Verständnisfrage...

Zur Erkennung, ob ein WinServer oder Client Befall aufweist müsste es
ausreichen, mittels einer BootDVD, die R(B)ootpartition jeweils mit
einem Diskeditor nach dem hardcodierten Schlüssel
> "(1dM3uu4j7Fw4sjnbcwlDqet4m5Imnxl1pzxI6as80cbLnmz54cs5Ldn4ri3do5L6gs923HL34x2f5cvd0fk6c1as)" 
zu durchsuchen und hätte somit den Treiber aufgespürt, der das 
Rootkit startet. Diese Umbennen oder löschen, sofern man nicht 
wie ich sehr neugierig ist und das Ding später noch braucht. :)

Nachfolgend den Namen der gefundenen Datei aus der 
jeweiligen Registrierung tilgen und das Rootkit wäre auf 
dem Rechner erstmal nicht mehr aktiv.

Oh je, damit, wenn also jemand den Inhalt des ´virtuellen
Dateisystems` 
etwas modifiziert... Man mag sich derlei gar nicht vorstellen.