Rootkit Revealer 1.71

RootkitRevealer 是一款進階的 rootkit 偵測工具。它可在 Windows NT 4 及更高版本上執行,其輸出會列出登錄檔與檔案系統 API 之間的差異,這些差異可能表示存在使用者模式或核心模式的 rootkit。

RootkitRevealer 能成功偵測許多持續型 rootkit,包括 AFX、Vanquish 和 HackerDefender(請注意:RootkitRevealer 並非設計來偵測像 Fu 這類不會隱藏其檔案或登錄檔機碼的 rootkit)。

由於持續型 rootkit 會透過變更 API 結果,使透過 API 看到的系統狀態與實際儲存狀態不同,因此 RootkitRevealer 會比較最高層級與最低層級的系統掃描結果。最高層級是 Windows API,最低層級則是檔案系統磁碟區或登錄檔 hive 的原始內容(hive 檔案是登錄檔在磁碟上的儲存格式)。

因此,無論是使用者模式或核心模式的 rootkit,只要它們操弄 Windows API 或原生 API 來從目錄清單中隱藏自身蹤跡,RootkitRevealer 就會發現 Windows API 回傳的資訊與 FAT 或 NTFS 磁碟區檔案系統結構的原始掃描結果之間存在差異。