[Rootkit] FU Rootkit detected door SpySweeper? *

[wmv]

Na het downloaden van de nieuwste spyware defintiies van Webroot SpySweeper op 28-12-05 leverde de eerstvolgende scan van c:\ een 'Very High Risk' waarschuwing op: fu rootkit detected.
Op de site van Webroot wordt deze rootkit beschreven als buitengewoon gevaarlijk. SpySweeper kan de fu rootkit in quarantaine plaatsen, waarbij het volledig verwijderen van de fu rootkit uit de SpySeeper directory 'Quarantaine' tot gevolg heeft dat bij de volgend SpySweeper scan de fu rootkit opniew wordt ontdekt! Logisch(?) aangezien de rootkit zich 'hecht' aan de kernel,
Hulp is, zoals gebruikelijk bij lastige probemen, te vinden op www.sysinternals.com, waar als free download de file RootkitRevealer.zip is the downloaden. RTFM is essentieel om de juiste werking van RootkitRevealer.exe mogelijk te maken. Tevens wordt op de RootkitRevealer pagina duidelijk gemaakt hoe de resultaten van een scan moeten worden geïnterpreteerd.

Wie heeft de fu (fuck you?) rootkit ook aangetroffen en kan aanvullende informatie geven?

[pasta]

Ik niet, maar ik wil je wel vragen om welke files het gaan, en deze evt te scannen op Jotti's online malware scan. Ook F-Secure's Blacklight kan hulp bieden. Sowieso is rootkits proberen op te lossen met Anti-Spyware programma's redelijk stupide IMO, maar goed.

offtopic:
Ik pas nog even je titel iets aan.

[ Voor 7% gewijzigd door pasta op 29-12-2005 14:48 ]

[wmv]

Of het stupide is of niet lijkt me niet relevant. SpySweeper met de laaste definities (28-12) detecteeert de fu rootkit, stopt hem in de quarantaine directory, waarna RootkitRevealer, behalve twee 'Keynames with embedded nulls' geen verdere echt alarmerende zaken vindt.
Aangezien SpySweeper beweert de 'verdachte rookit' te isoleren en versleutelen en mijn systeem geen nukken vertoont, zou het verwijderen van de fu rootkit uit Quarantaine geen probleem mogen opleveren.
Na verwijdering uit Quarantaine vindt SpySweeper de fu rootkit opnieuw.
Dit vreemde verschijnsel is voor mij aanleiding om naar soortgelijke ervaringen te vragen.

[stfn345]

Microsoft heeft er ook iets voor:
http://research.microsoft.com/rootkit/