Rootkit, nicht Patch bringt XP zum Absturz

Offenbar ist nicht der Patch verantwortlich, wie zuvor berichtet, sondern das Rootkit Backdoor.Tiserv. Diese Schadsoftware wurde auf Rechnern von Personen gefunden, die auch das oben beschriebene Problem hatten. Dennoch können andere Ursachen noch nicht vollständig ausgeschlossen werden.

Wie der Sicherheitsexperte Brian Krebs in einem Blog berichtet, hat der IT-Dienstleister Cat-man-du.com auf mindestens drei Computern von Kunden, die von dem Problem betroffen sind, ein Rootkit gefunden. Der Schädling habe den Festplattentreiber atapi.sys infiziert und löse die Abstürze aus.

Symantec identifiziert den Schädling als “Backdoor.Tidserv”. “Er nutzt eine fortgeschrittene Rootkit-Technologie, um seine Existenz zu verbergen”, schreibt Symantec-Mitarbeiter Mircea Ciubotariu in einem Blog. Dafür infiziere er Low-Level-Kernel-Treiber. Abhängig von der Hardware-Konfiguration befalle das Rootkit neben atapi.sys auch iastor.sys, idechndr.sys, ndis.sys, nvata.sys oder vmscsi.sys.

“Wir wissen, dass die Neustarts eventuell auch von anderen guten oder schlechten Kernel-Mode-Applikationen verursacht werden können, aber Tidserv ist eine der häufigsten Bedrohungen, die als Grund in Frage kommt”, so Ciubotariu weiter. Symantec empfiehlt, mit Tidserv infizierte Treiber manuell auszutauschen, da eine automatische Entfernung dazu führen könne, dass ein System nicht mehr starte.