Руткитам – бой!

Крис Касперски

Хакер, номер #102, стр. 102-032-6

В данном случае SoftICE обнаружил процесс sysrtl, который не зацепил диспетчер задач, что свидетельствует о факте активной маскировки (впрочем, ничего не говоря о его зловредности).

Стерилизация системы

Обнаружив подозрительный объект, лучше поскорее избавиться от него. Если мы знаем путь к файлу объекта и он не предпринимает никаких усилий по своей маскировке, то проще всего переименовать его во что-нибудь типа goodbye-malware.dat и тут же перезагрузиться, после чего отправить разработчикам антивирусов на трепанацию или удалить.

Зачем переименовывать? А затем, что Windows блокирует удаление запущенных файлов и загруженных динамических библиотек, но допускает переименование. Переименование же файла препятствует его запуску после перезагрузки (ведь путь в реестре остался тем же самым!), и с ним можно делать все что угодно.

Если же малварь прячет файл, то побороть его становится уже сложнее. Продвинутая малварь просто не позволит себя удалить (и, в общем-то, правильно сделает). Самое простое, что только можно предпринять в обозначенной ситуации, — это загрузиться с LiveCD, поддерживающего NTFS-разделы (у тебя ведь диск размечен под NTFS, верно?) и удалить все левые файлы. Этому малварь уже никак не сможет противостоять! Подойдет Window PE (в свободную продажу не поступала, но найти ее не проблема), Knoppix (довольно популярный клон Linux) или подключение винчестера с инфицированной системой вторым к стерильной XP с последующим удалением нехороших файлов уже оттуда.

Как вариант - можно переустановить систему с нуля. Способ радикальный, зато действенный. Но сначала необходимо скачать все Service Pack'и вместе с самыми последними заплатками, поскольку выходить в сеть на незаштопанной системе небезопасно. К счастью, Microsoft помимо автоматического обновления поддерживает и ручное. Порядок установки заплаток должен совпадать с датами их выпуска (Windows его, увы, не проверяет), в противном случае более древние обновления, установленные последними, могут затереть один или несколько системных файлов со всеми вытекающими отсюда последствиями.

Сохраняем обновления на локальном диске и записываем на бумажке даты их выхода (или просто скачиваем обновления один за другим в порядке возрастания их даты, а перед их установкой отсортировываем файлы по времени создания). Затем загружаемся с LiveCD (или стерильной XP, к которой зараженный винчестер подключен вторым) и удаляем каталоги Windows и Program Files, после чего вынимаем LiveCD (отключаем зараженный диск от стерильной XP, вновь подключая его первым) и устанавливаем Windows с дистрибутивного CD. Вероятность выживания малвари минимальна, однако время, потраченное на переустановку системы, довольно значительно, а потому этот способ годится лишь в качестве последнего средства, когда остальные уже исчерпаны.

Заключение

Страх перед вирусами высаживает на конкретную измену, заставляя искать черную кошку, которой нет, в темной комнате, которой никогда не было. Малварь далеко не так вездесуща и отнюдь не всемогуща. Большинство странностей в поведении компьютера обуславливается дефектами железа, кривизной рук и прочими подобными факторами. Существует только один способ побороть страх —разобраться в устройстве вирусов, освоить ассемблер, научиться держать в руках отладчик с тем, чтобы при малейших подозрениях можно было провести полную ревизию системы. Мы боимся того, что не контролируем, чем не можем управлять, что не знаем… А не знаем потому, что не утруждаем себя этим. Рядовые пользователи предпочитают отмахиваться от проблемы, мол, пользоваться тостером можно, даже не будучи инженером. Верно. Тостером — можно. Но компьютер — это все-таки не тостер. Это сложная электронно-вычислительная машина, требующая от оператора определенной квалификации и жестоко карающая за нежелание думать.