Sistemimde çalışan bir virüs olsaydı, işlemi taskmanager'de görebiliyor muydum? Yani, çalışan bir virüsün görev yöneticisini atlatması mümkün olur, böylece işlem windows7'nin görev listesinde görünmez mi?
Veya başka bir deyişle. Görev yöneticisindeki tüm süreçlerin gerçekten güvenli olmasını gerçekten sağlarsam, bilgisayarımın temiz olduğunu da biliyor muyum?
Yanıtlar:
Hayır, genellikle değil. Görev Yöneticisi'nin (ve işletim sisteminin diğer bölümlerinin) kendi kendilerini tehlikeye atması ve böylece virüsü gizlemesi mümkündür. Buna rootkit denir.
Gerçekten şimdi görevdeki tüm süreçlerin güvenli olmasını sağlarsam
Görev yöneticisi içindeki tüm süreçleri güvenli olarak asla bilemezsiniz. Virüsler sistem bileşenlerinin adlarını bir nedenden dolayı kullanırlar, hatta bazen yer değiştirirler.
Virüsten koruma yazılımı kullanın.
Bir virüsten koruma yalnızca bu kadar çok şey algılıyor ("4Ç11 sırasında, karşılaşılan Web kötü amaçlı yazılımlarının yüzde 33'ü karşılaşma sırasında geleneksel imza tabanlı yöntemlerle algılanamayan sıfır günlük kötü amaçlı yazılımdı", kaynak: http://blogs.cisco.com / security / cisco-4q11-global-tehdit-raporu / ).
Biraz eğitim ile bazı kötü amaçlı yazılımları tespit edebilirsiniz, çünkü işletim sisteminde her zamanki gibi biraz kapalı olan belirli bir şekilde davranırlar. Daha fazla ağ trafiği, daha fazla işlemci kullanımı, garip disk erişimi veya başka bir şey olabilir. Kötü amaçlı yazılımlar yalnızca bir taskmanager aracılığıyla algılanabilen tek ikili dosyalar olarak değil, aynı zamanda diğer işlemlere eklenmiş dinamik kitaplıklar (dll) olarak da kullanılabilir.
Sen gibi bir taskmanager ile sisteminizde çalışan ne hakkında ipuçları elde edebilirsiniz Process Explorer dan Sysinternal Suite ve işler gibi bir şeyle sisteminizde meydana izleyebilirsiniz Process Monitor aynı paketinin. Aletlere alışın ve "gariplik" belirtilerini izleyin:
("Garip" kısım "bu normal" ve "garip" arasında ayrım yapmak için ihtiyacınız olan eğitimdir)
Sysinternal Suite'in yazarı, yukarıda belirtilen araçları kullanmanın akıllıca yollarını gösterir:
https://www.youtube.com/watch?v=7heEYEbFim4
Yani, evet, bazı kötü amaçlı yazılımları iyi bir görev yöneticisi ile tespit edebilirsiniz. Kötü amaçlı yazılım ne kadar az karmaşıksa, algılanması o kadar kolay olur. Kötü amaçlı yazılım Process Explorer gibi görev yöneticilerinin kullanımını algılamaya çalışırsa, garip davranışı algılamak için farklı bir " Oturum " kullanmak gibi gelişmiş adımlar atmanız gerekebilir , ancak yine de mümkündür.
Görev yöneticisinden virüs algılamak mümkün değildir.
Birkaç çeşit virüs var. Virüs, Truva atı, rootkit, adware / puk vb. Bazı virüsler kendilerini görev yöneticisinden gizler.
Görev yöneticisine bakmayı bırakıp antivirüs yüklemenizi öneririm.
Nasıl yapabilirim: Windows® Olay Görüntüleyicisi'ne erişebilirim?
Virüsler günümüzde oldukça sofistike. Bu, kendilerini Görev Yöneticisi'nden gizleyebilecekleri, kendilerinin birden fazla kopyasını çalıştırabilecekleri (bir kopyanın kaldırılması durumunda) ve daha birçok püf noktası olabileceği anlamına gelir. Tanım olarak, virüsler kendilerini gizlemek için kendilerini sistem süreçlerine de enjekte ederler.
Genel olarak kötü amaçlı yazılımlar, yalnızca olağandışı bir işlem belirleyerek kolayca kolayca algılanabilir. Ancak virüsler spesifik olarak sadece hedef prosese enjekte edilen yükleri ile tanımlanabilir.
Yani bir antivirüs gerçekten doğru bir virüs tespit edebilir tek şey ... iyi ... bir virüs!
Bir programcının bakış açısından, Windows API ve daha fazlası - API kancalarını kullanarak programlamayı öğrenmeyi denemenizi öneririm.
İşletim sistemi çekirdeği, tanımlamanız ve bağlamanız gereken bu yerel API işlevlerinin bir tablosunu tutar . Kişisel kanca sonra yeniden yönlendirmek ve değiştirme / çıkış filtreler. Bu kod parçası çekirdek alanında çalışmalıdır ve onu kontrol edebilmeniz için (örn. Yükleme / durdurma) kullanıcı alanında da bir yazılım parçasına sahip olmanız gerekir. Bunlar kullanıcı alanında da mümkün olsa da, büyük olasılıkla modern AV'ler tarafından bir tür kötü amaçlı etkinlik olarak işaretlenecektir.
Yaklaşım olacaktır kanca kesişme API çağrıları bir kod parçası (ieNtQueryDirectoryFile ()), örneğin değiştirmek bu / çıkış filtresi - tür erkek-in-the-orta yaklaşım. Kullanıcı alanında çalışan işlemler (yani TaskManager, Windows Gezgini, İşlem Gezgini), yalnızca kanca tarafından sağlanan filtrelenmiş çıktıyı görüntüler ... HAYIR, ACL'lerin bu katman üzerinde gücü yok
Elbette, modern AV'lerde çekirdek alanında da çalışan kod parçaları ve / veya DESEN EŞLEŞTİRME (AV güncellemelerine AV Patterns Güncellemesi denir mi?) - bu tür kötü amaçlı kancaları tespit etmek ve önlemek için.