Sophos борется с RootKits

Компания Sophos выпустила новый инструмент для защиты от так называемых RootKits. Программа, названная Sophos Anti-Rootkit, может обнаруживать и удалять как распространенные, так и неизвестные RootKits, а также предупреждает системных администраторов, если удаление программы сможет стать причиной нарушения целостности используемой операционной системы. Sophos Anti-Rootkit работает в Windows NT, 2000, XP и Windows Server 2003. Программа имеет графический интерфейс, позволяющий удобно управлять обнаружением и удалением вредоносных программ. Проблема RootKits стала актуально после того, как программой именно такого типа Sony попробовала защитить миллионы музыкальных CD от копировании. Позже программой, которую применила Sony, воспользовались многие хакеры.
В системе NT/W2K/XP RootKit принято считать программу, которая внедряется в систему и перехватывает системные функции (API). Перехват и модификация низкоуровневых API функций в первую очередь позволяет такой программе достаточно качественно маскировать свое присутствие в системе. Многие RootKit устанавливают в систему свои драйверы и сервисы (они, естественно, также являются "невидимыми"). Самостоятельно обнаружить запущенный RootKit крайне сложно - он не виден в стандартном диспетчере процессов, его ключи реестра не отображаются в редакторе реестра Regedit, файлы невидны в Explorer и других программах просмотра диска. Наибольшую сложность обычно составляет не обнаружение RootKit, а корректное восстановление пораженных им функций в памяти без перезагрузки компьютера для проведения поиска и уничтожения RootKit.