N1gH7m4r3
15.02.2010, 15:40
Laut den Sicherheitsexperten aus dem Hause Symantec können die Probleme mit dem jüngst veröffentlichten Update MS10-015 (http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms10-015.mspx), die bei einigen Systemen mit Windows XP (http://winfuture.de/news,53554.html) zu Bluescreen-Abstürzen führen, auf ein Rootkit zurückgeführt werden (http://www.symantec.com/connect/blogs/tidserv-and-ms10-015).
Demnach hat der Programmierer der Backdoor.Tidserv, die auch als Tdss-Rootkit Version 3 bekannt ist, einen Fehler gemacht. Sobald der oben genannte Patch installiert wird, kommt es dann zu den Abstürzen. Die Backdoor setzt auf eine modifizierte atapi.sys, in der relative virtuelle Adressen (RVAs) fest eingebaut wurden. Allerdings sind diese Adressen nach der Installation des Patches nicht mehr gültig. In Folge dessen kann der Rechner anschließend nicht mehr hochgefahren werden, selbst der abgesicherte Modus kann nicht erreicht werden.
Da sich die Backdoor sehr gut im System versteckt, wird sie von den wenigsten Virenscannern erkannt. Symantec empfiehlt den manuellen Austausch der Datei, bevor das Update von Microsoft installiert wird. Das Unternehmen rät zudem zur kompletten Neuinstallation des Betriebssystems, da auch nach dem Austausch der atapi.sys nicht ausgeschlossen werden kann, dass das System weiterhin infiziert ist.
Microsoft hatte bereits vermutet, dass Schadsoftware für die Probleme mit dem Patch verantwortlich sein könnte. Bei dieser Stellungnahme bleibt der Konzern vorerst auch weiterhin, da andere Ursachen noch nicht ausgeschlossen werden können.
Quelle: Winfuture.de
Demnach hat der Programmierer der Backdoor.Tidserv, die auch als Tdss-Rootkit Version 3 bekannt ist, einen Fehler gemacht. Sobald der oben genannte Patch installiert wird, kommt es dann zu den Abstürzen. Die Backdoor setzt auf eine modifizierte atapi.sys, in der relative virtuelle Adressen (RVAs) fest eingebaut wurden. Allerdings sind diese Adressen nach der Installation des Patches nicht mehr gültig. In Folge dessen kann der Rechner anschließend nicht mehr hochgefahren werden, selbst der abgesicherte Modus kann nicht erreicht werden.
Da sich die Backdoor sehr gut im System versteckt, wird sie von den wenigsten Virenscannern erkannt. Symantec empfiehlt den manuellen Austausch der Datei, bevor das Update von Microsoft installiert wird. Das Unternehmen rät zudem zur kompletten Neuinstallation des Betriebssystems, da auch nach dem Austausch der atapi.sys nicht ausgeschlossen werden kann, dass das System weiterhin infiziert ist.
Microsoft hatte bereits vermutet, dass Schadsoftware für die Probleme mit dem Patch verantwortlich sein könnte. Bei dieser Stellungnahme bleibt der Konzern vorerst auch weiterhin, da andere Ursachen noch nicht ausgeschlossen werden können.
Quelle: Winfuture.de