PDA

View Full Version : Ho un rootkit ???

Leon87
10-01-2007, 18:53
ho fatto una scansione con GMER e nella tabella Rootkit c'è questo:

GMER 1.0.12.12011 - http://www.gmer.net
Rootkit scan 2007-01-10 19:48:48
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.12 ----

SSDT \??\C:\WINDOWS\system32\drivers\klif.sys ZwEnumerateKey
SSDT \??\C:\WINDOWS\system32\drivers\klif.sys ZwEnumerateValueKey
SSDT \??\C:\Programmi\Agnitum\Outpost Firewall\kernel\Sandbox.SYS ZwQueryDirectoryFile
SSDT \??\C:\WINDOWS\system32\drivers\klif.sys ZwQuerySystemInformation

Code \??\C:\WINDOWS\system32\drivers\klif.sys FsRtlCheckLockForReadAccess
Code \??\C:\WINDOWS\system32\drivers\klif.sys IoIsOperationSynchronous

---- Devices - GMER 1.0.12 ----

Device \FileSystem\Ntfs \Ntfs IRP_MJ_CREATE 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_CLOSE 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_READ 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_WRITE 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_QUERY_INFORMATION 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SET_INFORMATION 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_QUERY_EA 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SET_EA 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_FLUSH_BUFFERS 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_QUERY_VOLUME_INFORMATION 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SET_VOLUME_INFORMATION 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_DIRECTORY_CONTROL 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_FILE_SYSTEM_CONTROL 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_DEVICE_CONTROL 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SHUTDOWN 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_LOCK_CONTROL 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_CLEANUP 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_QUERY_SECURITY 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SET_SECURITY 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_QUERY_QUOTA 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_SET_QUOTA 823641D8
Device \FileSystem\Ntfs \Ntfs IRP_MJ_PNP 823641D8

---- Threads - GMER 1.0.12 ----

Thread 4:168 82104A20
Thread 4:172 820E2C60
Thread 4:176 820E2C60
Thread 4:420 82104A20

---- EOF - GMER 1.0.12 ----

c'è o non c'è ??? :mbe:
ania
10-01-2007, 19:11
Ciao, io credevo che gmer segnalasse in colore rosso i processi "HIDDEN" ( nascosti ) trovati, onestamente non so rispondere alla tua domanda, però ti suggerisco il thread:

gmer e analisi dei suoi logs [tread ufficiale]
http://www.hwupgrade.it/forum/showthread.php?t=1372589
sicuramente lì troverai attenzione :read: e le risposte che cerchi ;)
ciao
Leon87
10-01-2007, 19:14
ok grazie :D
cmq la lista è molto piu' lunga solo che non riesco ad editare ( sia Firefox che Opera ), mi fa scaricare la pagina editpost.php :mbe:
wizard1993
11-01-2007, 13:47
ok grazie :D
cmq la lista è molto piu' lunga solo che non riesco ad editare ( sia Firefox che Opera ), mi fa scaricare la pagina editpost.php :mbe:

lo fa anche a me
black92
11-01-2007, 15:14
ok grazie :D
cmq la lista è molto piu' lunga solo che non riesco ad editare ( sia Firefox che Opera ), mi fa scaricare la pagina editpost.php :mbe:

allegala in un txt altrimenti, se tutti dovessero postare liste così lunghe il 3d dedicato diventerebbe illeggibile