Руткитам – бой!

Крис Касперски

Хакер, номер #102, стр. 102-032-5

Впрочем, серьезные руткиты в публичный доступ не выкладываются и стоят от 10k-15k денег в баксах. Среди них есть и такие, которые знают о существовании Rootkit Revealer и блокируют его запуск с невнятным сообщением об ошибке или же используют специальные алгоритмы обхода, с которыми Rootkit Revealer уже не справляется. Однако вероятность словить такую продвинутую заразу крайне мала, и потому результатам работы Rootkit Revealer можно вполне доверять.

Rootkit Revealer — единственная утилита, работающая с файловой системой/реестром на физическом уровне и способная обнаружить практически все руткиты уровня ядра, которые KAV, Dr. Web и другие коммерческие антивирусы даже не пытаются искать. NOD32 обнаруживает большинство руткитов прикладного уровня и некоторые руткиты уровня ядра. Однако, во-первых, он требует предварительной установки на компьютер (да и весит до хрена), во-вторых, представляет собой платный продукт, а в-третьих, он намного более известен, что отнюдь не идет ему на пользу, и качественные руткиты учатся обходить его еще в зародыше. Все это делает Rootkit Revealer практически безальтернативным средством, с которым мы сейчас и познакомимся.

Запускаем RootkitRevealer.exe, нажимаем кнопку «Scan» и ждем, пока программа просканирует ветви реестра и дисковые файлы на предмет сокрытой заразы. Поиск сокрытых сетевых соединений не осуществляется, что не есть гуд, поскольку черви все чаще и чаще прибегают к маскировке левого трафика. Выглядит это приблизительно так: все приложения закрыты, но модем оживленно мигает своими огоньками. Тут уже никакого Rootkit Revealer не нужно, чтобы заподозрить наличие непрошенной заразы или AdWare, загружающего баннеры.

Если зловредная программа в дополнение к сетевым соединениям скрывает и свой исполняемый файл (динамическую библиотеку) и/или процесс, она будет обнаружена Rootkit Revealer на общих основаниях, в противном случае вредоносный процесс легко обнаружить с помощью Anti-Spy Info.

А что делать, если Anti-Spy Info молчит, как партизан на допросе, RootkitRevealer не показывает ничего интересного, а модем все-таки мигает, указывая на наличие заразы? Приходится прибегать к «тяжелой артиллерии» — к отладчику SoftICE, работающему с операционной системой на самом низком уровне и цепляющему все (ну или практически все), что шевелится. Только не спрашивай меня, где его взять и как установить! Документацию по этой теме мы положили на диск, поэтому будем считать, что SoftICE уже установлен. Вызываем его нажатием <Ctrl-D> (комбинация по умолчанию, которая при желании может быть изменена) и даем команду PROC для вывода списка процессов, после чего сравниваем полученный результат с данными, возвращенными диспетчером задач.