Nový rootkit

NOD(ESET) detektuje ako Win32/Olmasco.

Pozor. Tento postup nie je možne použiť na notebooku, kde je šifrovaný zavádzací zväzok pomocou utility safeboot. 

Safeboot používa predovšetkým Hawlet Packard.Môže sa ale nachádzať aj v iných notebookoch, kam výrobca alebo sám používateľ nainštaluje utilitu od McAfee - Endpoint Encryption.
Riešenie nepoznám.

Analýza najnovšej verzie rootkita TDL ukazuje, že jeho súčasti vrátane ovládača v režime jadra i ovládača používateľského režimu boli od základov prepísané. Vyplýva to zo zistení analytikov spoločnosti ESET.

To znamená ak máte notebook / pc  infikovaný Rootkitom TDL.tj.Win32/Sirefef, Win32/Olmarik, atď. je pravdepodobné že máte na disku aj skrytý oddiel, ktorý vytvoril Rootkit a ak tento oddiel neodstránite, tak sa infekcia obnoví.

Rootkit na disku vytvára vlastný skrytý oddiel, particiu, veľkosť oddielu je pár megabajtov a nastaví ju ako aktívnu, kód MBR zostáva nedotknutá. Tak zaistí vykonanie svojho kódu ešte pred štartom operačného systému.

Tento oddiel je vybavený pokročilým súborovým systémom, ktorý kontroluje integritu jednotlivých komponentov.Kým sa neodstráni skrytá aktívna particia, nedoporučujem použiť príkazy, fixmbr, fixboot, bootrec /fixmbr, bootrec /fixboot. Prípadná oprava MBR sectoru bude mať za následok, že počítač sa nepodarí spustiť.

Ak z nevedomosti alebo z akéhokoľvek dôvodu spustíte tieto príkazy, potom môžete vidieť chyby ako chýbajúci operačný systém, neplatná tabuľka oddielov, alebo chyba pri načítaní operačného systému.

Aby ste mali predstavu, že ako to funguje, tak len veľmi stručne.

MBR je prvý sektor na pevnom disku, z ktorého sa spúšťa počítač. Hlavný spúšťací záznam obsahuje tabuľku oddielu a hlavní spúšťači kód.

MBR uchováva záznamy o rozdelení disku (oddieloch) a určuje, z ktorého z nich sa má bootovať.

Ak je MBR v poriadku, konanie sa odovzdá Partition Loaderu. Ten v Partition tabuľke vyhľadá oddiel, ktorý je označený ako aktívny a prejde na prvý sektor tohto oddielu.

Úloha VBR (Volume Boot Record) je závislá na konkrétnom operačnom systéme, najskôr kontroluje sám seba (rovnaký mechanizmus ako u MBR) a potom vyhľadá sektor, na ktorom sa nachádza prvý zo súborov operačného systému, obyčajne sa mu hovorí zavádzač, vo Windows je to súbor NTLDR.

Na infikovanom PC systém bootuje v poradí, MBR je načítaný a vykonaný, infikovaný VBR skrytý oddiel vytvorené Rootkitom je načítaný a vykonaný, boot je načítaný a vykonaný, pôvodná aktívna oblasť VBR je načítaná a vykonaná, Bootmgr je načítaný a vykonaný.Toto umožňuje Rootkitu, získať kontrolu nad operačným systémom.

Podrobne informácie nájdete TU.

Možne Symptómy.

1: Pri štarte OS,počujete divne zvuky,hudbu.

2: Odpojovanie od internetu.

3: Zhoršenie výkonu systému.

4: Presmerovanie stránok.

5: Na 64b win,Môže spôsobiť  BSOD[Modru smrť.]

6: Vypínanie počítača.

Nástroje potrebné pre opravu.

Pokiaľ je možné tieto kroky robte na čistom / neinfikovanom počítači.

1: Stiahnite si a vypálte gparted-live-0.11.0-2.iso (119.4 MB)

2: Pre Win7 32-64 bites,a Vistu stiahnuť a vypáliť Recovery disk

3: Pre XP, pripravte inštalačnú disketu.

4: Malwarebytes.

5: TDSS Killer.

6: WebCureit.

