Einfache Methoden um Kernel Rootkits aufzuspüren?

Internet Internet Sicherheit
#1

Hallo,

bin auf der Suche nach Möglichkeiten, unter Windows die Anwesenheit von Kernel Rootkits zu überprüfen. Im Prinzip wäre es einfach, wenn es eine CD gäbe, die die Checksummen oder was auch immer vergleicht.
Leider ist mir die Existenz einer solchen CD nicht bekannt, also braucht man Alternativen.
Wie kann man nun diese Dinge aufspüren. (Direkt am PC, ohne mi einem 2. den Verkehr auszuwerten.)

DANKE

#2

Hi,

bin auf der Suche nach Möglichkeiten, unter Windows die
Anwesenheit von Kernel Rootkits zu überprüfen. Im Prinzip wäre
es einfach, wenn es eine CD gäbe, die die Checksummen oder was
auch immer vergleicht.
Leider ist mir die Existenz einer solchen CD nicht bekannt,
also braucht man Alternativen.

Ich würde für so etwas versuchen, integrit ( http://integrit.sourceforge.net/ ) zu benutzen.
Das funktioniert evtl. so:

  1. integrit auf irgendeinem Linux compilen, mit einem speziellen Verzeichnis als Prefix.
  2. Dieses Verzeichnis, also die Binaries zu integrit, auf einen USB-Stick packen.
  3. Den betr. Rechner mit Knoppix o.ä. starten.
  4. Den USB-Stick mounten.
  5. Die Windows-Partition mounten.
  6. Integrit konfigurieren (vermutlich nur einmal für alle Rechner nötig).
  7. Integrit durchlaufen lassen.
  8. Die current.db umbenennen in was brauchbares.
  9. Zukünftig ebenso vorgehen und dann die .db-Dateien von Integrit vergleichen lassen.
  10. Alles unmounten, fertig.

Das ist sicher etwas kompliziert, aber wenn es um Integritätsprüfung geht, dann ist das Medium, welches geprüft werden soll, grundsätzlich nicht vertrauenswürdig (das gilt auch unter Unix, wenn man’s genau nimmt!) und mein Vorgehen ein Beispiel für „99,999%ig“.

Das Ganze könnte man auch sicher mit einem Shellscript, welches man auf den USB-Stick mit drauf packt, noch weiter automatisieren.

Gruß,

Malte.

#3

Hallo Josef,
kennst du bzw. hast du schon einmal den RootkitRevealer von Sysinternals auprobiert?

Hier der entsprechende Info/Download-Link:
http://www.sysinternals.com/ntw2k/freeware/rootkitre…

Gruss
Bueno

#4

Danke Jungs,

ihr seid Klasse!