解析rootkits病毒以及解決辦法

解析rootkits病毒以及解決辦法

　　什么是Rootkits?

　　Rootkits最早是一組用于UNIX操作系統(tǒng)的工具集，黑客使用它們隱藏入侵活 動的痕跡，它能在操作系統(tǒng)中隱藏惡意程序。這些程序在植入系統(tǒng)后，rootkits 會將它們 隱藏起來，它能隱藏任何惡意程序過程、文件夾、注冊碼。

　　Rootkits病毒主要分為兩大類：

　　一種是進程注入式Rootkits，另一種是驅(qū)動級Rootkits。

　　第一種Rootkits技術(shù)通常通過釋放動態(tài)鏈接庫(DLL)文件，并將它們注入到可執(zhí)行文件及系統(tǒng)服務進程中運行，阻止操作系統(tǒng)及應用程序?qū)Ρ桓腥镜奈募M行訪問。

　　這種Rootkits病毒較好處理，通過使用殺毒軟件可以輕松清除，而且不會造成任何嚴重的后果。

　　第二種Rootkits技術(shù)比較復雜，在系統(tǒng)啟動時Rootkits病毒以加載驅(qū)動程序的方式，先于殺毒軟件被裝入系統(tǒng)，得到合法的操作系統(tǒng)控制權(quán)。當殺毒軟件通過系統(tǒng)API及NTAPI訪問文件系統(tǒng)時進行監(jiān)視，一但發(fā)現(xiàn)被Rootkits感染的文件時返回一個虛假的結(jié)果，從而阻止操作系統(tǒng)及應用程序?qū)Ρ桓腥镜奈募M行訪問。

　　該Rootkits病毒，由于其以驅(qū)動程序裝入系統(tǒng)被認為是驅(qū)動的一部分，現(xiàn)階段還沒有一個較好的解決辦法。少數(shù)殺毒軟件在處理使用此類Rootkits病毒時甚至會出現(xiàn)漏查漏殺的現(xiàn)象，大多數(shù)殺毒軟件會發(fā)現(xiàn)此類病毒，但往往清除失敗，某些筆者在實際工作中遇到過幾次問題，現(xiàn)加以總結(jié)把解決方法與大家分享：

　　第一個例子出現(xiàn)的現(xiàn)象是操作系統(tǒng)能夠正常運行，但殺毒軟件無法啟動，在沒有任何可疑前后臺進程的狀況下，CPU占用率很高，毫無疑問系統(tǒng)被病毒感染，由于系統(tǒng)本身無法清除病毒，只好把該機器硬盤摘下，掛入另一沒有被病毒感染的操作系統(tǒng)以從盤方式進行殺毒，由于病毒盤上所有文件在干凈操作系統(tǒng)中只作為普通文件處理，病毒很快就被清除。問題解決。

　　第二個例子情況更加嚴重一些，系統(tǒng)在進入桌面后即出現(xiàn)藍屏，詢問操作人員后得知，前一天殺毒軟件報告病毒，殺毒重啟后系統(tǒng)即出現(xiàn)桌面藍屏，排除因為硬件及程序問題后，判斷是rootkits病毒破壞操作系統(tǒng)中某啟動文件引起，掛從盤殺毒后果然發(fā)現(xiàn)病毒，但作為操作系統(tǒng)主盤引導，依然出現(xiàn)進入桌面即藍屏的現(xiàn)象，根據(jù)經(jīng)驗，考慮到rootkits病毒可能首先破壞殺毒軟件，而且原殺毒軟件已經(jīng)無法啟動，于是依舊掛從盤利用其他操作系統(tǒng)強行刪除原系統(tǒng)的殺毒軟件文件，再重新裝入原系統(tǒng)，問題解決，重新裝載殺毒軟件，查殺后無病毒。