Bagaimana untuk mengesan proses berniat jahat dengan Process Explorer dan VirusTotal

Mengesan proses berniat jahat dalam Windows tidak selalunya mudah, terutamanya apabila perisian hasad bersembunyi menggunakan teknik canggih. Jika anda tertanya-tanya bagaimana untuk mencarinya tanpa sesat di antara berpuluh-puluh proses, Process Explorer dan penyepaduannya dengan VirusTotal sangat berharga.

Dalam panduan ini, anda akan menemui panduan praktikal dan sangat terperinci untuk menyiasat proses yang mencurigakan dengan Process Explorer, mengaktifkan analisis dengan VirusTotal, mentafsir keputusan dan melengkapi siasatan dengan Autoruns, alat anti-rootkit, pemantauan rangkaian dan langkah pembersihan dan pengukuhan yang lain.

Apakah Process Explorer dan mengapa ia penting untuk memburu proses berniat jahat?

Process Explorer ialah utiliti Microsoft (sebahagian daripada koleksi Sysinternals) yang direka untuk pemantauan mendalam proses Windows : penggunaan CPU/RAM, hierarki, deskriptor, modul yang dimuatkan, laluan boleh laku, kebenaran, tandatangan digital dan banyak lagi. Ia mudah alih, berjalan tanpa pemasangan dan membolehkan anda membuat keputusan termaklum dalam beberapa saat.

Sejak tahun 2014, ia telah menggabungkan integrasi dengan VirusTotal , yang membolehkan perbandingan hash setiap fail boleh laku dengan pangkalan data berbilang enjin antivirus di awan. Lapisan tambahan ini memudahkan untuk membezakan proses yang sah daripada proses yang kelihatan mencurigakan tanpa perlu meninggalkan alat ini.

Secara ringkasnya, aliran analisis dengan VirusTotal daripada Process Explorer berfungsi seperti ini: anda memilih proses , alat tersebut menghantar hash fail boleh laku (bukan fail itu sendiri) kepada VirusTotal, ia dibandingkan dengan pangkalan data tandatangannya dan anda serta-merta melihat skor dalam lajur khusus dalam Process Explorer.

1. Pemilihan proses: Anda memilih proses yang ingin anda semak daripada senarai.
2. Menghantar cincang: Process Explorer mengira dan menyerahkan cincangan binari kepada VirusTotal.
3. Analisis: Enjin VirusTotal membandingkan cincang itu dengan repositori perisian hasad mereka.
4. Keputusan: Lajur muncul dengan keputusan tambahan (positif/enjin).

Antara kelebihannya ialah pengesanan pantas terhadap potensi ancaman, perincian yang kaya yang disediakan oleh VirusTotal pada keluarga atau padanan, dan kemudahan penggunaan : semuanya disepadukan ke dalam antara muka Process Explorer, tanpa konfigurasi yang rumit.

Sebagai batasan, perlu diingat bahawa keberkesanannya bergantung pada VirusTotal (jika perisian hasad sangat baharu, ia mungkin tidak muncul) dan imbasan tersebut menambah penggunaan sumber semasa hash sedang dirujuk, terutamanya pada komputer sederhana atau dengan banyak proses serentak.

Bagaimana untuk mendayakan VirusTotal dalam Process Explorer dan memahami hasilnya

Mulakan dengan memuat turun alat daripada Sysinternals, mengekstraknya dan menjalankan procexp64.exe sebagai pentadbir jika anda menggunakan sistem Windows 64-bit. Oleh kerana ia mudah alih, ia tidak memerlukan pemasangan , yang sangat mudah untuk analisis sekali sahaja.

Untuk mendayakan integrasi VirusTotal, pergi ke Pilihan > VirusTotal di bar menu atas dan aktifkan imbasan. Anda akan melihat lajur baharu secara automatik memaparkan sesuatu seperti 0/70, 1/70, dsb., yang menunjukkan berapa banyak enjin yang melaporkan fail tersebut sebagai mencurigakan.

Keputusan 0/n biasanya bermaksud tiada enjin yang mengesan aktiviti berniat jahat yang berkaitan dengan hash yang ditanya. Jika anda melihat sebarang positif terpencil (contohnya, 1/70 berwarna merah), jangan terburu-buru membuat kesimpulan: ini selalunya positif palsu . Anda boleh mengklik pada hasilnya untuk membuka laporan VirusTotal dan menyemak butirannya.

Jika kaunter meningkat mendadak (contohnya, 15/70 atau lebih), itu adalah tanda risiko yang jelas. Dalam kes itu, perkara yang wajar dilakukan ialah menamatkan proses dengan berhati-hati , mengasingkan mesin daripada rangkaian jika perlu dan menjalankan imbasan anti-perisian hasad penuh untuk mengenal pasti dan mengalih keluar sumbernya.