Zistíme, či máme počítač infikovaný s týmto nebezpečným Rootkitom.

1. Spustiť príkazový riadok ako správca:

2. Stlačte klávesy Win+R

3. Zadajte príkaz cmd.

4. Podržte kláves Shift+Ctrl a stlačte Enter.

5. Do čierneho okna skopírujte tento príkaz.

%windir%\system32\wbem\wmic.exe partition get name,bootable,size,type > "%userprofile%\plocha\disk.txt"

Poznámka.

Ak máte windows v anglickom jazyku, miesto plocha, napíšte desktop,"%userprofile%\Desktop\disk.txt"

Alebo vytvorte dávkový súbor bat.

Spustiť Poznámkový blok cez Štart - Programy - Príslušenstvo a skopírujte do neho celý tento text:

@ECHO OFF
ECHO script created by: www.viruskasino.com
%windir%\SYSTEM32\WBEM\wmic.exe diskdrive get name,size,model>>log.txt
%windir%\SYSTEM32\WBEM\wmic.exe partition get name, bootable,size,type >>log.txt
del %0

Zvoľte možnosť Súbor,uložiť súbor ako, pomenujte súbor napríklad disk.bat a zvoľte Uložiť ako typ Všetky súbory.
Uložte súbor na plochu a spustíte ho - po chvíli sa vedľa neho vytvorí textový súbor log.txt.

6: Na ploche sa vytvorí textový súbor disk.txt,log.txt

7: Otvorte textový súbor disk.txt,log.txt.

8: Uvidíte približne toto.

9: Vás výpis môže byt odlišný ,záleží že koľko diskov a oddielov máte.

Bootable     Name                          Size                     Type
                  Disk č. 0, oddíl č. 0    41940670464     Installable File System
                  Disk č. 0, oddíl č. 1    38074821120     Extended w/Extended Int 13
TRUE      Disk č. 0, oddíl č. 2   1000000             Unknown

1: Ako vidno z výpisu v našom príklade je v počítači 1-disk=Disk č. 0

2: Máme 3-oddiely,

a.)oddíl č. 0  41940670464  Installable FileSystem.

Systémový disk.

b.)oddíl č. 1  38074821120  Extended w/Extended Int 13.

Rozšírená oblasť

c.) oddíl č. 2  1000000       Unknown.

1MB oddiel vytvorené Rootkitom, a nastavené na Bootovaci

Bootable=TRUE      Disk č. 0, oddíl č. 2  1000000       Unknown,

Znamená, že tento malý 1MB oddiel je neznámy a  nastavený Rookitom ako Bootovaci.

Poznámka:

Medzi všetkými primárne oddiely na pevnom disku,Iba jeden primárny oddiel môže byť nastavená ako aktívny Bootable.

Odstránenie.

Tu platí 3x meraj a raz rež.

1: Musíme odstrániť túto infikovaných oblastí aj keď to obvykle funguje  bez problémov, tento Rootkit sa neustále vyvíja a môže nás prekvapiť.

A tak pre istotu, je potrebné zálohovať dáta na externý, vymeniteľný disk alebo na iný počítač.

2: Vypnúť obnovu systému.

3. Do mechaniky vložíme gparted-live cd, Reštartujme pc.

4: V Biose nastavíme Boot z CD, a nabootujeme sa na gparted-live cd.

5: Na uvítacej obrazovke stlačte Enter.

6.Klávesová mapa je zvýraznená. Nechajte toto nastavenie tak a stlačte kláves ENTER.

7.Vyberte jazyk a stlačte ENTER. Angličtina je východiskovým [33]

8.Na výzvu,opäť, stlačte kláves ENTER.

9.Teraz budete presmerovaný na hlavnú obrazovku.

10.Podľa výpisu, oddiel, ktorý chceme odstrániť, ma 1 MB .

11.Neodstraňujte žiadne z ďalších väčších oddielov.

12.Označte oddiel, ktorý vytvoril Rootkit

13.Kliknite na ikonu koša odstrániť a potom kliknite na tlačidlo Použiť.

14.Teraz by ste mali vidieť tabuľku pre potvrdenie, zmazať oddiel, kliknite na Použiť, Apply,ok.

