應該是rdriv.sys沒清乾淨
喵的...rootkit就是這麼煩
rootkit型的木馬很會隱藏自己
由於我自己沒接觸過這一型的木馬，以下的解法也只是參考同是rootkit型的
NTrootkit的解法來試試，就死馬當活馬醫醫看吧...
事先準備：
TCPView，可以將目前正在與電腦連線的程式、對方IP、使用port顯示出來
到此下載：http://www.sysinternals.com/Utilities/TcpView.html
不必安裝，直接執行就可以了。程式初始字體很小'又都擠在一起
Options->Font 去改變字型、字體大小，設好後關掉重開就可以了
1.執行TCPView，看看目前有那些程式正在連線
(執行此程式時請盡量關掉不相干的連線程式)
2.此木馬有rdriv.sys，小弟猜測可能用系統服務來啟動，執行。
在TCPView中，請詳細檢查System4及local adress的部份，看看有沒有那個程序的State是ESTABLISHED
，而portocal是TCP的。(偵測到rdriv.sys時應該會顯示某程序將使用某些port進行連線，
將該port記下，仔細在TCPView中找出該port)
如果都沒有，那也不用往下看了，表示此木馬用其他方式隱藏自己
3.中斷與Internet的連線及區網的連線。再到網芳中，把區域連線停掉。
4.防毒軟體既然有偵測到rdriv.sys，那應該有留下紀錄，開啟偵測到rdriv.sys的軟體
(可能是防火牆、可能是防毒軟體)，並找出軟體所呈現的資訊
包括檔案名稱，版本、檔案位子所在。用軟體把找到的檔案給擋下(block)
5.重開進入windows，開始->控制台->系統管理工具->服務
若上述講的都有的話，應該會出現之前沒看過的項目，在此想像名稱是rdriv，描述為
Windows system rdr server 啟動類型為自動。
6.有看到該項目的話，就開啟登錄編輯器來刪除機碼
用搜尋找rdriv 把相關的機碼全部砍掉。(保險起見，也搜搜Rtkit試試)
上面寫搜尋rdriv是因為我沒遇過此木馬，所以是想像該木馬在服務啟動項目中
的名稱，實際搜尋時請以顯示出的名稱為主
7.機碼刪光後，再把c槽裡有關木馬的資料夾刪掉。
--
再澄清一次，以上是參考同類型的NTRootKit的解法
若在步驟中有出現不符的狀況，表示以上所寫全都沒用，就不用再做下去了
請有中rdriv.sys的版友試試，若沒用的話請噓文告知，小弟一看到會馬上自d
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 59.114.142.52