TDSSKiller, Kaspersky TDSS Rootkit Remover
- Catégorie: Sécurité
L'une des familles de rootkits les plus notoires sur Internet d'aujourd'hui est la famille TDSS Rootkit, connue sous le nom de Rootkit.Win32.TDSS, Tidserv, TDSServ ou Alureon. Le rootkit a commencé à se répandre en 2008 et est l'une des causes de Redirections Google non autorisées que les utilisateurs éprouvent lorsque le rootkit est actif sur leur système PC.
L'un des outils conçus pour détecter et supprimer les rootkits de la famille TDSS est TDSSKiller de Kaspersky qui a récemment été publié dans une nouvelle version.
L'outil peut non seulement détecter et supprimer les rootkits de la famille TDSS, mais également les rootkits appelés Sinowa, Whistler, Phanta, Trup et Stoned. Il peut en outre être en mesure d'utiliser des heuristiques pour détecter les rootkits inconnus qui sont actifs ou installés sur le système.
Aperçu détaillé des objets suspects qu'il peut trouver
- Service caché - une clé de registre cachée de la liste standard;
- Service bloqué - une clé de registre qui ne peut pas être ouverte par des moyens standard;
- Fichier caché - un fichier sur le disque qui est caché de la liste standard;
- Fichier bloqué - un fichier sur le disque qui ne peut pas être ouvert par des moyens standard;
- Fichier falsifié - lorsqu'il est lu par des moyens standard, le contenu original est renvoyé au lieu du contenu réel;
- Rootkit.Win32.BackBoot.gen - une infection MBR suspectée avec un bootkit inconnu.
L'application est un logiciel portable pour Windows qui peut être exécuté à partir de n'importe quel emplacement après avoir été téléchargé et décompressé. Il analysera les services et les pilotes ainsi que les secteurs de démarrage par défaut. Il est possible de supprimer les services et les pilotes ou les objets des secteurs de démarrage de l'analyse.
Un clic sur Démarrer l'analyse lance l'analyse du système qui a pris moins d'une minute sur un système Windows 7 rapide. Les fichiers potentiellement dangereux sont affichés après l'analyse sur la page de résultats.
Il est généralement judicieux de rechercher le nom du fichier dans Bing ou Google avant de placer le rootkit en quarantaine pour désinfecter un système compromis. Une autre option consiste à envoyer le fichier suspect à un service tel que Laboratoire de virus ou Total de virus pour le scanner là-bas pour un deuxième avis.
TDSSKiller a plusieurs commutateurs de ligne de commande:
- -l - enregistre un journal dans le fichier;
- -qpath - chemin du dossier de quarantaine (créé automatiquement s'il n'existe pas);
- -h - cette aide;
- -sigcheck - détecte tous les pilotes non signés comme suspects;
- -tdlfs - détecte le système de fichiers TDLFS, que les rootkits TDL 3/4 créent dans les derniers secteurs d'un disque dur pour stocker ses fichiers. Il est possible de mettre en quarantaine tous ces fichiers.
Les touches suivantes permettent d'exécuter l'utilitaire en mode silencieux:
- -qall - met en quarantaine tous les objets (y compris les objets propres);
- -qsus - met uniquement en quarantaine les objets suspects;
- -qmbr - met en quarantaine tous les MBR;
- -qcsvc - met le service en quarantaine;
- -dcsvc - supprime le service.
- -silent - scanne en mode silencieux (n'affiche aucune fenêtre) pour pouvoir exécuter l'utilitaire de manière centralisée sur le réseau.
Le suppresseur de rootkit gratuit prend en charge les systèmes d'exploitation Windows 32 bits et 64 bits. Un téléchargement est offert à Base de connaissances de Kaspersky.