RootRepeal (anti-rootkit)

RootRepeal est un anti-rootkit gratuit développé par AD13, 32 bits fonctionnant uniquement sous les systèmes d'exploitation 32 bits de Microsoft Windows versions 2000 avec Service Pack 4, 2003 Serveur, 2008 Serveur, XP, Vista et 7.

RootRepeal ne fonctionne que sur les systèmes Windows 32 bits. Utilisez TDSSKiller sur les systèmes 64 bits.

RootRepeal a les caractéristiques suivantes :

• Analyse des pilotes (drivers) - RootRepeal scanne le système à la recherche des pilotes s'exécutant en mode noyau (le niveau de privilège le plus élevé des composants de Windows). RootRepeal affiche tous les pilotes actuellement chargés, et montre si un pilote a été caché et si son fichier, sur le disque, est visible.

• Analyse des fichiers - RootRepeal scanne tous les lecteurs fixes du système à la recherche de fichiers cachés, verrouillés ou falsifiés. Les fichiers falsifiés sont des fichiers qui, lorsque Windows les consulte (appel de l'API de Windows - Application Programming Interface - interface de programmation applicative), donnent une fausse information sur leur taille, leur permettant ainsi de cacher des données (du code) dans leur corps.

• Analyse des processus - RootRepeal scanne les processus du système. RootRepeal scanne affiche tous les processus en cours d'exécution, et montre si un processus est caché ou verrouillé.

• Analyse de la SSDT - RootRepeal scanne la SSDT (System Service Descriptor Table - Table des descripteurs Système) et indique si l'une quelconque des fonctions de la SSDT est crochetée (hook - hooker).

• Analyse des objets furtifs - RootRepeal tente de déterminer si des rootkits sont actifs par la recherche de symptômes typiques.

• Analyse des services invisibles - RootRepeal scanne les services de Windows à la recherche de services cachés.

• Recherches de traces fantômes dans la SSDT - pendant de l'analyse SSDT, orientée principalement vers les traces graphiques et des fonctions liées à la fenêtre.