Nastavíme systémový disk na Bootovací.

1:Pravým tlačidlom myši klikneme na systémový disk,a v menu vyberte Spravovať Vlajky(Manage Flags)

2.V ponuke, ktorá sa objaví,začiarknite boot, ako je na obrázku.

3.2x kliknite a červený gombík exit.

4:Označte Rebbot, kliknite na ,ok.

Opravíme Bootovanie.

1:Vyberte Gparted liveCD.

2:Vložte pre Win7 Recovery disk.

3.Pre Vistu Recovery disk.

4.Pre xp Inštalačný disk.

Oprava Vista,Win7.

1. Win7, a Vista nabootujeme na  Recovery disk a  použijeme príkazový riadok.

2.Zadáme príkazy.

Bootrec /Fixmbr

Bootrec /fixboot

exit

Oprava Bootovanie XP.

1:Použijeme konzolu pre zotavenie.

2:A zadáme príkazy

Fixmbr

fixboot

exit.

Teraz už počítač nabootuje do windows.

1:Spustíme Malwarebytes, úplná kontrola nájdene infekcie odstrániť.

2:Spustíme TDSS Killer.

3:Použijeme  WebCureit.

4:Vyčistíte temp TFC CCleaner. a Java cache,

6.Defragmentujme  pevný disk.

7.Zapneme obnovu systému.

Veľa šťastia!!!

RootkitWin32ZAccess

ZAccess.

Rootkit.Win32.ZAccess je škodlivý rootkit program. Maskuje svoju prítomnosť a prítomnosť svojich knižníc v systéme.

Vykonáva mnoho škodlivých aktivít na infikovanom systéme, otvára porty, útočníkovi posiela všetky osobné informácie, ako sú informácie o kreditnej karte,atď.

Zmení systémove súbory, Infikuje systémove súbory, napáda ďalšie počítače v rovnakom sieťovom prostredí.

V súčasnej dobe nejde sa toho zbaviť žiadnym Antivírovým programom, väčšinu antivírusových programov zablokuje už pri spustení.

Rootkity sú všeobecne ťažké zistiť, sú aktivované skôr, než operačný systém.

Tento rootkit otvára zadné vrátka umožňujúce vzdialený prístup k ohrozenému počítaču.

Odstránenie:
1: Stiahnuť na plochu, alebo na  "usb kľúč".

RogueKiller. a podla návodu spustiť,vybrať zmazať.

2:Aplikujeme TDSSKILLER

3:Aplikujeme ESET Sirefef Remover
4:Podla návodu aplikujeme skener  DR.WEBCUREIT v režime zvýšenej ochrany EPM.

5:Použijete Combofix.

6:Vyčistíte  temp TFC CCleaner.

7:Vypneme obnovu systému, win7 XP reštart do Windows a zapneme späť.

8:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.

9:Použijeme ESET Online Scanner.

Poznámka:
ZAccess  Rootkit môže vytvoriť ak skryty oddiel na disku, preto v odstraňovaní pokračujte podla tohto návodu.
Veľa šťastia!!!!!

MBR Whistler Rootkit

Whistler Rootkit

Jedna sa o veľmi nebezpečnú infekciu MBR.(Master Boot Record)
Pri štarte počítača Whistler Rootkit, TDL-4 sa aktivuje skôr, než samotný operačný systém.
Týmto spôsobom sa vírus  ľahko skryje pred operačným systémom, alebo pozmení jeho základné funkcie.
TDL-4 úspešne infikuje Master Boot Record (MBR)32 aj 64 bitové systémy.





Preberie kontrolu nad celým operačným systémom,a vy zostanete len obyčajným asistentom.
V Súčasnej dobe  ani Antivírové programy plne vybavené Antistealth technológiou, tuto infekciu nedokážu odstrániť.
Síce sa tvária aj hlásia ze našli tuto infekciu,a odstránili, ale v skutocnosti je iná..
Veľmi dôkladne stráži svoje knižnice a seba,všetky pokusy o čítanie obsahu infikovaných súborov reálnom čase,ustráži.
Jednoducho Rootkit podhodí ne-infikovaný súbor,originál


Riešením je použitie softvéru,ktorý je špeciálne určený pre danú problematiku.
Zapisuje vlastný programovým kód do MBR (Master Boot Record) pevného disku.
Hlavný rootkit kód je uložený na poslednom sektore disku.
Vytvára jednoduchú particiu  uloženú v poslednom sektore pevného disku, a tu ukladá svoje súbory,a informácie.

