Rootkit Hook Analyzer, Bitte um Hilfe Einstellungen

[SAM]

Hi,
ich komme bei der Board-/Googlesuche nicht so richtig weiter um beurteilen zu können , ob da nun ein Rootkit schädlich am laufen ist .
Wenn ja - was zu tun ist.
Könnt Ihr mir dazu was sagen bzw. helfen ?

[Andreas Haak]

Lässt sich der (System)Treiber selbst Beenden bzw. Stoppen ?

In dem Fall wäre das nicht ratsam. Technisch aber durchaus machbar. Es gibt immer ein Problem wenn mehr als ein Treiber eine bestimmte Funktion hookt und einer der Treiber sich entschließt sich zu entladen. Im günstigsten Falle führt es dazu, daß die Hooks der anderen Treiber unwirksam werden. Im schlimsten Falle führt es zu ungültigen Funktionszeigern und zu nem Bluescreen. Ich würd davon also eher die Finger lassen .

Läßt sich eigentlich ausschließen, daß es sich nicht um eine andere guard.sys handelt? Es gibt leider absolut keine nachvollziehbaren Angaben, welcher Prozeß da läuft. Es gibt auch noch ein paar andere guards (Steganos, z.B. ?)

Fälschen lässt es sich immer. Aber man kann z.B. mit diversen Tools den genauen Pfad des Treibers ausmachen. GMER bietet z.B. so eine Funktion:




Aber auch das sollte man mit Vorsicht genießen. Fakt ist aber, daß Ewidos guard.sys die beiden genannten Funktionen hookt und das er Ewido bzw. AVG AS installiert hat . Daher ist die Wahrscheinlichkeit sehr hoch das es der Ewido Treiber ist.

Mit Windows Vista wirds zumindest in der 64 Bit Welt etwas anders. Dort werden dann ja ausschließlich nur noch signierte Treiber zugelassen - zumindest in der Theorie .

Der Beitrag wurde von Andreas Haak bearbeitet: 17.10.2006, 19:36