微软揪出本月补丁蓝屏真凶Alureon Rootkit

微软的Windows内核补丁部署后导致蓝屏问题的真凶是Alureon rootkit。
部分用户在部署了微软的二月补丁更新后发生蓝屏死机，微软对这一情况进行了调查，并公布了调查结果，微软发现这和其中的一个特定补丁以及恶意软件影响相关。

微软的工程师证实了蓝屏问题和MS10-015的部署相关，这是一个Windows内核补丁，它修复了两个长期存在的内核漏洞。发生蓝屏的机器是由于已感染了Alureon rootkit，Alureon rootkit属于数据窃取木马类别，它能截获计算机的Internet流以窃取用户名、密码和信用卡数据。Alureon能够避开检测，从而在不受干扰的情况下执行恶意程序。微软说它还能隐藏文件以及磁盘扇区。

微软安全响应中心的主管Mike Reavey在MSRC博客中称：“引发重启的原因是Alureon rootkit对Windows内核二进制做了修改，从而使这些系统处于不稳定的状态。用户应当坚持部署这个月的安全更新，并确保其系统中的反病毒软件更新到最新版本。”

微软2月9日发布安全更新之后不久，就有用户反映补丁部署后发生蓝屏问题。几家漏洞管理厂商的补丁修复专业人员和专家纷纷表示，公司范围上的补丁更新中没有出现这种问题。

直到调查有了结果，微软才再次开放其自动更新MS10-015。计算机专家Patrick W. Barnes是第一个发现此次事件中的rootkit的。

Reavey更深入地解释了这次蓝屏事件的原因：

此次事件中Alureon恶意软件制作者通过试图访问特定的内存位置修改Windows的运转行为，而不是在可执行文件加载时让操作系统确定地址。在这种情况下，机器遭到感染，恶意软件决定了机器上的Windows代码布局。随后MS10-015下载并安装到了机器上，这时Windows代码的位置也会发生改变。在下次重启机器时，恶意代码试图访问Windows代码中的某一特定地址，然而那里已不再具备所需的操作系统功能，恶意代码已被毁坏。

Reavey说，修复这一问题的唯一方式是重装Windows。但他补充说，检测并移除Alureon的简易解决方式正在开发中并预计在数星期后发布。