Detekcia:

a:)Tdsskiller nenašiel tuto infekciu.
b:)Gmer našiel, a detektoval  ako,mbr TDL4 rootkitr.
c:)awsmbr detektoval  ako,Whistler ROOTKIT

Možne Symptómy:

1:Pri štarte OS,počujete divne zvuky,hudbu.
2:Vypínanie počítača.
3:Zhoršenie výkonu systému.
4:Presmerovávame stránok.
5:TDL4 na 64b win7,Môže pôsobiť BSOD[Modru smrť.]

Odstránenie:

1:Zálohujte dáta a register.
2:Stiahnete Defogger Uložte na plochu a spustíte.
Kliknite na Disable a Kliknutím na tlačidlo  Yes pokračujte.
Finished Objaví sa správa
kliknite na tlačidlo OK
Môžete byť požiadaní o reštart,( reboot) ak áno,  kliknite na tlačidlo Ok

MBR EXE

3:Aplikujeme program mbr exe. 
Návod.

Poznámka:

Ak mate Operačný systém v inom jazyku,tak miesto plocha napíšeme.
V Anglickom jazyku.
"%userprofile%\desktop\mbr.exe" -t -s -l "%userprofile%\desktop\GMER.txt"

aswMBR

4:Stiahnuť na plochu a spustiť aswMBR.exe
Kliknite na tlačidlo [Scan]
Podrobný Návod

Po dokončení testu
Kliknite na tlačidlo [FIX] pre TDL4  Rootkit
Alebo [FIXMBR] pre   Whistler  ROOTKIT


5:Aplikujeme aj program od Kaspersky lab TDSSKILLER
6:Aplikujeme program Malwarebytes.
8:Vyčistiť java cache.
kliknite na Štart Ovládací panely ,otvorte javu,Java vyzerá ako šálka kávy
Na karte General v časti, Temporary Internet Files, kliknite na tlačidlo Settings.
Potom kliknite na tlačidlo Delete Files
Kliknite na tlačidlo OK v okne Odstránenie dočasných súborov

Poznámka:

To odstráni všetky stiahnutej aplikácie a applety z medzi pamäte.
(Applications and Applets)
(Trace and Log Files)
Kliknutím na tlačidlo OK zatvoríme
Kliknutím na tlačidlo OK zatvoríme Java Control Panel.

9::Vypneme obnovu systému, win7  XP
10:Použijeme program AVPTOOL.
11:Vyčistíte pc ,temp TFC CCleaner.
12:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.
Veľa šťastia!!!!!

botnet

Účinná kyber zbraň

Počítače infikované botnet je možné ovládať buď priamo, alebo nepriamo.
Ak sú roboty ovládané priamo, kyberzločinec  vytvára spojenie s infikovaným počítačom a spravuje ho pomocou príkazov zabudovaných do botnet programov.




V prípade nepriamej kontroly, botnet je pripojený do riadiaceho centra alebo do iných strojov v sieti, pošle požiadavku a potom sa vykoná príkaz.
Majiteľ infikovaného počítača väčšinou ani netušia, že počítač je používaný  kyberzločincami.

Používajú sa ako výkonná kyberzbraň a sú účinným nástrojom na nelegálne zarábaní peňazí .
Majiteľ botnetu môže ovládať počítače, ktoré tvoria sieť z ľubovoľného miesta na svete.
Dôležité je vedieť, že Internet je štruktúrovaný tak, že botnet je možné ovládať anonymne.

Počítače infikované botnet sú zároveň skryto kontrolované kyberzločincami.
Siete sa tvoria od infikovaných počítačov, tzv. zombie sieť.
Botnet zombie počítačov sú často používajú na šírenie e-mail spam a začatie denial of service útokov
Väčšina zombie strojov sú počítače domácich užívateľov.
Tu si môžete prečítať viac o botnety a ich použitie.

