64-bit rootkit infecteert Windows 7 systemen
64-bit rootkit Alureon infecteert Windows 7 systemen
De nieuw ontdekte rootkit die 64-bit versies van Windows 7 en Vista kan infecteren, maakt misbruik van een Windows feature om dit te doen. De TDL3-rootkit, ook bekend als Alureon, was voorheen alleen in staat om 32-bit Windows versies te infecteren. Microsoft verwijderde de rootkit de afgelopen maanden op 1,2 miljoen systemen. In 77% van de gevallen ging het om Windows XP, gevolgd door Vista (18%) en 32-bit Windows 7 (5%).
Donderdag waarschuwde beveiligingsbedrijf Prevx voor een variant die succesvol de beveiliging van Windows 7 en Vista omzeilt en zo ook 64-bit systemen kan besmetten. Microsoft is sinds drie weken met de nieuwe versie bekend, die 64-bit versies van Windows XP en Server 2003 zodanig verminkt, dat ze niet meer kunnen opstarten.
Feature
"Normaliter heeft 64-bit Windows verschillende beveiligingsmaatregelen tegen onbetrouwbare aanpassingen van de kernel, waaronder de vereiste dat alle drivers gesigneerd zijn en PatchGuard, dat het manipuleren van bepaalde systeemstructuren voorkomt", zegt Jason Conradt van het Microsoft Malware Protection Center. "Naast het onderscheppen van de OS boot sequentie in het begin van de cyclus, configureert de malware het besturingssysteem op een zichtbare manier om het laden van niet gesigneerde drivers te accepteren."
Jason Conradt, Jeremy Croy en Joe Johnson maakten duidelijk in hun Threat Research & Response Blog dat de door Alureon gebruikte methode een ondersteunde "extensibility feature" van de kernel is, die ook door full disk encryptie en compressie software wordt gebruikt. "Het schendt niet de garantie die PatchGuard biedt over de integriteit van het systeem."
Microsoft Security Essentials
Gebruikers van Microsoft Security Essentials en Forefront zouden al sinds 6 augustus tegen de nieuwe versie beschermd zijn. Wie wil controleren of zijn of haar systeem besmet is, kan dit onder andere doen via 'Schijfbeheer'. U komt hier door in het zoekvak boven de startparel "Partities maken" zonder de aanhalingstekens typen. En op --> enter te drukken.
bron: http://www.security.nl
DiskPart Command-Line
Of Diskpart vanaf de command line aanroepen.
Start --> alle programma's --> Bureau-accessoires --> Opdrachtpromp --> rechtermuisknop klikken --> Als administrator uitvoeren
Dan typt u de opdracht DISKPART (enter) gevolgd door list disk (enter) of nog beter list volume (enter)
In beide gevallen zouden er bij een malware besmetting geen schijven weergegeven worden, wat volgens de heren Jason Conradt, Jeremy Croy en Joe Johnson van Microsofts malware beschermings centrum een bijverschijnsel van de malware infectie is. In onze voorbeelden is er dus geen geval van malware besmetting van de tdl3 rootkit ook wel de Alureon genoemd.