Begin augustus 2005 ontdekte Symantec een nieuwe Rootkit die na
installatie op een computer in safemode kon opereren. De schrik in de
beveiligingswereld zat er goed in. Een Rootkit in safemode? Dat kon toch
niet waar zijn! Maar, het was waar... Rootkits worden als buitengewoon
gevaarlijk geacht en het is duidelijk dat computergebruikers er alles aan
moeten doen om deze kwaadaardige software te vermijden. Maar wat
gebeurt er, als er toch onverhoopt een dergelijke rootkit op het systeem
wordt gevonden?

Het Internet Storm Centrum (http://isc.sans.org/diary.php?storyid=757) heeft op zijn eigen website van 12 oktober 2005 aandacht besteed aan deze Safemode-rootkit (die door Symantec wordt aangeduid als: Backdoor.Haxdoor.E. Informatie over deze rootkit kan op de volgende webpagina worden gevonden:

http://www.happypc.symantec.com/avcenter/venc/data/backdoor.haxdoor.e.html

Er worden de volgende methoden voor verwijdering aangeraden:

1. De methode van Symantec. Hierbij moet de computergebruiker
de ontsmettingprocedure van de bovenstaande website volgen. Er wordt
gebruik gemaakt van een website van Microsoft (Windows Recovery
Console). Daarbij is de installatie XP CD-ROM noodzakelijk om de
computer via deze CD op te starten. Hoe dit precies moet gebeuren leest
men op de bovenstaande website van Symantec.

2. Men kan de Rootkit Killer van F-Secure (een Bèta versie)
gebruiken. Deze scanner is erg eenvoudig in gebruik. Men dient wel
rekening te houden met het feit dat deze F-Secure scanner een Bètaversie
is. Het gebruik ervan is voor eigen risico! Dit geldt ook als het systeem niet
meer na gebruik van de scanner reageert. Schadevergoeding is voor de
gebruiker! Men kan de tool (vrij gebruik tot 1 januari 2006) van F-Secure downloaden via de onderstaande link:

http://www.f-secure.com/blacklight/try.shtml

Deze tool heb ik getest op XP home edition SP1, inclusief alle patches (tot
aan de laatste van 11 oktober 2005). De tool controleert of er Rootkits
aanwezig zijn en verwijdert deze (ook in het Register).

Systeemvereisten: De F-Secure BlackLight Bèta werkt alleen op een 32-bit Windows 2000, Windows XP and Windows 2003 Server. De huidige F-Secure BlackLight beta werkt niet op Windows NT, 95, 98, ME, of een 64-bit Windows.