Vírus.Win32.Xpaj  je botnet klient, ktorý dokáže prenášať dáta z infikovaných PC.

Dezinfekcia infikovaného systému.
1:Vypneme obnovu systému, win7  XP
2: Stiahnite si XpajKiller.zip a rozbaľte ho  na infikovanom PC.
3:Spustite súbor XpajKiller.exe. (vista a win7,pravý klik a spustite ako správca)
4: Počkajte až do konca skenovania a dezinfekcie .
5:Program môže vyžadovať reštart po dezinfekcii.
6:Ak bude nájdená infekcia, pokračujte takto.

1:Použijete GMER MBR 
2:Použijete TDSSKILLER.
3:Použijete Malwarebytes.,nájdené infekcie odstráňte.
4:Vyčistíte Temp TFC a CCleanerom.

5:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.

Veľa šťastia!!!!!

Olmarik trojan

Rootkit TDL-4.

Jedna sa o Rootkit TDL.
Tento Rootkit predstavuje veľmi vážnu hrozbu pre užívateľov.Ešte horšie je,že sa stále vyvíja.

TDL-4 úspešne infikuje Master Boot Record (MBR)32 aj 64 bitové systémy.Takto zabezpečí že sa načíta skôr,ako operačný systém.
Rootkit už nepoužíva systémove súborov pre ukladanie svojich súborov,číta a zapisuje priamo na sektory disku.

NOD(ESET) detektuje ako Olmarik v operačnej pamäti.
infiltrácie:
Win32/olmarik trójsky kôň
nemožno liečiť.

Možne Symptómy:

1:Pri štarte OS,počujete divne zvuky,hudbu.

2:Odpojovanie od internetu.

3:Zhoršenie výkonu systému.

4:Presmerovávame stránok.

5:TDL4 na 64b win7,Môže pôsobiť BSOD[Modru smrť.]
6:Vypínanie počítača.

Odstránenie:

1:Zálohujte dáta a register.

2:Dočasne odinštalujeme všetky Diskové Emulátore (Alcohol,Daemon)
3:Aplikujeme program Gmer mbr

4:Aplikujeme program od Kaspersky lab TDSSKILLER

5:Aplikujeme program aswMBR

6:Aplikujeme program Malwarebytes.

7:Vypneme obnovu systému, win7  XP po reštarte zapnúť spät.

8:Použijeme programy TFC a CCleaner

9:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.

Veľa šťastia!!!!!

Ak problém pretrváva použite aj tento návod.

Rootkit TDL

Rootkit TDL.

Rootkit TDL-4 je "po zuby ozbrojený elitný Rootkit" a predstavuje veľmi vážnu hrozbu pre užívateľov.Ešte horšie je,že sa stále vyvíja.

TDL-4 úspešne infikuje Master Boot Record (MBR)32 aj 64 bitové systémy.Takto zabezpečí že sa načíta skôr,ako operačný systém.

Rootkit už nepoužíva systémove súborov pre ukladanie svojich súborov,číta a zapisuje priamo na sektory disku.

Zapisuje vlastný programovým kód do MBR (Master Boot Record) pevného disku.Hlavný rootkit kód je uložený na poslednom sektore disku.

Vytvára jednoduchú "particiu" uloženú v poslednom sektore pevného disku, a tu ukladá svoje súbory,a informácie.

Systém je zvyčajne nepozorovane infikovaný počas prehliadania kompromitovanej web-stránky.

Inštalačný program infiltrácie je spustený po zneužití bezpečnostnej chyby napr:vo webovom prehliadači.

V súčasnej dobe všetky plne aktualizované antivírové programy nemôžu tohto po zuby ozbrojeného elitného Rootkita eliminovať.

Ba ani nedokážu zistiť prítomnosť v systéme a nepomôže ani opravná inštalácia.

Veľmi dôkladne stráži svoje knižnice a seba,všetky pokusy o čítanie obsahu infikovaných súborov reálnom čase,ustráži.

Jednoducho Rootkit podhodí ne-infikovaný súbor,originál.

Našťastie Kaspersky lab a sUBs,vyvinuli nástroje na ich odstránenie.