Penyiasatan Manual: Sifat Proses, Tandatangan, DEP/ASLR dan Petunjuk Halus

Selain keputusan VirusTotal, Process Explorer menonjol apabila anda membuka sifat proses (klik dua kali atau klik kanan > Sifat). Di sini anda boleh melihat laluan imej, pengguna yang menjalankannya, modul yang dimuatkan, deskriptor terbuka, penggunaan sumber dan maklumat terperinci lain.

Langkah pertama yang berguna adalah untuk mengesahkan laluan dari mana fail boleh laku dimuatkan . Jika sesuatu yang mendakwa berasal dari sistem dijalankan dari folder sementara atau profil pengguna, itu adalah petanda buruk . Adalah juga idea yang baik untuk mencari nama fail dalam talian untuk menyemak reputasi, dokumentasi dan sama ada orang lain telah mengenal pastinya sebagai ancaman.

Satu lagi pemeriksaan berharga ialah mengesahkan tandatangan digital binari. Process Explorer membolehkan anda menyemak sama ada fail boleh laku ditandatangani dan sama ada tandatangan itu sah. Fail daripada vendor bereputasi yang tidak ditandatangani atau yang tandatangannya tidak dapat disahkan adalah tanda amaran . Contoh klasik ialah klien yang, walaupun memuat turun pemasang yang ditandatangani, melihat fail boleh laku akhir tanpa tandatangan, berisiko digantikan dengan versi Trojan.

Sebaliknya, sesetengah produk memang muncul dengan tandatangan yang disahkan , yang menambah kepercayaan. Walau bagaimanapun, perlu diketahui bahawa pada masa ini terdapat kempen yang menyalahgunakan pemacu atau rantaian bekalan pihak ketiga yang ditandatangani untuk menyelinap masuk binari berniat jahat; oleh itu, tandatangan bukanlah jaminan mutlak, tetapi ia merupakan petunjuk penting dalam konteks ini.

Perhatikan juga tingkah laku luar biasa seperti lonjakan CPU yang tidak dapat dijelaskan, aktiviti cakera yang berlebihan, penulisan ke lokasi sensitif atau hakikat bahawa proses berjalan tanpa mitigasi moden seperti DEP atau ASLR aktif apabila anda jangkakan sebaliknya. Tanda-tanda kecil inilah, jika digabungkan, membantu memisahkan aktiviti biasa daripada aktiviti yang mencurigakan.

Satu tabiat yang baik adalah dengan menghafal proses yang biasanya dijalankan oleh pasukan anda, menyemaknya secara berkala dan mendokumentasikan sebarang perubahan. Lebih baik anda mengetahui sistem anda, lebih cepat anda akan mengesan apa-apa yang tidak kena pada tempatnya.

Teknik Lanjutan: Autoruns, Rootkit, Rangkaian, MBR dan Bila Perlu Pasang Semula

Process Explorer ialah hab pusat, tetapi untuk kes-kes yang degil, adalah dinasihatkan untuk bergantung pada utiliti Sysinternals lain dan alat khusus yang meluaskan keupayaan pengesanan dan pembersihan anda terhadap ancaman tersembunyi.

Untuk program yang berjalan secara automatik apabila Windows bermula, Autoruns adalah penting. Dengan Autoruns Anda akan melihat sepenuhnya semua penyertaan boot (aplikasi, perkhidmatan, sambungan, tugas berjadual, dsb.). Anda boleh melumpuhkan yang meragukan, membuka lokasi atau melompat ke kunci pendaftaran sepadan untuk diperiksa. Laluan klasik untuk disemak termasuk HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run dan setara bagi setiap pengguna.

Jika anda mengesyaki rootkit (perisian hasad yang tersembunyi jauh di dalam sistem), anda memerlukan pendekatan yang berbeza. Utiliti seperti Malwarebytes Anti-Rootkit , TDSSKiller Kaspersky atau GMER ( kini tidak serasi dengan Windows 11 ) membantu mendedahkan apa yang terlepas pandang oleh program antivirus konvensional.

Untuk memaksimumkan keberkesanan terhadap rootkit, adalah dinasihatkan untuk memulakan semula dalam Mod Selamat sebelum mengimbas, supaya perisian hasad mempunyai lebih sedikit peluang untuk dimuatkan. Sesetengah alat membolehkan anda mencipta titik pemulihan , menjalankan imbasan mendalam, dan kemudian, setelah selesai, gunakan pembersihan dan mulakan semula apabila digesa.

