新的隐藏式rootkit，谈piaoxue.com的清除

近日公司一同事中了piaoxue.com，这个垃圾就是不断的修改主页为xfkz.com，然后跳转到piaoxue.com。这是第二次遇到了，第一次的时候因为别人急着要系统，所以重装了。这次是自己部门的同事，由于自己在第4层（关于病毒5层定义参见前些日子lodestar所发的流氓5层定义）rootkit病毒清杀方面处于起步阶段，暂时没有办法处理，于是叫她先“养着”病毒，自己决定一点点的追杀病毒根源。首先拿sreng扫一遍，发现什么都没有，没有发现奇怪的exe和dll。马上想到了这肯定又是一个虚拟硬件驱动rootkit，但是苦于没有扫描工具，后来像各大论坛求助和搜索，得到了gmer这个rootkit扫描工具，于是。。。有了下文。

从www.gmer.net/gmer.zip下载gmer，立马开扫，果然，木马露出了马脚，见下图：



追查文件，什么也没有发现，见下：





隐藏的也太猛了吧，就不信发现不了，拿出icesword查看同样目录，居然icesword也失手了！！见下:





不可思议，第一次见到如此猛的病毒，偶也是杀毒5年来第一次失手，看来对手是一个了解kernel ring0的编写高手，不过gmer更高，在这个垃圾上面点右键，delete，piaoxue飘走了～～～见下：