Na úspešne odstránenie tohoto "po zuby ozbrojeného elitného Rootkita" treba nasadiť najťažšiu techniku,a najlepšie programy.

Ako vo väčšinych prípadoch,ani tu nepomôžu všelijaké statočné amatérske pokusy a rady na odstránenie:"spusť toto","spusť tamto".

Docielite len to,že odpíšete Operačný systém,a budete musieť formátovať,ba ani formát nestačí,musíte odstrániť aj particie.!!

Takže ak mate podozrenie,že systém je infikovaný s Rootkitom TDL-použijete tento návod,presne tak ak tu napíšem.

Čo dokáže:

1:Dokáže zaznamenávať stlačené klávesy.

2:Dokáže odoslať informácie na vzdialený počítač.

3:Dokáže stiahnuť a spustiť súbor z Internetu.

4:Možno ho na diaľku ovládať.

5:Získava heslá a iné citlivé informácie.

6:Maskuje svoju prítomnosť a prítomnosť svojich knižníc v systéme.

7:Dokáže oklamať Firewall,antivírový program

8:Infikuje systémove súbory, ovládač miniportu, Atapi.sys,iastor.sys,nvstor.sys,yourstor.sys,mystor.sys,hisstor.sys alebo herstor.sys.

9:Vlastne, preberie kontrolu nad celým operačným systémom.

Možne Symptómy:

1:Pri štarte OS,počujete divne zvuky,hudbu.

2:Odpojovanie od internetu.

3:Zhoršenie výkonu systému.

4:Presmerovávame stránok.

5:TDL4 na 64b win7,Môže pôsobiť BSOD[Modru smrť.]

Odstránenie:

1:Zálohujte dáta a register.

2:Dočasne odinštalujeme všetky Diskové Emulátore (Alcohol,Daemon)

3:Aplikujeme program mbr exe

4:Aplikujeme aswMBR
5:Aplikujeme program od Kaspersky lab TDSSKILLER

6:Aplikujeme program od sUBs Combofix

7:Aplikujeme program Malwarebytes.

8:Použijeme program AVPTOOL.

9:Vypneme obnovu systému, win7  XP

10:Vyčistíte temp TFC CCleaner.

11:Zmeníme všetky hesla ktoré používame,E-mail,Windows,internet.

Veľa šťastia!!!!!

Ako odstrániť rootkit

Rootkity.

Ak chcete pomerne ľahko odstrániť rootkity ručne,preštudujte tento návod.

Postup Windows XP.

1:Stlačme kláves s logom Windows + R

2:Napísať MSConfig, klikneme záložku Boot.ini,zaškrtneme /BOOTLOG.

3:Klikneme na gombík,Pouzit,ok,reštartovať počítač.

4:Po reštartu PC do Windows sa vytvorí C:\windows\ntbtlog.txt.

5:Nájdeme a otvoríme Ntbtlog.txt.

Windows7

1. Spustite počítač.

2. Pri štartovaní počítača stlačte a podržte stlačený kláves F8.Kláves F8 musíte stlačiť predtým,než sa zjaví logo systému Windows.

3. Na obrazovke vyberte pomocou klávesov so šípkami položku Povolenie zapisovania pri spúšťaní

a stlačte kláves ENTER.

4:Táto voľba je rovnaká ako normále spúšťať Windows, okrem toho,že Windows 7 Vytvorí súbor ntbtlog.txt,v ktorom sú uvedené všetky ovládače nainštalované pri spustení systému.

Diagnostika:

1:Nájdeme a otvoríme textový súbor C:\windows\ntbtlog.txt.

2:Hľadáme súbory náhodne vygenerovanými nezvyčajnými názvami,v našom prípade pre skúšku to bude

ovládač C:\WINDOWS\system32\drivers\uaxcdagbtpre.sys.

3:Otvoríme prehliadač a do okna Hľadať napíšeme názov ovládača,uaxcdagbtpre.sys a dáme hľadať.

4:Ak prehliadač nič nenájde,to znamená že Rootkita môžeme kľudne zmazať.

5:Ak spustíme program GMER.

ukáže nám tento nalez:

---- Services - GMER 1.0.15 ----

Service C:\WINDOWS\system32\drivers\uaxcdagbtpre.sys (*** hidden *** ) <-- ROOTKIT !!!

