Есть ли способ найти руткиты на 64-битной Windows 7

Sophos Anti-Rootkit утверждает, что может сканировать и удалять руткиты в 64-битной Windows 7.

Есть ли известный / рекомендуемый способ проверки руткитов в 64-битной системе Windows?

Есть только две программы, которым я доверяю: ComboFix и RegDelNull .

Однако я не уверен относительно поддержки 64-битной версии ComboFix. Но если вы создадите точку восстановления перед ее использованием, вы сможете использовать консоль восстановления для ее восстановления в случае, если что-то пойдет не так.

Но я чувствую необходимость сделать 2 очка здесь:

1. 64-битное увлечение
Мне еще предстоит понять, почему настаивает на использовании 64-битных версий ваших ОС. По всем практическим причинам в этом есть около 0 преимуществ. 64-разрядная ОС полезна только тогда, когда 64-разрядные приложения, использующие новые функции процессора и адресное пространство, становятся массовыми. Это не относится к делу. Очень немногие приложения являются истинными 64-битными, а те, что есть, - только по причинам совместимости. По большей части эти приложения не используют и не используют ни одну из этих функций. И затем, как вы видите, у вас возникают проблемы, когда вы пытаетесь получить специализированное программное обеспечение, которое может не работать под 64-битной версией.

2. Методы
Нет четкого способа проверки руткитов. Даже combofix, безусловно, использует свою собственную методологию, которая позволит другим или более новым руткитам обойтись невредимым. Тем не менее, вашими предпочтительными инструментами всегда будут консоль восстановления или загрузка в безопасном режиме, где многие из этих руткитов не будут работать.

При этом некоторые брандмауэры предлагают защиту на системном уровне (я думаю, например, Comodo ), которая позволит вам видеть запросы на системном уровне, информирующие о многих изменениях, происходящих на вашем компьютере.

Кроме того, UAC должен быть включен на самом высоком уровне и работать с учетной записью без прав администратора. Это то, для чего был создан UAC, и больше нет никаких оправданий тому, чтобы не запускать наши машины с Windows под непривилегированной учетной записью. Никакой руткит никогда не сможет обойти то, что на самом деле означает, что вам не нужно беспокоиться о поиске их.

Возможно ли, что на моей машине МЕНЬШЕ, вероятно, возникла проблема с руткитом, ПОТОМУ ЧТО я использую 64-битную ОС. Разве руткит не должен запускаться как 64-битный процесс, и разве не вероятно, что сейчас руткиты не будут записываться для целевой 64-битной системы, поскольку это меньшая целевая аудитория? Моя площадь риска на самом деле меньше?

К сожалению нет. Как уже упоминалось, 64-битные системы позволяют запускать 32-битные приложения на любом уровне. Но внимание! Вы добавляете определенный уровень защиты, поскольку там могут быть руткиты, которые могут выйти из строя под 64-битной ОС по многим причинам; так же, как и многие другие 32-битные приложения, необъяснимым образом или нет, они также имеют тенденцию к отказу в 64-битных ОС. Руткиты не застрахованы от ошибок. Но это все.

Тем не менее, есть также возможность запуска определенных руткитов специально для 64-битных систем. Таким образом, вы действительно нигде не в безопасности.

Я регулярно использую combofix на 64-битной Vista. По моему опыту, 64-битная система использует преимущества системных операций независимо от того, работает приложение или нет. Хотя я не согласен с тем, что Vista 64 не содержит руткитов на 100%, получить руткиты на 64-битной ОС намного сложнее. Производителям аппаратного обеспечения пока сложно создавать драйверы для 64-битных систем, я не думаю, что мы увидим слишком много 64-битных корневых комплектов. И если вам не нравится привыкание к 64-битной системе, нравится вам это или нет, то 4 ГБ оперативной памяти устареет. Когда это произойдет, потребуется 64 бита.