ŠKOLSKÁ NAVIGÁCIA
- Aké sú nástroje SysInternals a ako ich používate?
- Pochopenie Process Explorer
- Používanie aplikácie Process Explorer na riešenie problémov a diagnostikovať
- Porozumenie procesu sledovania
- Používanie monitora procesov na riešenie problémov a hackerov v registri
- Použitie autorunov na riešenie spúšťacích procesov a malware
- Použitie programu BgInfo na zobrazenie informácií o systéme na pracovnej ploche
- Použitie programu PsTools na ovládanie iných počítačov z príkazového riadku
- Analýza a správa súborov, priečinkov a diskov
- Zbaliť a používať nástroje spoločne
Nie tak dávno sme začali vyšetrovať všetky druhy škodlivého softvéru a crapware, ktoré sa nainštalujú automaticky, kedykoľvek počas inštalácie softvéru nevenujete pozornosť. Takmer každý kus freeware na trhu, vrátane "renomovaných", spájajú panely s nástrojmi, hľadajú únosy alebo adware a niektoré z nich je ťažké riešiť.
Videli sme mnoho počítačov od ľudí, o ktorých vieme, že majú toľko spywaru a adware inštalovaných, že PC sotva dokonca načíta. Pokúsiť sa načítať webový prehliadač je obzvlášť takmer nemožné, keďže celý adware a sledovací softvér súťažia o zdroje na ukradnutie vašich súkromných informácií a predaj ich najvyššiemu uchádzačovi.
Prirodzene sme chceli urobiť trochu vyšetrovania toho, ako niektoré z nich fungujú a nie je lepšie miesto ako malware Conduit Search, ktorý si vyžiadal stovky miliónov počítačov po celom svete. Táto hnusná strašnosť zabaví váš vyhľadávací nástroj vo vašom prehliadači, zmení vašu domovskú stránku a najviac nepríjemne preberá vašu stránku Nová karta bez ohľadu na to, aký je váš prehliadač nastavený.
Začneme sa na to pozrieť a potom vám ukážeme, ako používať Process Explorer na riešenie chýb, ktoré hovoria o uzamknutých súboroch a priečinkoch, ktoré sa používajú.
A potom to zahodíme s ďalším pohľadom na to, ako sa niektoré adware v dnešných dňoch skrývajú za procesmi spoločnosti Microsoft, takže sa zdajú byť legitímne v Process Explorer alebo Správcovi úloh, aj keď naozaj nie.
Vyšetrovanie škodlivého softvéru na vyhľadávanie kondu
Ako sme už uviedli, hľadanie únosca pri vyhľadávaní je jednou z najtrvalejších, hroznejších a hroznejších vecí, ktoré takmer každý z vašich príbuzných pravdepodobne má na svojom počítači. Spájajú svoj softvér tmavým spôsobom s ľubovoľným bezplatným softvérom, ktorý môžu, av mnohých prípadoch dokonca aj vtedy, keď zvolíte odhlásenie, bude útočník naďalej nainštalovaný.
Spoločnosť Conduit inštaluje to, čo nazýva "Chráňte vyhľadávanie", čo podľa ich názoru zabraňuje škodlivému softvéru vykonať zmeny v prehliadači. Nezmieňujú sa, že vám tiež zabraňuje vykonať akékoľvek zmeny v prehliadači, pokiaľ nepoužijete panel Search Search na vykonanie týchto zmien, ktoré väčšina ľudí nebude vedieť, pretože je pochovaná v systémovej lište.
Nielen, že Conduit presmeruje všetky vaše vyhľadávania na svoju vlastnú stránku Bing, ale nastaví to ako vašu domovskú stránku. Mal by sa predpokladať, že ich spoločnosť Microsoft platí za túto prevádzku spoločnosti Bing, pretože niektoré z nich tiež prechádzajú ? Pc = vedenie typ argumentov v reťazci dopytu.
Zábavná skutočnosť: spoločnosť za týmto kusom odpadu má hodnotu 1,5 miliardy dolárov a JP Morgan investoval 100 miliónov dolárov do nich. Byť zlé je ziskové.
Conduit zabije novú stránku na karte … Ale ako?
Zavádzanie vyhľadávacej a domácej stránky je triviálne pre akýkoľvek škodlivý softvér - to je miesto, kde Conduit vystupuje proti zlu a nejako prepíše stránku Nová karta a prinúti ju, aby preukázala kondukt, aj keď zmeníte každé nastavenie.
Môžete odinštalovať všetky vaše prehliadače, alebo dokonca nainštalovať prehliadač, ktorý ste predtým nemali nainštalovaný, napríklad Firefox alebo Chrome a Conduit sa stále podarí uniesť stránku Nová karta.
Ale ako presne to robí? V žiadnom z prehliadačov nie sú nainštalované žiadne doplnky ani rozšírenia. Neexistujú žiadne doplnky. Registry sú čisté. Ako to robia?
To je miesto, kde sa obrátime na Process Explorer, aby sme vykonali nejaké vyšetrovanie. Najprv v zozname nájdeme proces vyhľadávania, ktorý je dostatočne jednoduchý, pretože je správne pomenovaný, ale ak si nie ste istí, okno môžete vždy otvoriť a použiť malú ikonu býčieho oka vedľa ďalekohľad, aby ste zistili, ktorý proces patrí k oknu.
Teraz, keď ste vybrali tento proces, môžete pomocou klávesových skratiek CTRL + H alebo CTRL + D otvoriť zobrazenie Handles (Pohľady) alebo zobrazenie DLL (DLLs) alebo môžete použiť ponuku Zobraziť -> Zobrazenie nižšej panela.
Note: in the world of Windows, a “handle” is an integer value that is used to uniquely identify a resource in memory like a window, an open file, a process, or many other things. Each open application window on your computer has a unique “window handle”, for example, that can be used to reference it.
DLLs, or dynamic link libraries, are shared pieces of compiled code that are stored in a separate file to be shared among multiple applications. For instance, instead of having every application write their own File Open / Save dialogs, all applications can simply use the common dialog code provided by Windows in the comdlg32.dll file.
Pri pohľade na zoznam úchytiek na niekoľko minút nám trochu bližšie k tomu, čo sa deje, pretože sme našli rukoväte do programu Internet Explorer a Chrome, ktoré sú v súčasnosti otvorené na testovacom systéme. Určite sme potvrdili, že Search Protect robí niečo v našich otvorených oknách prehliadača, ale budeme musieť urobiť trochu viac výskumu, aby sme zistili, čo presne.
