Se avessi un virus in esecuzione sul mio sistema, sarei in grado di vedere il processo in taskmanager? Voglio dire, sarebbe possibile per un virus in esecuzione aggirare il taskmanager in modo che il processo non venga visualizzato nell'elenco delle attività di Windows7?
O in altre parole. Se davvero ora tutti i processi nel taskmanager sono sicuri, so anche che il mio PC è pulito?
Risposte:
No, di solito non. È possibile che Task Manager (e altre parti del sistema operativo) vengano compromessi, nascondendo così il virus. Questo si chiama rootkit.
Se davvero ora tutti i processi nel taskmanager fossero sicuri
Non puoi mai sapere che tutti i processi nel taskmanager sono sicuri. I virus usano i nomi dei componenti di sistema per una ragione, a volte addirittura spostandoli.
Usa un antivirus.
Un antivirus rileva solo così tanto ("Durante il 4 ° trimestre del 2011, il 33% del malware Web rilevato era malware zero-day non rilevabile dalle metodologie tradizionali basate su firma al momento dell'incontro", fonte: http://blogs.cisco.com / security / cisco-4q11-global-threat-report / ).
Con un po 'di addestramento è possibile rilevare alcuni malware perché si comportano in un certo modo un po' fuori rispetto a ciò che è solito sul sistema operativo. Potrebbe essere più traffico di rete, più utilizzo della CPU, strani accessi al disco o qualcos'altro. I malware non sono disponibili solo come singoli binari rilevabili tramite un taskmanager ma anche come librerie dinamiche (dll) associate ad altri processi.
Puoi ottenere indizi su ciò che è in esecuzione sul tuo sistema con un task manager come Process Explorer da Sysinternal Suite , e puoi guardare le cose accadere sul tuo sistema con qualcosa come Process Monitor della stessa suite. Abituati agli strumenti e osserva i segni di "stranezza":
(La parte "strana" è la formazione di cui hai bisogno per distinguere tra "che è normale" e "che è strano")
L'autore di Sysinternal Suite mostra alcuni modi intelligenti di utilizzare i suddetti strumenti:
https://www.youtube.com/watch?v=7heEYEbFim4
Quindi sì, puoi rilevare parte del malware con un task manager decente. Meno sofisticato è il malware, più facile sarà rilevare. Se il malware tenta di rilevare l'uso di task manager come Process Explorer, potrebbe essere necessario eseguire anche passaggi avanzati come l'utilizzo di una " Sessione " diversa per rilevare comportamenti strani ma è ancora possibile.
Non è possibile rilevare virus dal Task Manager.
Esistono diversi tipi di virus. Virus, Trojan, rootkit, adware / puk ecc. Alcuni virus si nascondono dal Task Manager, quindi non appare nel Task Manager.
Ti suggerirei di smettere di cercare in Task Manager e installare l'antivirus.
Come posso: accedere al Visualizzatore eventi di Windows®?
I virus sono piuttosto sofisticati al giorno d'oggi. Ciò significa che possono nascondersi dal Task Manager, eseguire più copie di se stessi (nel caso in cui una copia venga rimossa) e molti altri trucchi. Per definizione, i virus si iniettano anche nei processi di sistema per nascondersi.
I malware in genere possono essere rilevati abbastanza facilmente semplicemente identificando un processo insolito in esecuzione. Ma i virus in genere possono essere identificati solo dal loro carico utile iniettato nel processo di destinazione.
Quindi un antivirus è davvero l'unica cosa in grado di rilevare con precisione ... beh ... un virus!
Dal punto di vista di un programmatore, suggerirei di provare a imparare la programmazione utilizzando l'API di Windows e altro ancora: gli hook API.
Il kernel del sistema operativo mantiene una tabella di queste funzioni API native che è necessario identificare e agganciare . Il tuo hook reindirizzerà e modificherà / filtrerà l'output. Questo pezzo di codice deve essere eseguito su kernel-space, e per poterlo controllare (cioè caricare / arrestare), dovresti avere anche un pezzo di software nello spazio utente. Anche se questi sono possibili anche nello spazio utente, molto probabilmente saranno contrassegnati dai moderni AV come una sorta di attività dannosa.
L'approccio sarebbe quello di agganciare un pezzo di codice per intercettare le chiamate API (ieNtQueryDirectoryFile ()) in modo tale da modificare / filtrare l'output - una sorta di approccio man-in-the-middle. I processi in esecuzione nello spazio utente (ad esempio TaskManager, Esplora risorse, Esplora processi) visualizzeranno solo l'output filtrato fornito dal hook ... E NO, gli ACL non hanno alcun potere su questo livello
Ovviamente, i moderni AV hanno pezzi di codice in esecuzione anche nello spazio kernel e / o PATTERN MATCHING (ricordi quando gli aggiornamenti AV sono chiamati AV Patterns Update?) - per rilevare e prevenire tali hook dannosi.