TDSSKiller, Kaspersky TDSS Rootkit Remover
- Categoria: Sicurezza
Una delle famiglie di rootkit più famose su Internet di oggi è la famiglia TDSS Rootkit, nota come Rootkit.Win32.TDSS, Tidserv, TDSServ o Alureon. Il rootkit ha iniziato a diffondersi nel 2008 ed è una delle cause di reindirizzamenti di Google non autorizzati che gli utenti sperimentano quando il rootkit è attivo sul proprio PC.
Uno degli strumenti progettati per rilevare e rimuovere i rootkit della famiglia TDSS è TDSSKiller di Kaspersky, recentemente rilasciato in una nuova versione.
Lo strumento può non solo rilevare e rimuovere i rootkit della famiglia TDSS, ma anche i rootkit noti come Sinowa, Whistler, Phanta, Trup e Stoned. Inoltre, potrebbe essere in grado di utilizzare l'euristica per rilevare rootkit sconosciuti attivi o installati nel sistema.
Panoramica dettagliata degli oggetti sospetti che può trovare
- Servizio nascosto: una chiave di registro che è nascosta dall'elenco standard;
- Servizio bloccato: una chiave di registro che non può essere aperta con mezzi standard;
- File nascosto: un file sul disco nascosto dall'elenco standard;
- File bloccato: un file sul disco che non può essere aperto con mezzi standard;
- File contraffatto: quando viene letto con mezzi standard, viene restituito il contenuto originale anziché quello effettivo;
- Rootkit.Win32.BackBoot.gen: sospetta infezione da MBR con un bootkit sconosciuto.
L'applicazione è un software portatile per Windows che può essere eseguito da qualsiasi posizione dopo che è stato scaricato e decompresso. Analizzerà sia i servizi che i driver, nonché i settori di avvio per impostazione predefinita. È possibile rimuovere servizi e driver o gli oggetti dei settori di avvio dalla scansione.
Un clic su Avvia scansione esegue la scansione del sistema che ha richiesto meno di un minuto su un sistema Windows 7 veloce. Possibili file pericolosi vengono visualizzati dopo la scansione nella pagina dei risultati.
Di solito è una buona idea cercare Bing o Google per il nome del file prima di spostare il rootkit in quarantena per disinfettare un sistema compromesso. Un'altra opzione è inviare il file sospetto a un servizio come Virus Lab o Virus Total per scannerizzarlo lì per una seconda opinione.
TDSSKiller ha diverse opzioni della riga di comando:
- -l - salva un log nel file;
- -qpath - percorso della cartella di quarantena (creato automaticamente se non esiste);
- -h: questo aiuto;
- -sigcheck - rileva come sospetti tutti i driver non firmati;
- -tdlfs - rileva il file system TDLFS, che i rootkit TDL 3/4 creano negli ultimi settori di un disco rigido per memorizzare i suoi file. È possibile mettere in quarantena tutti questi file.
I seguenti tasti consentono di eseguire l'utility in modalità silenziosa:
- -qall - mette in quarantena tutti gli oggetti (compresi quelli puliti);
- -qsus - mette in quarantena solo gli oggetti sospetti;
- -qmbr - mette in quarantena tutti gli MBR;
- -qcsvc - mette in quarantena il servizio;
- -dcsvc - elimina il servizio.
- -silent - esegue la scansione in modalità silenziosa (non visualizza alcuna finestra) per poter eseguire l'utility in modo centralizzato sulla rete.
Il dispositivo di rimozione rootkit gratuito supporta i sistemi operativi Windows a 32 bit e 64 bit. Un download è offerto a Knowledge Base di Kaspersky.