La aktiviti rangkaian Ia juga banyak memberi. Dengan netstat Anda boleh menemui sambungan aktif dan proses yang berkaitan dengan menjalankan dalam a CMD dengan keistimewaan netstat -anoJika anda melihat sambungan berterusan ke alamat IP yang tidak diketahui, siasat PID yang mengekalkan sesi itu dan padankannya dengan proses dalam Process Explorer.

Untuk tahap penglihatan yang lebih tinggi, Wireshark membolehkan anda menangkap dan menganalisis trafik. Aliran biasa adalah mudah: pilih antara muka (Wi-Fi atau Ethernet), tekan mula tangkap (ikon jerung), kenal pasti IP anda dengan ipconfig, gunakan penapis seperti ip.addr == TU_IP atau protokol tertentu (contohnya, http) dan berhenti menangkap apabila anda mempunyai bahan yang mencukupi untuk dianalisis asal-usul/destinasi dan pelabuhan.

1. Pilih antara muka untuk memantau dan menangkap bermula.
2. Dapatkan IP anda dengan ipconfig untuk menapis dengan tepat.
3. Gunakan penapis sebagai ip.addr == TU_IP atau dengan protokol.
4. untuk hasil tangkapan dan meneliti pakej yang mencurigakan secara terperinci.

Apabila but mungkin terjejas, jangan lupa bahawa beberapa perisian hasad lanjutan menyentuh MBR (Rekod But Induk) untuk dijalankan sebelum Windows. Dengan media pemasangan Windows anda boleh membuka Pembaikan Permulaan dan, dalam konsol, gunakan bootrec /fixmbr untuk membina semula sektor kritikal ini. Ia adalah langkah pembedahan yang harus digunakan dengan bijak dan dengan sandaran.

Jika, meskipun begitu, jangkitan berterusan atau simptom muncul semula, pertimbangkan untuk memasang semula sistem secara bersih . Sandarkan dokumen anda, tetapi elakkan memulihkan program atau tetapan lama secara membuta tuli: ia boleh menyebabkan masalah semula tanpa anda sedari.

Akhir sekali, ingat bahawa perisian hasad berkembang, dan sesetengah kempen juga mengeksploitasi pemacu yang ditandatangani untuk mendapatkan kegigihan. Ini mengukuhkan kepentingan menggabungkan pelbagai isyarat: reputasi VirusTotal, tandatangan digital, lokasi fail, tingkah laku, sambungan rangkaian dan entri permulaan.

Kuatkan keselamatan anda: tampung, lapisan pertahanan, sandaran dan bantuan pakar

Selepas pembersihan, adalah penting untuk menutup sebarang kelemahan yang tinggal. Gunakan semua tampalan keselamatan untuk Windows dan perisian yang dipasang, terutamanya pelayar, klien pemesejan dan alatan yang berinteraksi dengan internet. Sistem yang dikemas kini mengurangkan permukaan serangan dan menghalang eksploitasi hari sifar yang diketahui.

Pertimbangkan untuk menggunakan penyelesaian keselamatan berbilang lapisan : perisian antivirus dengan pengimbasan atas permintaan dan pengesanan tingkah laku, tembok api yang dikonfigurasikan dengan baik dan, jika sesuai, utiliti anti-rootkit. Pelbagai lapisan menyukarkan hidup penyerang dan meningkatkan peluang anda untuk menghentikan pencerobohan tepat pada masanya.

Jangan abaikan sandaran tetap ke storan luaran atau awan. Pastikan sekurang-kurangnya satu sandaran berada di luar talian atau tidak boleh diubah untuk mengelakkan ransomware daripada menyulitkannya bersama-sama dengan data anda. Sahkan secara berkala bahawa sandaran anda berfungsi dengan betul.

Jika anda buntu atau memerlukan penyelesaian segera, anda sentiasa boleh mendapatkan bantuan profesional . Perkhidmatan khusus menawarkan diagnostik dan penyingkiran berpandu pada harga yang berpatutan, yang boleh menjimatkan masa dan tenaga anda dalam persekitaran kerja yang kritikal.

Dengan semua perkara di atas, anda mempunyai pelan tindakan yang kukuh: gunakan Process Explorer untuk menganalisis proses dan tandatangan, bergantung pada VirusTotal untuk perbandingan segera, lengkapkan dengan Autoruns , alat anti-rootkit dan analisis rangkaian , dan selesaikan dengan langkah pembaikan but atau pemasangan semula jika perlu; dari situ, satukan keselamatan anda dengan tampalan, lapisan pertahanan dan sandaran supaya anda bersedia pada masa akan datang.