Независимые специалисты по компьютерной безопасности и компания Microsoft нашли объяснение случаям ухода Windows в состояние «синего экрана смерти» после установки обновления, известного под обозначением MS10-015. Наиболее вероятной причиной таких ситуаций, по мнению авторитетных экспертов, является заражение компьютеров вирусом TDSS, который принадлежит к классу «руткитов» (rootkit) и используется для несанкционированного доступа к ресурсам компьютера и незаметного удаленного управления.
На прошлой неделе мы уже писали о том, что по неизвестной причине после установки плановых обновлений из очередного «вторничного» набора заметное число машин с операционными системами Windows XP и некоторыми другими версиями Windows переставали загружаться. Экспертам удалось выяснить, что из 13 обновлений к сбоям приводило обновление MS10-015, но точные причины такого поведения компьютеров оставались неизвестными.
Независимый специалист Патрик Барнс (Patrick Barnes) обнаружил, что практически во всех случаях сбоев после установки обновлений компьютеры были заражены вирусом TDSS. К чести Microsoft, производитель не стал обвинять вирус во всех сбоях при установке обновления MS10-015. По состоянию на текущий момент вирус TDSS считается лишь одной из вероятных причин сбоев, а окончательные результаты расследования столь досадного инциденты будут раскрыты позже. Несмотря на проблемы с MS10-015, компания Microsoft по-прежнему рекомендует администраторам и пользователям установить остальные 12 обновлений из пакета от 9 февраля 2010 года.
Подробнее о возможной связи вируса TDSS с проблемами при установке фирменных обновлений для Windows от компании Microsoft можно прочитать в обзоре на сайте The Register.
http://www.ferra.ru/click/news/http:...prit_probably/.
Источник:
http://www.ferra.ru/click/news/http://www.softline.ru/
В связи с этим возникает вопрос: как откатить уже собранный на харде дистрибутив именно от этого обновления до предыдущего? А то переинтегрировать не очень хочется.
А ведь еще пишут, что этот фикс закрывает дыру 17-летней давности.
И еще информация!!
Главной причиной того, что некоторые компьютеры под управлением Windows XP перестали работать после установки выпущенных в прошлый вторник компанией Microsoft патчей, мог оказаться трудноопределяемый руткит.
На прошлой неделе пользователи буквально завалили жалобами форумы техподдержки Windows, сетуя на то, что после установки свежего набора обновлений их компьютеры перестали работать, демонстрируя “синие экраны смерти” (BSOD). В четверг компания Microsoft отозвала связанный с этой проблемой патч MS10-015, и занялась расследованием инцидента.
Уже в пятницу было готово предварительное заключение, в котором эксперты Microsoft заявили, что в ненормальном поведении операционной системы может быть виновато вредоносное ПО. В частности, представитель компании Джерри Брайант подтвердил, что удаление обнаруженного специалистами руткита позволяет загрузить неисправную систему.
В свою очередь, Патрик Барнс, один из пользователей Windows XP, сообщил об обнаружении взаимосвязи между “синим экраном смерти” и наличием в системе опасного руткита TDSS. Барнс пишет, что он обнаружил на машине неработающий файл atapi.sys. Отправив его на анализ, Патрик получил ответ, что этот файл заражен руткитом TDSS.
Барнс подчеркивает, что инфицированный файл atapi.sys является самой распространенной причиной сбоя в работе операционной системы, однако к появлению “синего экрана смерти” может привести любой драйвер, некорректным образом ссылающийся на обновленные компоненты ядра Windows. Эксперт разместил на своем блоге инструкции по восстановлению работоспособности Windows XP, а “Лаборатория Касперского” выпустила специальную утилиту, удаляющую TDSS.
http://support.kaspersky.com/viruses...?qid=208280684
Чтобы решить проблему, пользователям перед началом процедуры восстановления необходимо удалить руткит с жесткого диска. Для этого нужно подключить его к другому компьютеру и проверить на наличие заражения. В случае, если после очистки файл atapi.sys будет удален, необходимо будет заменить его аналогичным файлом той же версии с установочного диска или другой машины под управлением Windows. После этого можно пробовать загружаться с диска или проводить восстановление Windows.
По словам вирусного аналитика “Лаборатории Касперского” Роэля Шувенберга, руткит TDSS использует весьма изощренные методы маскировки своей деятельности внутри операционной системы, а потому большинство антивирусов не в состоянии определить его наличие. Шувенберг подтвердил, что этот руткит действительно является основной причиной появления BSOD, поскольку обновление MS10-015 заменяет компоненты ядра Windows, а TDSS как раз и является очень продвинутым руткитом, работающим в режиме ядра. По мнению эксперта, проблема с новым патчем от Microsoft выявила истинные масштабы его распространения.
