DigiProfs is partner van:

Nieuws

Rootkit oorzaak Windows XP Blue Screen of Death

Bookmark and Share

Bron: Security.nl - 13-02-2010
Windows XP systemen die na het installeren van de laatste Microsoft beveiligingsupdates crashen, zijn geïnfecteerd met een beruchte rootkit, dat vertelt Erik Loman van Surfright tegenover Security.nl. Volgens de softwaregigant zou bij een beperkt aantal klanten de systemen na patchdinsdag niet meer werken. Uit voorzorg besloot Microsoft daarom de vermoedelijke boosdoener, update MS10-015, terug te trekken. Patrick Barnes kwam als eerste met de suggestie dat een besmette driver waarschijnlijk de oorzaak van de crashende systemen is. 'De rootkit in kwestie is de TDL3 rootkit', aldus Loman. Het Nederlandse beveiligingsbedrijf, bekend van Hitman Pro, waarschuwde al eerder voor de malware. Een eigenschap van de TDL3 rootkit is dat het de hard disk driver infecteert, vaak atapi.sys. Ook Barnes kwam tot deze conclusie en ontdekte dat het vervangen van dit bestand door een schoon exemplaar, de problemen wat betreft het crashen van het systeem oplost.

Verspreiding
'Het feit dat zoveel mensen last hebben van de patch-of-death zegt duidelijk iets over de verspreiding van deze TDL3 rootkit', zegt Loman. Sinds december vorig jaar trof Hitman Pro de rootkit al op 16.000 computers aan. Daarvan gebruikte 74,8% een volledig bijgewerkte virusscanner. 'Geen enkele virusscanner is momenteel in staat de infectie te ontdekken wanneer de rootkit actief is op het systeem, de volledige stealth van de rootkit is dan in werking', gaat de beveiligingsexpert verder. De reden dat virusscanners de rootkit niet ontdekken, is omdat die het schone driver bestand aan Windows aanbiedt. 'De meeste anti-virus software is hiermee om de tuin te leiden.'

Ook is volgens Loman de zogenaamde dropper lastig te herkennen, omdat deze telkens wijzigt en anti-virusbedrijven hier hun definities op moeten aanpassen. Naast detectie is ook het verwijderen een groot probleem. 'Geen enkele virusscanner is hiertoe in staat', aldus Loman. Hij merkt op dat er zeer weinig over deze rootkit bij de verschillende anti-virusbedrijven is te vinden. 'Puur omdat ze het niet zien.'

Verwijdertool
Sommige anti-virusbedrijven zoals PrevX zouden wel over een verwijdertool beschikken om de rootkit te verwijderen. Het bedrijf houdt die voor zichzelf, omdat men bang is dat de auteurs van de TDL3 rootkit achter de verwijderingstactieken komen en deze in een update van de rootkit kunnen tegengaan. Naast atapi.sys zag Surfright de infectie ook in meer dan dertig andere .sys bestanden. Volgens Loman kan het programma Combofix de infectie verwijderen, maar werkt dat alleen als gebruikers over de atapi.sys driver beschikken. 'Heb je een Intel, Nvidia, AMD of andere hard disk driver, dan werkt Combofix niet.'

Herkenning
Hoewel de meeste mensen niet weten dat ze besmet zijn met de rootkit, zijn er wel signalen om een infectie te herkennen. Zo past de rootkit DNS resultaten aan, waardoor gebruikers naar andere, vaak gevaarlijke, websites worden doorgestuurd. Ook installeert de rootkit regelmatig een nep-virusscanner. Is dit het geval, dan kunnen gebruikers Hitman Pro gebruiken, dat gratis malware scant en de eerste 30 dagen die ook verwijdert. 'Doordat we de hard disk veel dieper lezen en meerdere virusscanners combineren, wordt de TDL3 infectie wel herkend. De virusscanners zelf kunnen de TDL3 niet ontdekken vanwege de stealth mode die de rootkit gebruikt. Iets waar Hitman Pro tot nog toe geen moeite mee heeft.'


Is uw computer veilig? Laat uw computer checken door DigiProfs!

Meer nieuws? Meld u aan voor de maandelijkse nieuwsbrief van DigiProfs.

Overzicht Security Monitor