Rootkit veroorzaakt XP-crash

Windows XP-gebruikers werden vorige week geconfronteerd met een blue screen of death, na het installeren van een beveiligingsupdate. Eerst werd verondersteld dat de crash het gevolg was van de update zelf. Maar nu blijkt dat malware, die al aanwezig was op de computer, de oorzaak is.

Systeembeheerder Patrick W. Barnes installeerde vorige week de beveiligingspatch bij een aantal van zijn klanten. Nadat drie van hen hun computer terugbrachten na een systeemcrash, ontdekte hij dat de pc’s geïnfecteerd waren met een rootkit. Zo’n rootkit zorgt ervoor dat malware niet gedetecteerd kan worden door antivirusprogramma’s.

Driver vervangen
In dit geval verving de malware de driver Atapi.sys door een eigen versie, die toegang geeft tot de harde schijf. Wanneer Atapi.sys beschadigd wordt of niet overeenkomt met je hardware, leidt dat tot een systeemcrash. De update MS10-015 van Windows verving een aantal bestanden die verbonden waren aan die driver. Normaal levert dit geen problemen op, maar wel wanneer je computer geïnfecteerd is door de malware.

[related_article id=”160534″]

Barnes waarschuwt dat er nog meer Windowsbestanden besmet kunnen zijn. Andere drivers die gelinkt zijn aan de Windowskernel kunnen ook voor vastlopers zorgen. Beveiliger Symantec bevestigt dit en noemt nog vijf andere bestanden die mogelijk besmet zijn.

Oplossing
Als je de update nog niet geïnstalleerd hebt, gebruik dan de rootkitcleaner van eSage Lab, die Barnes zelf aanraadt op z’n blog. Nadat de rootkit verwijderd is, kun je de beveiligingspatch zonder problemen installeren.

De TDSS-rootkit is geavanceerde malware. Inmiddels is hij aan zijn derde versie toe. Deze malware is specifiek geschreven door hackers om samen met trojans en backdoorsoftware pc’s te kapen. Als een computer eenmaal gekaapt is door een rootkit, wordt deze vaak aan een botnet gekoppeld.

Het draait veelal om geld, want via het botnet kan men spam versturen vanaf de geïnfecteerde pc’s.