这些工具都有自己独特的功能和缺陷。我喜欢使用RootkitRevealer。但是，恶意软件作者不断地更新他们的工具以便避开最新的检测应用程序，因此，我最喜欢的工具也许也不能检测出所有的恶意软件。你也许需要手工执行微软研究院2004年发布的工具软件“Strider GhostBuster”的白皮书中解释的那些程序。简言之，你要在系统启动的时候拍下系统的快照，收集每个硬盘的目录列表等信息。然后，你使用替代的操作系统启动计算机，用你在干净的操作系统中所看到的东西与被攻破的操作系统中的东西进行比较。
如果你没有时间了，在使受到影响的计算机系统脱离网络之后，你可以直接进入恢复阶段。
Lawrence Abrams:如果你发现的rootkit看起来像是与各种恶意软件捆绑在一起的普通的rootkit，那么，断开这台计算机的网络连接作为你的第一个措施应该是足够的。这将阻止其传播以及可能下载和安装更多的恶意软件。
另一方面，如果你确定那就是目标rootkit，是一个人专门攻破这台计算机并且安装的rootkit，那么，你应该按照你们的机构对付入侵的政策去做。遗憾的是，大多数公司对于这类事件没有政策。如果你可能采取法律行动的话，最低限度你要立即制作一个可在法院使用的硬盘的镜像，把原始的计算机保存起来以便在法庭上当作证据。如果你不打算采取法律行动，你就可以直接进入恢复阶段。
Kevin Beaver:我首先的建议是断开计算机的网络连接，不过，这只能在你能够承受这种损失的情况下才可以这样做(也就是说，如果这样做不影响主要的业务经营的话)。这样做有助于阻止任何恶意软件传播或者影响其它的网络计算机。第二，安装/运行我在诊断阶段提到的应用程序。你可能需要运行这些程序来监视系统的行动。然而，一旦系统受到感染，检测程序要发现异常或者正常的行为都是很困难的，如果不是不可能的话。这主要取决于具体的工具的工作情况。
专家教你清除rootkit之恢复系统:
Kurt Dillard:遗憾的是“用核打击让站点进入轨道”是最有力的恢复方法。一旦黑客攻破了你的计算机，你永远不会确定你发现并清除了每个一被修改的地方。
如果你拥有最新的备份，按下列步骤执行:
1.把硬盘从被感染的计算机中拆下来安装到另一台干净的计算机中;
2.从干净的系统备份数据;
3.删除受影响的计算机的操作系统，并且使用已知的良好的介质重新为受影响的计算机安装操作系统;
4.采取在预防措施阶段中介绍的步骤尽最大努力保证系统的安全;
5.把数据恢复到重建的计算机中;
6.使用最新的杀毒软件和反间谍软件全面扫描恢复的数据。
7.不要存储任何可执行文件。最佳方法是故意删除二进制、脚本、ActiveX控件等任何可执行文件。
Lawrence Abrams:从rootkit的影响中恢复过来是很棘手的。如果rootkit是通过普通的没有针对性的恶意软件安装的，清除这种侵犯你的计算机的恶意软件应该比恢复你的计算机还要困难。
另一方面，如果你对付的是Hacker Defender、HE4Hook、Vanquish或者FU等rootkit，那么，那就是黑客故意把这些rootkit安装到目标计算机中的。记住这个问题，你绝对想不到这些rootkit在你的计算机中安装了什么或者修改了什么。黑客也许会通过注册表修改安全设置，用黑客版本的文件替换你系统中的重要文件，或者以其它方式控制受害者的计算机或者网络。在这种情况下，我总是建议备份数据和重新安装操作系统。在你把数据复制到新安装的计算机之前，扫描一下数据，检查是否被感染。
如果重新安装计算机不是一种选择，你可以使用rootkit检测程序查找属于rootkit的文件。这类工具软件包括Blacklight、RootkitRevealer和Flister等。由于这些文件在rootkit程序之外很可能看不到，你可以使用可启动的Linux发布版软件如KNOPPIX、启动盘或者通过一个网络共享(不建议这样做)清除那些文件。
最后，如果你有资源重新安装计算机，那可能是你最佳的选择。