Odstránenie:

1:Prihlásime sa pod účtom administrátora,správcu.

Windows xp:

a:)Zapneme zobrazovanie skrytých súborov.

b:)Otvoríme príkazový riadok.

c:)Stlačíte Kláves s logom Windows + R

d:)Napíšte CMD a potom stlačte kláves ENTER.

e:)Windows 7,pravý klik na CMD a spustite ako správca.

1:Zadáme nasledujúce príkaz:

cacls c:\windows\system32\drivers\uaxcdagbtpre.sys /d everyone

2:Stlačíme [enter]

3:Týmto príkazom dezaktivujeme Rootkita, /d everyone,odoberie Rootkitu všetky pravá.

4:Rootkit sa uz nebude skrývať,nebude mat žiadne práva, a nebude ani skrývať svoje služobníctvo,tj:)Odkryje svoje knižnice.

5:Spustíme diagnosticky program RSIT,uvidíme zaujímave súbory:

Rootkit ovládač:

c:\windows\system32\drivers\uaxcdagbtpre.sys

Knižnice:

c:\windows\system32\uaxciblhtprtl.dll

c:\windows\system32\uaxciimecxnkp.dll

Teraz môžeme kľudne zmazať:

1:Zmažeme ich ručne.

2:Alebo použijeme príkazový riadok:

DEL /F /Q /A "c:\windows\system32\drivers\uaxcdagbtpre.sys"

DEL /F /Q /A "c:\windows\system32\uaxciblhtprtl.dll "

DEL /F /Q /A "c:\windows\system32\uaxciimecxnkp.dll"

Spustíme programy:

1:GMER MBR

2:Malwarebytes.

3:TDSS Killer.

4:Vyčistíte temp TFC CCleaner.

Poznámka:

Ak omylom sme odobrali práva legálnemu systémovému súboru,napr:)explorer.exe,môžeme vrátiť práva nasledujúcim príkazom.

cacls C:\Windows\explorer.exe /E /T /C /G System:F everyone:R Administrators:F

Veľa šťastia!!!

odstránenie rootkitov

TDSS Killer.

Kaspersky Lab vyvinula nástroj, TDSS Killer, ktorý umožňuje odstránenie rootkitov.(TDSS, Sinowal, Whistler, Phanta, trup, Stoned) a neznáme rootkity.Tento nástroj podporuje 32 - a 64 - bitové operačné systémy.Detekuje a odstraňuje nasledujúce malware:Rootkit.Win32.TDSSRootkity:TDSS TDL1,2,3,4Bootkits:

Známky infekcie:

1:Spomalenie systému.

2:Pop-up vyskakujúce reklamy.

3:Neznáme zvuky.

4:Presmerovanie prehliadača.

5:Programy nereagujú, nespustia sa.

Odstránenie infekcie:

Stiahnite si ho prosím jeden z týchto súborov a uložte na plochu:

1. tdsskiller.exe

2. tdsskiller.zip (aj rozbaliť na ploche)

Spustenie aplikácie: 2x-klik na >TDSSKiller.exe

Spustenie kontroly: Start Scan

Ak je infikovaný súbor detekovaný, bude predvolená akcia Cure, kliknite na "Continue".

Ak podozrivý [suspicious] súbor je detekovaný, bude predvolená akcia Skip, kliknite na "Continue".

Môže vás požiadať, aby ste reštartovali počítač na dokončenie procesu. Kliknite na "Reboot Now".

Správa je k dispozícii vo vašom koreňovom adresári (zvyčajne C:\ zložka) vo forme "TDSSKiller.  _log.txt".

Cure: [lieciť]:Táto akcia je k dispozícii iba v prípade, že nástroj určil presný typ infekcie.< Ak bola zistená neznáma infekcia, bude hlásený ako Rootkit.Win32.BackBoot.gen. Vysvetlivky: Skip:[preskočiť] Podozrivý [suspicious] súbor. Copy to quarantine: nástroj uloží do karantény infikovaný MBR.

Restore: Nástroj obnovy štandardného MBR

MBR: Masters boot record

Veľa Šťastia !!