最新 Rootkit啟示

最新 Rootkit啟示

的RootkitRevealer是一種先進的rootkit檢測工具。它運行在Windows NT 4和更高，其輸出會列出註冊表和文件系統API的差異可能表明一個用戶模式或內核模式的rootkit的存在。

的RootkitRevealer成功檢測了許多長期存在的rootkit，包括AFX，的Vanquish和HackerDefender（注：的RootkitRevealer的目的不是檢測rootkit像富不試圖隱藏自己的文件或註冊表項）。

由於持續性工作的rootkit通過改變API的結果，以便使用API​​的系統視圖不同於存儲的實際來看，比較的RootkitRevealer系統掃描的結果在最高級別與最低級別。最高級別是Windows API和最低的水平是一個文件系統卷或註冊表配置單元（一個配置單元文件是註冊表的磁盤上的存儲格式）的原始內容。

因此，rootkit的，無論是用戶模式或內核模式下，操作的Windows API或本地API從目錄列表中刪除他們的存在，例如，將由作為的RootkitRevealer由Windows API返回，而看到的信息之間的差異可見在一個FAT或NTFS卷的文件系統結構的原始掃描。