizați. Doar trei programe au putut detecta toate rootkit-urile active: câștigătorul testului Gmer 1.0, AVG Anti-Rootkit și Rootkit Unhooker. Oricine folosește aceste aplicații poate fi sigur că computerul său nu va fi atacat de „dăunători invizibili”. În plus, Gmer a fost singurul program care a reușit să găsească toate rootkit-urile în fluxurile de date alternative.

Eliminarea rootkit-urilor

Situația cu eliminarea „software-ului” rău intenționat nu a fost mai bună. Gmer, deși a găsit toate rootkit-urile, a reușit să distrugă doar 63% dintre ele, precum și 87% dintre alte programe periculoase mascalate drept „compania”. Dăunătorii care se ascundeau în fluxurile alternative de date au fost și mai puțin norocoși: niciunul dintre ei nu a fost lăsat pe hard disk-urile computerelor de testare. Aceasta a adus victoria programului. Dar câștigătorul premiului al doilea a avut o pondere mai mare de rootkit-uri active eliminate cu aproape un sfert (86,67%). În cazul puțin probabil în care câștigătorul testului Gmer nu reușește să elimine toți dăunătorii de pe hard disk, AVG Anti-Rootkit va termina treaba.

Controalele sunt prea complicate

Faptul că detectarea software-ului rău intenționat ascuns este o problemă serioasă este evident din complexitatea gestionării programelor. Interfața tuturor aplicațiilor care participă la test este în limba engleză, iar mesajele de neînțeles pot deruta chiar și un utilizator experimentat...

Concluzie

Spre bucuria noastră, câștigătorul testului este Gmer 1.0- și câștigătorul premiului al doilea, AVG Anti-Rootkit, a detectat toate cele 30 de rootkit-uri „ascunse” pe computerele de testare și au raportat în mod regulat alte pericole ascunse. Gmer a recunoscut, de asemenea, toți „dăunătorii deghizat” care se ascundeau în fluxurile alternative de date (acesta este ceea ce i-a adus victoria generală). ȘI Gmer, Și AVG Anti-RootkitÎndepărtează majoritatea „dăunătorilor” găsiți, dar nu toți... Utilizarea simultană a acestor două programe vă permite să obțineți efectul maxim. Toate celelalte anti-rootkit-uri au primit un rating „slab”.

Această categorie acoperă diverse programe pentru găsirea și eliminarea rootkit-urilor. Cel mai mare pericol al unui astfel de malware este că câștigă control la nivelul nucleului sistemului de operare. Mai simplu spus, ei devin parte a sistemului de operare și pot face orice doresc. Ascundeți procesele, blocați accesul, utilizați computerul pentru a opera o rețea botnet, descărcați diverse programe și multe altele. În același timp, este posibil să nu bănuiți că aveți un rootkit. Pentru că sarcina lor principală nu este să spargă sau să înfunde cumva sistemul (deși există astfel de lucruri), ci să acționeze pe ascuns pentru o lungă perioadă de timp. Unele dintre aceste rootkit-uri sunt chiar capabile să blocheze programele antivirus.

Revizuirea programelor gratuite pentru eliminarea rootkit-urilor

Există multe programe pentru combaterea rootkit-urilor. Dar cele mai multe dintre ele sunt destinate utilizatorilor cunoscători din punct de vedere tehnic, care cunosc bine sistemele de operare. Este puțin probabil ca astfel de programe să fie potrivite pentru utilizatorii obișnuiți. Cu toate acestea, în această clasă de programe există mai multe opțiuni care nu necesită cunoștințe tehnice speciale de la utilizatori și vor fi la fel de eficiente.

Programul de eliminare a rootkit-ului Kaspersky TDSSKiller de la compania cu același nume

Una dintre cele mai bune soluții poate fi numită. Acest program are o interfață destul de simplă și intuitivă. Funcționează destul de repede și este capabil să detecteze un număr destul de mare de rootkit-uri.

De fapt, este dificil să le recomandăm utilizatorilor obișnuiți, deoarece rezultatele pentru ei pot părea doar un set de simboluri de neînțeles (rezultatele sunt de natură pur tehnică, adică absența completă a frazelor frumoase „Utilitatea a șters totul în sine, ” „Nu aveți de ce să vă faceți griji”, etc. .d.). De obicei, trebuie să acționați rapid, așa că aceste programe sunt ultimul lucru de care vă amintiți. Dar, dacă ați prins cumva un rootkit deosebit de rar și greu de curățat, atunci aceștia vor deveni asistenți de neprețuit în lupta pentru computerul dvs., deoarece vi se va oferi o gamă largă de informații utile.

