Cómo detectar una infección de Rootkit de Alureon de 64 bits
- Categoría: Software
Alureon, o TDL, TLD3 y Tidserv, es el primer rootkit que puede infectar PC con Windows de 64 bits. Antes de eso, solo los sistemas de 32 bits se veían afectados por rootkits, y muchos usuarios de Windows se dieron cuenta de eso en febrero, cuando el parche de Microsoft MS10-015 hizo que las máquinas infectadas mostraran una pantalla azul. Obviamente, no fue culpa de Microsoft en ese entonces, que fue asumido primero por profesionales y usuarios por igual. Después de algunas investigaciones, resultó que el rootkit TLD3 era responsable de ese comportamiento.
Los desarrolladores del rootkit lo han mejorado considerablemente desde entonces y han logrado agregar la capacidad de infectar sistemas Windows de 64 bits. Esa es la primera vez, y los proveedores de seguridad están alarmados por esa tendencia.
Sin embargo, los autores de estos ataques no han descansado. Hace poco menos de un mes, nos enteramos de una nueva variante de Alureon que infecta el Master Boot Record (MBR) en lugar de un controlador infectado. Si bien esta nueva variante no afectó a las máquinas de 64 bits, tenía un archivo inerte llamado ldr64 como parte de su sistema de archivos virtual. Más recientemente, descubrimos una variante actualizada que infectó con éxito máquinas de 64 bits que ejecutan Windows Vista o superior, mientras que las máquinas Windows XP y Server 2003 de 64 bits no se pueden arrancar.
Muchas empresas de seguridad ya han agregado la detección de la variante de 64 bits a sus aplicaciones de seguridad; Microsoft, por ejemplo, agregó firmas a Microsoft Security Essentials a principios de agosto.
Aún así, los propietarios de Windows de 64 bits pueden querer verificar por sí mismos que el rootkit no está instalado en su sistema operativo. Como sugiere la información anterior, los propietarios de Windows XP y Windows Server 2003 notarán inmediatamente que algo anda mal, ya que su sistema operativo no arrancará. Los usuarios de Windows Vista o Windows 7 de 64 bits deben seguir leyendo.
Hay al menos dos opciones para hacer eso, todas con herramientas ya incluidas en el sistema operativo:
Abra un símbolo del sistema, con Windows-R, ingrese cmd e ingrese.
Usa el comando diskpart para abrir Diskpart en una nueva ventana de línea de comandos.
Entrar leer decir en el nuevo indicador, si permanece vacío, la computadora está infectada con el rootkit. Si se muestran los discos, no es así.
Bueno
Malo
La segunda opción para detectar el rootkit de 64 bits es la siguiente: Inicie Administración de discos desde el panel Administración de equipos.
Si no muestra los discos, significa que el sistema está infectado con el rootkit. Si muestra discos, todo está bien.
Sistema infectado
Información adicional está disponible en Technet y Symantec .
Cómo quitar el Rootkit si el sistema está infectado:
Varios programas pueden eliminar el rootkit y reparar el MBR para que el sistema se inicie normalmente después de la reparación.
Hitman Pro Beta 112 y posteriores pueden hacerlo, por ejemplo.