Что такое win r00tkits и что с ними делать

Xakep, номер #049, стр. 049-064-2

_root_040 - классика, но очень поучительная...

Это первый руткит для nt/2k. Доступна альфа-версия (хотя она была выпущена примерно год назад). Из достоинств хотелось бы отметить возможность прятать процессы, ключи реестра, файлы и каталоги (если они начинаются с _root_). Итак, чтобы запустить руткит тебе следует скопировать _root_.sys и deploy.exe в какую-нибудь директорию (например, YourDir) и набрать C:\YourDir>deploy.exe. Теперь в системе создается скрытый TCP/IP стек(!), который создает виртуальную машину с адресом 10.0.0.166 (естественно, такие фокусы будут корректно работать только в локальной сети). Берешь обычный телнет и коннектишься (порт не имеет значения, если будет время, попробуй посканить хост nmap'ом, получишь очень интересные результаты :)):