web-dev-qa-db-ja.com

疑わしいドライバー、それはルートキットですか？

次のエントリがPCのDriverViewに表示されます。

  • C：\ Windows\System32\Drivers\dump_dumpata.sys
  • C：\ Windows\System32\Drivers\dump_dumpfve.sys
  • C：\ Windows\System32\Drivers\dump_msahci.sys

これらのファイルは存在しないか、非表示になっています。

これらのファイルについて、ネット上で具体的なものは何も見つかりませんでした。彼らが合法であるかどうか誰かが知っていますか？

OSはWindows7プロフェッショナルです。

ありがとう。

windows-7driversrootkit
7
user56312

いいえ、ルートキットはありません。これは、新しくインストールされたWin 7SP1が私にとってどのように見えるかです。

enter image description here

  • dump_dumpfve.sysはWin7の一部です
  • dump_iaStor.sysは、私がインストールしたドライバーの一部です。インテルストレージ何か何か

あなたの場合、さらに：

  • dump_msahci.sysはAHCIドライバーと関係があります。
  • dump_dumpata.sysはPATA、別名 Parallel ATA と関係があり、dumpataのpataの前のダムはダミーを表すと推測するのは危険ですが、わかりません。

要するに、いいえ、あなたはルートキットを持っていません。

6
Grumpy ol' Bear
C:\Windows\System32\Drivers\dump_dumpata.sys
C:\Windows\System32\Drivers\dump_dumpfve.sys
C:\Windows\System32\Drivers\dump_msahci.sys

NirsoftDriverViewに表示されたのと同じドライバーに関する回答を探していました

john CarronaのWebサイト、Microsoft MVPにあるドライバーリファレンステーブルによると http://www.carrona.org/dvrref.php

dump_dumpata.sys

%SysDir%\Drivers\DUMP_DUMPATA.SYS is related to Microsoft Windows Vista.
DUMP_DUMPATA.SYS is a system driver for managing ATA devices.

dump_dumpfve.sys

%SysDir%\Drivers\DUMP_DUMPFVE.SYS is related to Microsoft Windows Vista.
DUMP_DUMPFVE.SYS is a Full Volume Encryption Crashdump Hibernate Filter Driver.
DUMPFVE.SYS is a part of Microsoft® Windows® Vista Operating System.

dump_msahci.sys

DUMP_MSAHCI.SYS is related to MS AHCI 1.0 Standard Driver.
DUMP_MSAHCI.SYS is a part of Microsoft® Windows® Operating System.
Manufacturer: Microsoft Corp.

それらはすべてダンプファイルと合法性に関連しているようですが、私は確かにわかりません、それは別の人に役立つかもしれません

windows 7 SP1

6
Vagablonde

MSの説明によると

これらは、クラッシュダンプの作成に使用される仮想ドライバーです。¹

クラッシュダンプの作成はちょっとした落とし穴です。22：クラッシュが発生すると、システムは不明な状態になります。つまり、ファイルシステムやブロックデバイスドライバーでさえも、何も信頼できません。結局のところ、クラッシュはそれらのドライバーの1つにあった可能性があります！

システムが起動すると、必要になった場合に備えて、クラッシュダンプ情報を記録するためにハードドライブ上のスペースが事前に割り当てられます。また、ディスクへの書き込みに必要なドライバーのクローンを作成します。クラッシュが発生した場合、カーネルはショーを実行していたドライバーを信頼しません。代わりに、これらのクローンにステップインしてクラッシュデータを書き込むように要求します。ここでの理論は、これらのクローンドライバーは、初期化された直後に一時停止状態に保たれ、ジョブを実行できなくなるような破損状態になる可能性を最小限に抑えるというものです。²

これらの仮想ドライバーは、Process Explorerが報告されたパスを取得し、そのパスからメタデータを抽出するため、説明やその他のメタデータなしでProcessExplorerに表示されます。ただし、これらのドライバーはファイルから読み込まれなかったため、表示するものはありません。

0
user1719332