Как удалить руткит из Windows XP?

Question 1

Это серьезная головная боль в спине. Есть инструменты, специально разработанные для обнаружения руткитов -гмерисредство обнаружения рут-китовприходят на ум. Файлы, которые вы видите, очевидно, сами по себе не являются руткитом - они могли быть созданы другим, на самом деле скрытым файлом. Они обнаружат руткит, если будут использоваться правильно. Однако удалить их сложно, и для использования этих инструментов требуются некоторые знания.

Прежде всего, ваша системаявляетсяскомпрометирован. Вероятно, нет никаких реальных причин не уничтожить его и не заасфальтировать. Однако, предположим, что вы гипотетически хотите исследовать, что это такое. Руткиты подключаются к самой ОС, чтобы скрыться. В дополнение к ранее упомянутым инструментам, вы можете использовать антивирусный livecd для сканирования системы -проверка системы microsoftНа ум приходит «р», но есть и другие.

Я бы тогда предложил зайти с linux livecd и скопировать все файлы, которые вы боитесь потерять, а затем загрузиться обратно в windows. Сделайте AV-сканирование еще раз, просто чтобы посмотреть, что из этого выйдет.

Потом конечно переустановкаявляетсяразумный выбор здесь.

Answer

Это серьезная головная боль в спине. Есть инструменты, специально разработанные для обнаружения руткитов -гмерисредство обнаружения рут-китовприходят на ум. Файлы, которые вы видите, очевидно, сами по себе не являются руткитом - они могли быть созданы другим, на самом деле скрытым файлом. Они обнаружат руткит, если будут использоваться правильно. Однако удалить их сложно, и для использования этих инструментов требуются некоторые знания.

Прежде всего, ваша системаявляетсяскомпрометирован. Вероятно, нет никаких реальных причин не уничтожить его и не заасфальтировать. Однако, предположим, что вы гипотетически хотите исследовать, что это такое. Руткиты подключаются к самой ОС, чтобы скрыться. В дополнение к ранее упомянутым инструментам, вы можете использовать антивирусный livecd для сканирования системы -проверка системы microsoftНа ум приходит «р», но есть и другие.

Я бы тогда предложил зайти с linux livecd и скопировать все файлы, которые вы боитесь потерять, а затем загрузиться обратно в windows. Сделайте AV-сканирование еще раз, просто чтобы посмотреть, что из этого выйдет.

Потом конечно переустановкаявляетсяразумный выбор здесь.

Question 2

Хорошо, основная цель:

Как мне это удалить?

Единственный гарантированный способ — этоСбросить ядерную бомбу с орбиты. Переформатируйте и переустановите.

Возможно, есть более тонкие способы удалить его, но если вы точно не знаете, с чем имеете дело, вы не можете быть уверены. Это значит, что вам никогда не следует использовать этот ПК для банковских операций. Больше никаких онлайн-покупок с номерами кредитных карт и т. д.

Если у вас нет заведомо хорошей резервной копии, это чертовски раздражающая вещь. Но это единственный способ быть в безопасности.

Я предлагаю сначала сделать копию жесткого диска. Это можно сделать многими способами. Например, с помощью инструмента для работы с изображениями, напримерАкронис,Призрак,Клонезилла. Что позволит вам вернуться в то состояние, в котором вы находитесь сейчас. Простое копирование на внешний диск проще, но не думайте, что копирование всего обратно восстановит старую установку Windows (особенно, если внешний диск отформатирован в FAT32). Хороший третий вариант — создать VMDK (диск vmware) или VHD с диска (Инструменты для этогоздесь на technetиздесь для Vmware).

Затем полностью очистите. Переустановите с чистого образа.Пока не пытайтесь восстановить какие-либо файлы.. Установите сетевые драйверы, если необходимо. Затем полностью обновите Windows.

Сейчас самое время сделать еще один образ системы. Надеюсь, вам больше никогда не придется этого делать, но если вы это сделаете, это сэкономит вам кучу времени.

Установите драйверы. Загрузите их из известного безопасного источника. Установите и обновите антивирус.

Теперь у нас есть безопасная система, и вы можете начать анализировать резервные копии, которые вы сделали в начале. Запустите их проверку на вирусы. Если вирус будет обнаружен, это может дать вам ответ, который вы ищете.

Если нет, настройте виртуальную машину (без сети). Восстановите образ системы на ней. Затем установите инструменты отладки, такие какобозреватель процессов,RootkitrevealerиГМЕР.

Теперь вы готовы ответить на свой второй вопрос.

Как узнать, когда он был установлен?

Если это шпионское ПО, троян, вирус или иное «зло»: вы не можете полагаться на зараженную систему. Вам нужно будет проверить зараженную систему с помощью предыдущей резервной копии. Если у вас нет большого количества регулярных резервных копий, это, вероятно, не удастся.

Если это просто «обычное» программное обеспечение, то в файлах журналов и в самих файлах могут быть даты.

Как узнать, кто это написал?

Если это вирус или что-то подобное: Вы не можете. Если это легально написанное программное обеспечение, оно принадлежит программе или драйверу. Они должны поставляться с информацией. К сожалению, часто драйвер пишется fill in your name here.

Answer