Rootkit TDL3: Windows x64 non più immune; come riconoscere l'infezione

**Asterix** · 02-09-10, 16: 01

In questi ultimi giorni le aziende attive nel settore della sicurezza hanno riscontrato che anche i sistemi Windows a 64 bit non risultano più immuni ai rootkit, a quanto pare gli autori del più conosciuto rootkit TDL3 (alias: Alureon o TDSS) dopo un periodo di calma piatta sono riusciti tramite uno stratagemma ad eludere le protezioni dei sistemi a x64bit.

Da quanto possiamo apprendere in rete le software house operanti nel settore della sicurezza hanno già iniziato a dotare i loro prodotti delle firme virali necessare al fine di limitare o tentare di rilevare tale variazione del rootkit, ma solo il tempo potrà darci conferma sulla effettiva efficacia. Ad oggi apprendiamo che questa nuova versione si sta diffondendo in modo rapido.

La rete mette a disposizione un metodo alquanto semplice al fine di fare una autodiagnosi

I sistemi a 64bit di XP e Windows 2003 x64 con questa prima versione del rootkit non dovrebbero riavviarsi, mentre per gli utenti Vista e 7 dovrebbero rilevarne la presenza attraverso questa semplice procedura:

Aprire il prompt dei comandi (start esegui / cerca e lanciare il comando CMD)
Una volta aperto il prompt lanciare il comando diskpart, il comando avvia l’utility gestione partizioni
digitare il comando list disk – se il risultato è l’assenza di dischi fissi il vostro pc risulta essere infetto da TDL3; nel caso contrario il TDL3 non è presente. (l’immagine sotto riportata mostra una situazione pulita)

**Clairvoyant** · 02-09-10, 20: 38

Era da un pò di mesi che non si muoveva, e considerando che è un malware che rende, c'era da aspettarsi un aggiornamento ma non di questa entità.
La capacità di attaccare i sistemi x64 è un vero salto di qualità

ed insieme al resto delle caratteristiche lo rende forse il malware attualmente più pericoloso.

Segnalo un paio di links utili:

Nel caso si venisse infettato dal rootkit, la prima cosa da fare è non farlo interagire con la rete.
La cosa migliore sarebbe poter accedere ad internet per chiedere aiuto da un altro pc, in mancanza di quello utilizzare una distro live di Linux.
A seguito dell' infezione è opportuno verificare anche l' eventuale presenza di altri malware.