Wie entferne ich ein Rootkit aus Windows XP?

Question 1

Das ist ein echter Krampf. Es gibt Tools, die speziell für die Erkennung von Rootkits entwickelt wurden -gmerUndRootkit-Enthüllerkommen mir in den Sinn. Die Dateien, die Sie sehen, sind offensichtlich selbst kein Rootkit - sie könnten von einer anderen, tatsächlich versteckten Datei generiert worden sein. Diese würden das Rootkit erkennen, wenn sie richtig verwendet werden. Sie zu entfernen ist jedoch schwierig und die Verwendung dieser Tools erfordert einige Fachkenntnisse.

Zunächst einmal Ihr SystemIstkompromittiert. Es gibt wahrscheinlich keinen wirklichen Grund, es nicht zu zerstören und zu pflastern. Nehmen wir jedoch hypothetisch an, Sie wollten untersuchen, was das ist. Rootkits haken sich im Betriebssystem selbst ein, um sich zu verstecken. Zusätzlich zu den zuvor erwähnten Tools könnten Sie eine Live-CD zur Virenrettung verwenden, um das System zu scannen -Microsoft System Sweepr fällt mir ein, aber es gibt noch andere.

Ich würde dann vorschlagen, mit einer Linux-Live-CD zu beginnen und alle Dateien zu kopieren, die Sie verlieren möchten, und dann wieder in Windows zu booten. Führen Sie noch einmal einen AV-Scan durch, um zu sehen, was dabei herauskommt.

Anschließend natürlich NeuinstallationIstdie kluge Wahl hier.

Answer

Das ist ein echter Krampf. Es gibt Tools, die speziell für die Erkennung von Rootkits entwickelt wurden -gmerUndRootkit-Enthüllerkommen mir in den Sinn. Die Dateien, die Sie sehen, sind offensichtlich selbst kein Rootkit - sie könnten von einer anderen, tatsächlich versteckten Datei generiert worden sein. Diese würden das Rootkit erkennen, wenn sie richtig verwendet werden. Sie zu entfernen ist jedoch schwierig und die Verwendung dieser Tools erfordert einige Fachkenntnisse.

Zunächst einmal Ihr SystemIstkompromittiert. Es gibt wahrscheinlich keinen wirklichen Grund, es nicht zu zerstören und zu pflastern. Nehmen wir jedoch hypothetisch an, Sie wollten untersuchen, was das ist. Rootkits haken sich im Betriebssystem selbst ein, um sich zu verstecken. Zusätzlich zu den zuvor erwähnten Tools könnten Sie eine Live-CD zur Virenrettung verwenden, um das System zu scannen -Microsoft System Sweepr fällt mir ein, aber es gibt noch andere.

Ich würde dann vorschlagen, mit einer Linux-Live-CD zu beginnen und alle Dateien zu kopieren, die Sie verlieren möchten, und dann wieder in Windows zu booten. Führen Sie noch einmal einen AV-Scan durch, um zu sehen, was dabei herauskommt.

Anschließend natürlich NeuinstallationIstdie kluge Wahl hier.

Question 2

OK, Hauptziel:

Wie kann ich das entfernen?

Der einzige sichere Weg ist,Zerstöre es mit einer Atombombe aus der Umlaufbahn. Neu formatieren und neu installieren.

Es gibt vielleicht subtilere Möglichkeiten, es zu entfernen, aber wenn Sie nicht genau wissen, womit Sie es zu tun haben, können Sie nicht sicher sein. Das bedeutet, dass Sie diesen PC niemals für Bankgeschäfte verwenden sollten. Keine Online-Einkäufe mehr mit Kreditkartennummern usw.

Sofern Sie kein nachweislich funktionierendes Backup haben, ist das verdammt nervig. Aber es ist die einzige Möglichkeit, auf Nummer sicher zu gehen.

Ich schlage vor, zuerst eine Kopie der Festplatte zu erstellen. Das können Sie auf verschiedene Arten tun. Zum Beispiel mit einem Image-Tool wieAcronis,Geist,Clonezilla. Damit können Sie zu dem Zustand zurückkehren, in dem Sie sich jetzt befinden. Eine einfache Kopie auf ein externes Laufwerk ist einfacher, aber gehen Sie nicht davon aus, dass das Zurückkopieren von allem die alte Windows-Installation wiederherstellt (insbesondere nicht, wenn die externe Festplatte FAT32-formatiert ist). Eine gute dritte Option ist, eine VMDK (VMware-Festplatte) oder eine VHD von der Festplatte zu erstellen (Tools dafürhier auf TechnetUndhier für Vmware).

Löschen Sie es anschließend vollständig. Installieren Sie es erneut von einem sauberen Image.Versuchen Sie noch nicht, Dateien wiederherzustellen. Installieren Sie bei Bedarf Netzwerktreiber. Aktualisieren Sie anschließend Windows vollständig.

Jetzt wäre ein guter Zeitpunkt, ein weiteres Systemabbild zu erstellen. Hoffentlich müssen Sie dies nie wieder tun, aber wenn Sie es tun, sparen Sie viel Zeit.

Installieren Sie die Treiber. Laden Sie sie von einer bekannten sicheren Quelle herunter. Installieren und aktualisieren Sie das Antivirenprogramm.

Jetzt haben wir ein sicheres System und Sie können mit der Analyse der Backups beginnen, die Sie am Anfang erstellt haben. Führen Sie einen Virenscan durch. Wenn der Virus erkannt wird, erhalten Sie möglicherweise die Antwort, nach der Sie suchen.

Wenn nicht, richten Sie eine virtuelle Maschine (ohne Netzwerk) ein. Stellen Sie das Systemabbild darauf wieder her. Installieren Sie dann Debugtools wieProcess Explorer,Rootkit-EntdeckerUndGMER.

Jetzt sind Sie bereit, Ihre zweite Frage zu beantworten.

Wie erfahre ich, wann es eingefügt wurde?

Wenn es Spyware, Trojaner, Viren oder sonst etwas „Böses“ ist: Sie können sich nicht auf das infizierte System verlassen. Sie müssen das infizierte System mit einem vorherigen Backup überprüfen. Sofern Sie nicht viele regelmäßige Backups haben, wird dies wahrscheinlich nicht erfolgreich sein.

Handelt es sich nur um „normale“ Software, können in den Protokolldateien und auf den Dateien selbst Daten enthalten sein.

Wie kann ich herausfinden, wer es geschrieben hat?

Wenn es ein Virus oder ähnliches ist: Das geht nicht. Wenn es sich um legal geschriebene Software handelt, gehört sie zu einem Programm oder Treiber. Diese sollten mit Informationen versehen sein. Leider wird ein Treiber oft von geschrieben fill in your name here.

Answer