Лечение TDSS

[Z.E.A. 190]

Нет

Это если система уже заражена.

[sww 486]

Это если система уже заражена.

см. название темы. Хрен ли там лечить, если система не заражена?

[Z.E.A. 190]

см. название темы. Хрен ли там лечить, если система не заражена?

Да смотрю же.

Я думал, ЖЖЖ спрашивала за семпл. Перед этим как раз шло обсуждение семпла.

[SDA 750]

TDSS?: http://www.virustotal.com/ru/analisis/d204...a4b8-1281112868

http://anubis.iseclab.org/?action=result&a...amp;format=html

И ещё вопрос: он на Win7 x64 работает?

Невозможно загрузить неподписанные драйверы в 64-х битных версиях Vista и Win7, так как руткит вносит модификации непосредственно в драйвер, цифровая подпись уже не проходит верификацию, и драйвер не может быть загружен. Вопрос с TDSS закрывается на уровне ОС и антивирусная утилита типа TDSSKiller просто не нужна.

О чем все просто промолчали

[Umnik 997]

Тема разделена

[Burbulator 146]

Невозможно загрузить неподписанные драйверы в 64-х битных версиях Vista и Win7, так как руткит вносит модификации непосредственно в драйвер, цифровая подпись уже не проходит верификацию, и драйвер не может быть загружен. Вопрос с TDSS закрывается на уровне ОС и антивирусная утилита типа TDSSKiller просто не нужна.

О чем все просто промолчали

http://www.kernelmode.info/forum/viewtopic...mp;p=2221#p2221

I can now confirm that the latest TDL3 has a working 64-bit driver. It supports injecting into 32- and 64-bit processes from kernel-mode, and is capable of hiding data just like the 32-bit version.

где правда?

[sww 486]

где правда?

Правда где-то рядом.

P.S. см. "заражение MBR".

[Danilka 678]

http://www.anti-malware.ru/forum/index.php...st&p=111935

[strat 275]

а какие причины мешают другим ав сделать лечение, трудно выделить ресурсы на это? не хватает профи? нет обращений в Тп?

[Danilka 678]

а какие причины мешают другим ав сделать лечение, трудно выделить ресурсы на это? не хватает профи? нет обращений в Тп?

А кто их знает...

[Rampant 220]

Здесь http://blogs.technet.com/b/mmpc/archive/20...-to-64-bit.aspx говорится о появлении 64-х битного TDSS.

[Rampant 220]

И удаление TDL4 из MBR Win 7 64 bit, Hitman его определяет как TDL3, по версии tdsskiller это всё таки TDL4, смотрим

http://www.screentoaster.com/watch/stV0lVR...1FYRVxZUltbVVdU

[GReY 35]

Господа системные программисты, а почему бы не сделать вакцинирование от перехвата тринадцатого прерывания?

Например, "заразить" NTLOADER: детектить перехват прерывания, искать оригинальную точку входа в сегменте ROM и восстанавливать обработчик... или даже сразу фиксить MBR.

[Rampant 220]

Новая версия Dr.Web справляется с TDL4 на 64-х битной архитектуре, смотрим

http://www.screentoaster.com/watch/stV0lVR...1FXQV1ZUl1dVlVc

[Umnik 997]

Вышло обновление, затронувшее WKS MP4 и KAV/KIS 2009-2011, которое позволяет детектить и лечить tdss на x64. ЛК сделала это.

[Юрий Паршин 330]

А если наглядно, то так:

[Umnik 997]

А AVPTool?

[Юрий Паршин 330]

А AVPTool?

Разумеется - как только будет пересобрана с обновленными модулями.

[Rampant 220]

Юрий Паршин

а как часто пересобирается сканер?

[Umnik 997]

Rampant

AVPTool пересобирается каждые 2 часа судя списку файлов на /devbuilds/AVPTool/

[Юрий Паршин 330]

Rampant

AVPTool пересобирается каждые 2 часа судя списку файлов на /devbuilds/AVPTool/

В данном случае для AvpTool требуется не только пересборка с обновленными базами, но и модулями - это будет позже.

[Rampant 220]

В данном случае для AvpTool требуется не только пересборка с обновленными базами, но и модулями - это будет позже.

ок, я надеюсь Вы сообщите о новой сборке.

[DVi 30]

Новая сборка с включенным лечением TDL4 на x64 будет доступна сегодня вечером