Programul de eliminare a rootkit-ului Avast Anti-Rootkit de la un producător binecunoscut

Interfața seamănă cu o fereastră de linie de comandă, dar nu vă speriați, deoarece interfața este foarte simplă și ușor de utilizat. Acest program poate scana computerul și MBR pentru rootkit-uri și, de asemenea, poate detecta o serie de probleme. Poate fi puțin dificil pentru utilizatorii obișnuiți să înțeleagă rezultatele programului, dar, cu toate acestea, programul își face treaba bine. A găsit TDSS și o serie de alte rootkit-uri moderne la fel de bine ca TDSS Killer. Dar au existat câteva probleme minore la eliminarea acestora. Dar acest program are o funcționalitate importantă, de care uneori este greu de făcut fără atunci când eliminați rootkit-urile. Aceasta este capacitatea de a efectua FixMBR direct din Windows. De obicei, aceasta necesită pornirea de pe un disc de recuperare Windows sau LiveCD. Și în acest program, pentru a face acest lucru, trebuie doar să faceți clic pe butonul FixMBR. De aceea ar trebui să ții întotdeauna un astfel de program cu tine.

Instrument antivirus Dr.Web CureIt! prevenirea este utilă

Următorul produs inclus în recenzie este. Ar trebui să-l ții mereu cu tine. Vindecă-l! nu este un instrument cu drepturi depline pentru găsirea și eliminarea rootkit-urilor, ca alte programe discutate mai devreme. Este mai degrabă un scaner de malware gratuit, în esență un mini-antivirus. Dar, este destul de eficient în combaterea unui număr de rootkit-uri. Adevărat, este, de asemenea, imposibil să se garanteze că va putea prinde toate rootkit-urile. Ar trebui mai degrabă să fie folosit ca un plus la instrumentul principal pentru combaterea rootkit-urilor. Cu toate acestea, merită remarcat faptul că creează un mediu de execuție destul de sigur în timpul scanării. Faptul că oprește toate procesele este doar un plus pentru acesta, deoarece malware-ul poate încerca să-și blocheze funcționarea. De asemenea, poate efectua o scanare profundă a discului dvs. De asemenea, vă permite să reporniți în modul sigur pentru a căuta și elimina programele malware.

Mai multe utilități pentru găsirea și eliminarea rootkit-urilor

Sophos Anti-Rootkit(acum numit Sophos Virus Removal Tool, din păcate a devenit o încercare, poate că versiunile vechi mai pot fi găsite pe depozitele de fișiere) - un program bun și ușor de utilizat, fără posibilitatea de a specifica tipul de scanare (scanează totul) . Dar, la fel ca CureIt!, cu greu poate fi numit un program specializat pentru căutarea și eliminarea rootkit-urilor. Acestea. poate fi folosit și ca adaos la produsul principal, deși spre deosebire de CureIT! necesită instalare. Procesul de lucru este foarte simplu. Pur și simplu rulați scanarea și așteptați rezultatele. După finalizarea căutării, în interfață apare o listă de amenințări detectate. În același timp, puteți extinde fiecare amenințare și puteți vedea exact unde se află cozile fiecărei amenințări specifice. Poate că ar fi un utilitar excelent pentru căutarea și eliminarea rootkit-urilor dacă nu ar fi fost reorientat de la un instrument specializat la un mini-antivirus.

F-Secure Blacklight(Din păcate, site-ul nu este disponibil, trebuie să căutați versiunea pe stocarea fișierelor) Acesta este un alt instrument grozav pentru eliminarea rootkit-urilor. Din păcate, suportul pentru acesta s-a încheiat acum câțiva ani, iar acum nici măcar nu îl puteți găsi pe site-ul lor. Cu toate acestea, este încă disponibil pe Internet și este compatibil cu Windows Vista și XP. Dacă încercați să îl rulați pe Windows 7, fiți pregătit să vedeți o casetă de dialog care spune „eroare incompatibilă”.

BlackLight este bun la găsirea și eliminarea vechilor rootkit-uri, dar așteptarea ca acesta să poată detecta cele mai recente rootkit-uri ar fi o greșeală gravă. De aceea se recomandă în continuare utilizarea altor programe.

Ghid rapid (Link-uri pentru a descărca software-ul gratuit de eliminare a rootkit-urilor)

Kaspersky TDSSKiller

GMER

Avast Anti-Rootkit

Dr.Web CureIt!