O driver Bizzare (?) [uwtiruog.sys] causa BSOD esporádico - possível infecção por malware

Question

Tenho um laptop aqui que foi infectado por malware. Eu limpei, mas a performace ainda não é 100%. Eu tentei seguir as instruções no Bleepingcomputer e TechGuy para verificar se há infecção oculta por malware / rootkit e isso resultou em BSOD.

Estou postando trecho do MiniDump, identificando uwtiruog.sys (ou não está lá) como causa mais provável para BSOD:

*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Use !analyze -v to get detailed debugging information.

BugCheck 50, {86208000, 0, 93af4eed, 0}

Unable to load image \??\C:\Users\[USER]\AppData\Local\Temp\uwtiruog.sys, Win32 error 0n2
*** WARNING: Unable to verify timestamp for uwtiruog.sys
*** ERROR: Module load completed but symbols could not be loaded for uwtiruog.sys

Could not read faulting driver name
Probably caused by : uwtiruog.sys ( uwtiruog+beed )

Followup: MachineOwner

Existe alguma maneira de identificar o processo que chamou uwtiruog.sys, como isso provavelmente é a causa real do BSOD?

A propósito, laptop na Packard Bell, Win Vista.

Muito obrigado!

EDIT: Moderadores, isso é mais um tópico para serverfault? Eu estava esperando por algumas respostas :) Eu deveria tentar postar o mesmo Q lá (ou você poderia migrar)?

    

Answer 1

Isso é uma PAGE_FAULT_IN_NON_PAGED_AREA, causada pelo driver que tenta tocar na memória que não está mapeada. Isso geralmente é apenas um bug de driver, mas no seu caso eu noto que o driver está sendo carregado de \ ?? \ C: \ Users [USER] \ AppData \ Local \ Temp \ uwtiruog.sys - uma seção gravável pelo usuário do disco, e não de \ windows \ system32 como eu esperaria.

Você está executando algum software especializado para fazer uma inspeção profunda do sistema, como uma versão do Process Monitor ou um monitor de sistema de arquivos? Caso contrário, pode valer a pena carregar esse arquivo em um site de verificação de malware, como o virustotal, e estar preparado para obter seu software antivírus favorito e / ou o disco de instalação do Windows.