Bereinigung stark kompromittierter Systeme

aharonov

Eines gleich vorweg: Es ist keineswegs meine Absicht, die Arbeit der Helfer hier in Frage zu stellen, das ist nur eine Frage aus Interesse.

Ist es nicht ziemlich riskant, ein schwerwiegend kompromittiertes System (z.B. mit Administratorenrechten eingegrabene Rootkit-Funktionalität) zu bereinigen und danach als sauber zu betrachten?
Insbesondere wenn die Scanner und Diagnosetools auf diesem System selbst gelaufen sind? Ich mein, wenn ein Scanner meldet, er hätte da noch was gefunden, dann kann man das wohl glauben. Aber wenn ein Diagnosetool über ein kompromittiertes System meldet "alles ok, nichts auffälliges gesehen", wie aussagekräftig ist denn das überhaupt noch?

Um klar zu sein, ich spreche nicht von der Ungewissheit, die man bei der Detektierung prinzipiell immer hat, sondern von einer gezielten Irreführung der Analysetools. Oder sind GMER und seine Kollegen in der Lage, in einer Weise hinter die Kulissen zu sehen, so dass sie auch derartige Manipulationsversuche erkennen würden? Aber irgendwie müssen sie doch auch mit dem Betriebssystem interagieren und Anfragen stellen, um die gewünschten Informationen zu erhalten...?