TDSSKiller, removedor de rootkit Kaspersky TDSS
- Categoria: Segurança
Uma das famílias de rootkit mais notórias na Internet atual é a família TDSS Rootkit, que é conhecida como Rootkit.Win32.TDSS, Tidserv, TDSServ ou Alureon. O rootkit começou a se espalhar em 2008 e é uma das causas para Redirecionamentos não autorizados do Google que os usuários experimentam quando o rootkit está ativo em seu sistema de PC.
Uma das ferramentas projetadas para detectar e remover rootkits da família TDSS é o TDSSKiller da Kaspersky, que recentemente foi lançado em uma nova versão.
A ferramenta pode não apenas detectar e remover rootkits da família TDSS, mas também rootkits conhecidos como Sinowa, Whistler, Phanta, Trup e Stoned. Além disso, ele pode usar heurísticas para detectar rootkits desconhecidos que estão ativos ou instalados no sistema.
Visão geral detalhada de objetos suspeitos que pode encontrar
- Serviço oculto - uma chave de registro que está oculta da listagem padrão;
- Serviço bloqueado - uma chave de registro que não pode ser aberta por meios padrão;
- Arquivo oculto - um arquivo no disco que está oculto da listagem padrão;
- Arquivo bloqueado - um arquivo no disco que não pode ser aberto pelos meios padrão;
- Arquivo forjado - quando lido por meios padrão, o conteúdo original é retornado em vez do real;
- Rootkit.Win32.BackBoot.gen - uma suspeita de infecção por MBR com um bootkit desconhecido.
O aplicativo é um software portátil para Windows que pode ser executado de qualquer local após ser baixado e descompactado. Ele irá verificar os serviços e drivers, bem como os setores de inicialização por padrão. É possível remover serviços e drivers ou objetos de setores de inicialização da verificação.
Um clique em Iniciar varredura executa a varredura do sistema, que leva menos de um minuto em um sistema Windows 7 rápido. Os possíveis arquivos perigosos são exibidos após a verificação na página de resultados.
Geralmente, é uma boa ideia pesquisar o nome do arquivo no Bing ou no Google antes de mover o rootkit para a quarentena para desinfetar um sistema comprometido. Outra opção é enviar o arquivo suspeito para um serviço como Laboratório de Vírus ou Total de vírus para digitalizá-lo lá para uma segunda opinião.
O TDSSKiller tem várias opções de linha de comando:
- -l - salva um log no arquivo;
- -qpath - caminho da pasta de quarentena (criado automaticamente se não existir);
- -h - esta ajuda;
- -sigcheck - detecta todos os drivers não assinados como suspeitos;
- -tdlfs - detecta o sistema de arquivos TDLFS, que os rootkits TDL 3/4 criam nos últimos setores de um disco rígido para armazenar seus arquivos. É possível colocar todos esses arquivos em quarentena.
As seguintes chaves permitem executar o utilitário no modo silencioso:
- -qall - coloca em quarentena todos os objetos (incluindo os limpos);
- -qsus - coloca em quarentena apenas objetos suspeitos;
- -qmbr - coloca em quarentena todos os MBRs;
- -qcsvc - coloca o serviço em quarentena;
- -dcsvc - exclui o serviço.
- -silent - verifica no modo silencioso (não exibe nenhuma janela) para poder executar o utilitário de forma centralizada na rede.
O removedor de rootkit gratuito oferece suporte a sistemas operacionais Windows de 32 e 64 bits. Um download é oferecido em Base de conhecimento da Kaspersky.