微软：XP更新蓝色死亡画面是rootkit搅的鬼 文/郭和杰 (记者) 2010-02-22 微软强调，所有的案例皆显示，MS10-015并没有品质问题。因此微软建议：使用仍可继续 部署该安全更新，并务必确保电脑上的防毒软体有最新的更新。 农历年前微软例行性释出安全修补程式之後，旋即发现部份Windows XP使用者回报，在安 装完MS10-015更新後会出现蓝色萤幕且电脑无法再开机的情况。据微软调查结果，原来是 使用者电脑被Alureon rootkit感染所引起，与修补程式品质无关。 微软安全回应中心（MSRC）总监Mike Reavey在部落格中表示，根据微软的调查结果，部 份使用者更新MS10-015修补程式之後之所以会有蓝色死亡萤幕并无法重新开机，是因为电 脑感染了恶意程式，特别是名为Alureon的rootkit隐身程式。微软表示，与客户以及第三 方应用软体商合作检验了诸多的记忆体转存（dumps）资料之後发现，电脑之所以会重开 机是因为Alureon rootkit修改了Windows Kernel的二元码（binaries），而让系统变得 不稳定。 微软强调，所有的案例皆显示，MS10-015并没有品质问题。因此微软建议：使用仍可继续 部署该安全更新，并务必确保电脑上的防毒软体有最新的更新。 所谓的Rootkit，是一种隐身程式，通常骇客用这种程式来隐藏其他恶意程式，好让PC使 用者不会发现电脑已受恶意程式感染。微软说明，Alureon作者企图存取特殊的记忆体位 置以改变Windows的行为，让使用者安装MS10-015补强程式之後造成Windows程式码位置的 改变。而在电脑重新开机时，恶意程式的程式码会尝试呼叫Windows程式码中的特殊位址 ，但事实上该功能已不存在於OS里。 微软已有「核心补强保护」（Kernel Patch Protection，也就是PatchGuard）以及「核 心模式程式码签署」（Kernel Mode Code Signing, KMCS）等技术避免Windows Kernel的 毁损，这两项功能在64位元版的Windows中都已具备，也因此微软所检查到的各种不同的 Alureon版本都只影响32位元版的Windows电脑。有监於此，微软表示，以一般使用者帐号 执行系统会比管理者帐号来得安全，较可避免这类感染。 微软表示，在释出最新的安全更新之後，2月10日开始注意到Windows XP SP2及SP3系统在 安装MS10-015修补程式之後会有无法重新开机的问题。而在接到很多相关通报之後，开始 停止MS10-015的自动更新，以将可能的损害降到最低。 微软承诺，目前正着手找出更简单的方法，以协助使用者在受感染的电脑上侦测与移除 Alureon，预计在在几周内将可释出。（编译/郭和杰） 来源：http://www.ithome.com.tw/itadm/article.php?c=59642 --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 112.104.104.65