- Rūpīga pārbaude, izmantojot izpildāmā faila ceļu, izdevēja digitālo parakstu un jaucējkoda analīzi vietnē VirusTotal.
- Izmantojot uzlabotus rīkus, piemēram, Process Explorer un vietējās Microsoft utilītprogrammas, tiek atklāti draudi.
- Atšķirība starp aizdomīgu procesu pagaidu bloķēšanu un to neatgriezenisku noņemšanu, izmantojot specializētu programmatūru.
Ļoti bieži, atverot uzdevumu pārvaldnieku, var atrast bezgalīgu procesu sarakstu ar nosaukumiem, kas izklausās kā tieši no kriptogrāfijas grāmatas. Daudzi lietotāji pieļauj kļūdu, akli uzticoties faila nosaukumam , taču kiberdrošības pasaulē tas ir kā krievu ruletes spēlēšana, jo jebkura ļaunprogrammatūra var maskēties kā oficiāls process, lai paliktu nepamanīta.
Kad dators sāk darboties lēni vai ventilators izklausās tā, it kā tas tūlīt sāktu darboties, ir dabiski meklēt vainīgo. Tomēr vairāku viena un tā paša procesa gadījumu redzēšana ar dažādiem identifikatoriem (PID) ne vienmēr nozīmē, ka pastāv problēma. Svarīgi ir izmantot skaidru verifikācijas metodi , lai nekristu panikā vai nejauši neizdzēstu svarīgus operētājsistēmas failus.
Pazīstamu vārdu briesmas
Tādi procesi kā svchost.exe vai RuntimeBroker.exe ir pilnīgi likumīgi, taču tieši tāpēc tie ir ideālas slēptuves hakeriem. Ļaunprātīga programma var mainīt savu nosaukumu, lai atdarinātu šos tehniskos komponentus un maldinātu nepieredzējušus lietotājus. Tāpēc mēģinājumi iegaumēt katru Windows procesu ir bezjēdzīgi; patiesībā svarīgi ir zināt, kā uzdot sistēmai pareizos jautājumus, lai atmaskotu iebrucēju.
Padziļināta analīze ar Process Explorer
Lai pārsniegtu pamata uzdevumu pārvaldnieka iespējas, galvenais rīks ir Microsoft Process Explorer . Šī utilīta ļauj analizēt jebkuru izpildāmo failu, lai pārbaudītu divus kritiskus punktus: faila atrašanās vietu un to, kas to digitāli parakstījis.
- Ceļš uz izpildāmo failu: Īsts sistēmas process parasti atrodas
C:\Windows\System32Ja redzat aizdomīgu failu, kas darbojas no mapēm, piemēram, Lietotnes dati vai pagaidu, ir tūlītēja sarkana trauksmes zīme. - Digitālais paraksts: Oficiāliem dokumentiem jābūt parakstītiem Microsoft CorporationJa parakstītājs nav zināms vai sistēma nevar pārbaudīt parakstu, ievērojami palielinās iespējamība, ka tas ir Trojas zirgs vai vīruss.
VirusTotal loma noteikšanā
Process Explorer piedāvā lielisku integrāciju ar VirusTotal . Iespējojot šo opciju izvēlnē, rīks nosūta faila jaucējkodu (unikālu digitālo pirkstu nospiedumu) uz globālu datubāzi. Rezultāts tiek parādīts kā daļskaitlis (piemēram, 0/76), norādot, cik pretvīrusu programmu uzskata šo failu par bīstamu.
Tomēr ieteicams ievērot piesardzību: 0/76 rezultāts nav tukša pārbaude. Vīruss var būt pārāk jauns, lai to atklātu , vai arī tas var būt ļoti specifisks variants. Līdzīgi, viena noteikšana var būt kļūdaini pozitīvs rezultāts. Galvenais ir tas, lai visas pazīmes sakristu : pareizs ceļš, derīgs paraksts un nav brīdinājumu pakalpojumā VirusTotal.
Vietējie rīki un tīrīšanas komandas
Ja jums ir aizdomas, ka kaut kas nav kārtībā, Windows piedāvā ātrus veidus, kā rīkoties. Uzdevumu pārvaldnieks ir vienkāršākais risinājums šim nolūkam. pabeigt procesu Aizdomīgi, lai gan šis ir tikai pagaidu ielāps, jo ļaunprogramma parasti atjaunojas pēc restartēšanas. Tiem, kas dod priekšroku konsolei, komanda tasklist ļauj redzēt aktīvos procesus un taskkill /PID kalpo tieši nogalināt procesu no komandrindas.
Rūpīgākai tīrīšanai Microsoft piedāvā ļaunprātīgās programmatūras noņemšanas rīku (MSRT) . Atšķirībā no tradicionālā pretvīrusu līdzekļa, kas bloķē draudu iekļūšanu sistēmā, MSRT koncentrējas uz esošo infekciju noņemšanu . Tas tiek izplatīts reizi mēnesī, izmantojot Windows Update, un to var palaist klusuma režīmā vai kā pilnu skenēšanu, kas skenē visus datora diskus.
Stratēģijas pastāvīgai likvidēšanai
Kad esam apstiprinājuši, ka process ir ļaunprātīgs, un apturējuši to, nākamais solis ir to pilnībā noņemt. Tā kā uzdevumu pārvaldnieks pats par sevi nenovērš problēmas sakni, ir svarīgi izmantot specializētu dezinfekcijas programmatūru . Tādi rīki kā Malwarebytes, Spybot Search & Destroy vai Superantispyware ir jaudīgas iespējas visu ļaunprogrammatūras pēdu likvidēšanai.
Sistēmas administratoriem vai pieredzējušākiem lietotājiem MSRT ļauj izmantot komandrindas modifikatoriPiemēram, parametrs /F Tas piespiež pilnībā pārbaudīt sistēmu, vienlaikus /F:Y Tas automātiski attīra visas atklātās infekcijas bez jautāšanas, ievērojami paātrinot tīrīšanu uzņēmumu vidē.
Lai nodrošinātu datora drošību, gudrākā pieeja ir apvienot aktīvu procesu uzraudzību ar atjauninātu pretvīrusu programmatūru un jaunākajiem Windows drošības ielāpiem . Failu ceļu, izdevēju parakstu un reputācijas savstarpēja atsauču salīdzināšana ārējās datubāzēs ir vienīgais uzticamais veids, kā izvairīties no maldināšanas ar tehniskiem nosaukumiem un saglabāt pilnīgu kontroli pār to, kas darbojas jūsu datorā.