Kevin Beaver:如果你没有检测到任何rootkit，但是，异常的行为继续出现，你的最佳和最安全的选择是重新格式化和重新安装系统。在进行这种操作之前，你要确保备份一切必要的文件。由于目前大多数恶意软件(特别是rootkit)不感染二进制或者文本文件，这样做是很安全的。恶意软件主要感染可执行文件和操作系统以及应用程序使用的支持库文件。如果你能够清洁系统(如果发现了rootkit就很难做到)，你需要经常扫描系统并且监视其它的可疑行为。再说一次，一定要使用我在诊断阶段所提到的那些工具。
专家教你清除rootkit之预防措施:
Kurt Dillard:你可以采取很多应对措施。下面是最有效的五个措施:
1.避免使用具有管理员权限的账户登录。你可以使用Windows内置的工具RunAs或者MakeMeAdmin等工具软件做到这一点;
2.运行一个为你的整个网络设置的防火墙以及分配给每个端口的防火墙软件，如Windows防火墙(包括Windows XP SP2);
3.保持你的Windows和其它软件都是用最新的补丁和服务包。如果你只有少量的系统，你可以使用“Automatic Updates”(自动更新)等工具。如果你有很多系统，你可以使用Windows服务器更新服务;
4.使用拥有最新签名库的流行的杀毒软件。要了解更多的杀毒软件厂商，请参阅微软杀毒合作伙伴网页;
5.使用最新的间谍软件保护工具，如微软的Windows反间谍软件。
要了解更多的有关减小受到这种恶意软件攻击的风险的想法，可以参考我最近发表的技术指南。
Lawrence Abrams:安全方面最重要的步骤是尽一切努力阻止用户使用管理员的权限登录网络。可以理解的是，使用当前的Windows结构，这不可能总做到。当恶意软件感染一台计算机的时候，这个恶意软件将以登录用户同样的安全级别运行。因此，如果用户具有管理员权限，这个恶意软件也将拥有管理员权限。这种权限就给予恶意软件全面访问你的计算机的权利。
使用阻止其它恶意软件的最佳做法同样可以防止rootkit(无论是有针对性的蠕虫携带的还是病毒式的蠕虫携带的)。
1.使用防火墙封锁经常被黑客攻破的Windows TCP端口，如20、21、23、80、135、139、443和445端口。通过从源头封锁这些端口，你首先会减少被黑客攻破的风险。最佳的做法的是封锁每一个端口，仅把一个端口映射到一台需要打开端口的机器上。最近的蠕虫利用的程序中的安全漏洞就是使用这些端口。如果一台计算机需要使用上述端口，防火墙应该确定哪一台计算机可以通过这个端口远程接入这台计算机，而不是把端口完全敞开;
2.而且，每一台计算机都应该一直拥有最新的安全更新，并且运行每一天都更新的杀毒软件。病毒软件的新的定义是经常发布的，拥有这些最新的定义是非常重要的;
3.除了杀毒软件之外，你至少还需要两种反间谍软件工具，如在计算机上安装Spybot-Search and Destroy、Webroot软件公司的Spy Sweeper或者Lavasoft公司的Ad-Aware等工具软件。使用最新的更新每天或者每个星期扫描一次能够自动发挥最新的病毒定义的优势;
4.最后一条，但是不是最不重要的一条。要教育用户采取良好的做法。用户应该知道不要点击互联网广告、陌生人从即时消息中发来的链接或者陌生人发来的电子邮件的附件。如果一个新的蠕虫开始传播，IT工作人员应该立即发出电子邮件通知所有的用户，解释这种附件、配置或者措词。
拥有可随时使用的防火墙、反恶意软件工具、最新的安全更新和为用户提供的良好的互联网指南，你应该能够避免受到这些类型的恶意软件的感染。
Kevin Beaver:只要计算机是由人类操作的或者是连接到网络的，就没有办法绝对保证安全。然而，你可以安装反间谍软件、rootkit检测工具和监视异常情况的软件来保证系统的安全。最理想的是，如果你受到过一次攻击并且不想再次受到这种攻击，你最好安装上述的全部三类安全软件。此外，这句话也许是老生常谈，但是还是要强调一下。你要确保你严格执行所有的操作系统和应用程序都使用最新的安全补丁的规定。
