Протягом останнього місяця (можливо, більше), я помітив, що мій ноутбук (під керуванням Windows 10) часто стає майже неприпустимо повільним, особливо після багатьох днів його не включення.
Я помічаю, що використання диска в диспетчері завдань на протязі тривалого часу становить 100%, однак це смішно, оскільки навіть сума всіх процесів [що я бачу ...] може наблизитися до 5-10% щедрий випадок.
Це машина розробки з 8 Гб оперативної пам'яті, процесор i7, багато місця. Майже немає програм запуску, окрім програм за замовчуванням MS (і навіть там я вилучив більшість несуттєвих елементів зі списку автозавантаження). Я також пережив і поступово вимикав такі послуги, як BITS, Superfetch і т.д.
Те, що робить це більш підозрілим, є шаблоном, в якому воно відбувається - проблема найгірша при запуску після багатьох днів фізичного відключення комп'ютера та вимкнення. Час запуску складає близько 3-5 хвилин (!), Після чого диск працює на 100% використання протягом декількох хвилин, а потім, без жодної причини, раптово падає приблизно до 1-5%. Все це без показу будь-яких процесів поблизу повного використання диска.
Приблизно через місяць досліджуючи це, я починаю підозрювати про залучення шкідливих програм, особливо через невідповідність менеджеру завдань, а також через те, що проблема раптово виправляє себе. Варто також відзначити, що на комп'ютері запускається AVG Free edition, а сканування комп'ютера і анти-руткіт приходять в чистоту. Це, як кажуть, я хочу продовжити можливість того, що це може бути зловмисне програмне забезпечення, підключення і оновлення себе, або ще гірше, exfiltrating даних [або навіть гірше, жувати мій диск для шифрування моїх файлів, сказавши мені все ОК]?
В даний час я не спостерігаю нерівномірного обсягу мережевого трафіку, який би підтримував теорію ексфільтрації, однак, це також можна приховати від менеджера завдань / wireshark за допомогою драйвера-шахрайства.
У мене є ряд питань:
- Чи відповідає ця модель поведінки будь-яким з відомих загроз зловмисних програм / APT?
- Припустимо, я повинен був продовжувати це в напрямку криміналістики, які подальші кроки можна було б зробити, щоб дослідити і підтвердити драйвери на машині?
- Які кроки поза межами диспетчера завдань я можу зробити для того, щоб контролювати та ідентифікувати процес, який насправді відповідає за використання 100% диска?
- Чи існують легітимні причини / причини Windows, які можуть виникнути, і якщо так, то як я можу звузити та ізолювати проблемні компоненти?