\\?\globalroot\systemroot\system32\... infos nötig

goorooj

Hi Board,

Ich hatte heute einen \\?\globalroot\systemroot\system32\UAC... ( undsoweiter ) und habe den relativ schnell gekillt, allerdings das System gleich mit.
nachdem das Rootkit weg war, liefen die meisten services nicht mehr, habe dann die kiste neu aufgesetzt ( geht bei uns dank image recht fix ).

Jetzt wüsste ich gerne einiges über dieses Dings, unser Virenscanner ( Antivir professional ) hat den noch nicht mal erkannt, war zufall dass ich das kit gefunden habe.

umgebung: wir haben fast ausschliesslich linux- ( verschiedene distris ) und Unixserver ( Solaris 8 und HPUX 11), die xp-clients hängen an einem samba, roaming profiles auf SAN.

1. verteilt sich das ding selbsttätig?
2. wie?
3. was soll die \\?\ variable genau?, ich habe dummerweise die hostfile nicht angeschaut in der hektik. sollte das nicht %systemroot% heissen?
helft mir mal bitte mit windows etwas auf die sprünge wieso die \\?\ variable für ein rootkit funktioniert... ich finde nix, und im explorer oder auf der konsole komme ich mit diesem link gar nirgends hin.
4. kann sich der auch unter einem normalen domänenbenutzer installieren oder nur mit rootrechten?
5. wie siehts mit den roaming profiles auf dem samba aus? die clients setze ich zur not einfach neu auf, den samba eher nicht, und die profile sollten auch clean sein, die kann ich nicht einfach löschen. ich habe einen linux antivir-scanner auf dem samba, aber der findet auch nix.
6. wie stoppe ich diese speziellen rootkits? reicht es, den usern die lokalen adminrechte zu entziehen?