Якби у мене в моїй системі був запущений вірус, чи зможу я бачити процес у менеджері завдань? Я маю на увазі, чи вдасться запущеному вірусу обійти менеджер завдань, щоб процес не відобразився в списку завдань Windows7?
Або іншими словами. Якщо я справді тепер усі процеси у програмі управління завданнями захищені, я також знаю, що мій ПК чистий?
Відповіді:
Ні, не зазвичай. Можливо, що менеджер завдань (та інших частин операційної системи) може бути скомпрометований, тим самим приховуючи вірус. Це називається руткіт.
Якщо я справді зараз усі процеси в менеджері завдань захищені
Ви ніколи не можете знати всі процеси в менеджері завдань, щоб бути безпечними. Віруси використовують назви системних компонентів чомусь, іноді навіть витісняючи їх.
Використовуйте антивірус.
Антивірус виявляє лише так і так багато ("Протягом 4Q11, 33 відсотки зловмисних програм в Інтернеті виявляли зловмисне програмне забезпечення, яке не було щодня, не виявлялося традиційними методологіями на основі підписів на момент зустрічі", Джерело: http://blogs.cisco.com / безпека / cisco-4q11-global-пагроза-звіт / ).
Трохи навчаючись, ви можете виявити деякі зловмисні програми, оскільки вони поводяться певним чином, що трохи не відповідає звичному в ОС. Це може бути більший мережевий трафік, більше використання процесора, дивний доступ до диска чи щось інше. Зловмисне програмне забезпечення доступне не лише як окремі бінарні файли, які можна виявити за допомогою менеджера завдань, але також як динамічні бібліотеки (dll), приєднані до інших процесів.
Ви можете отримати підказки про те, що працює у вашій системі за допомогою диспетчера завдань, як Process Explorer, із програми Sysinternal Suite , і ви можете спостерігати, як у вашій системі відбувається щось на зразок Process Monitor того ж набору. Звикайте до інструментів і стежте за ознаками «дивацтва»:
("Дивна" частина - це навчання, яке вам потрібно для того, щоб розрізняти "це нормально" і "що дивно")
Автор сюїти Sysinternal демонструє кілька розумних способів використання вищезгаданих інструментів:
https://www.youtube.com/watch?v=7heEYEbFim4
Отже, так, ви можете виявити деякі шкідливі програми за допомогою гідного диспетчера завдань. Чим менш складним є зловмисне програмне забезпечення, тим простіше його виявити. Якщо зловмисне програмне забезпечення намагається виявити використання диспетчерів завдань, таких як Process Explorer, вам може знадобитися навіть вжити додаткових кроків, таких як використання іншого " Сеансу " для виявлення дивної поведінки, але це все-таки можливо.
Виявити вірус у менеджера завдань неможливо.
Існує кілька видів вірусу. Вірус, Trojan, rootkit, adware / puk тощо. Деякі віруси ховаються від менеджера завдань. Отже, він не відображається в диспетчері завдань.
Я б запропонував вам перестати шукати диспетчер завдань та встановити антивірус.
Як я можу: отримати доступ до переглядача подій Windows®?
Віруси сьогодні досить складні. Це означає, що вони можуть сховатися від диспетчера завдань, виконати кілька копій самих себе (якщо випаде одна копія) та багато інших хитрощів. За визначенням, віруси також вводять себе в системні процеси, щоб приховати себе.
Загалом, зловмисне програмне забезпечення може бути виявлено досить легко, лише визначивши незвичний процес, який працює. Але віруси конкретно, як правило, можуть бути ідентифіковані лише за їх корисним навантаженням, введеним у цільовий процес.
Тож антивірус - це справді єдине, що може точно виявити ... ну ... вірус!
З точки зору програміста, я б запропонував спробувати вивчити програмування за допомогою API API, а ще більше - API-гаків.
Ядро ОС зберігає таблицю цих нативних функцій API, які потрібно ідентифікувати та підключити . Потім ваш гак буде перенаправляти та змінювати / фільтрувати вихід. Цей фрагмент коду повинен працювати на просторі ядра, і для того, щоб ви могли ним керувати (тобто завантажувати / зупиняти), вам також потрібно мати програмне забезпечення в просторі користувача. Хоча вони можливі і в користувальницькому просторі, вони, швидше за все, будуть позначені сучасними AV-кодами як певна шкідлива діяльність.
Підхід полягав би в тому, щоб підключити фрагмент коду для перехоплення викликів API (тобтоNtQueryDirectoryFile ()) таким чином, щоб ви модифікували / фільтрували вихід - такий собі підхід "людина-в-середині". Процеси, що працюють на просторі користувача (тобто TaskManager, Windows Explorer, Process Explorer), будуть просто відображати відфільтрований вихід, наданий вашим гаком ... І НІ, ACL не має живлення на цьому шарі
Звичайно, сучасні AV-файли також мають фрагменти коду, що працює і в просторі ядра, та / або PATTERN MATCHING (пам'ятаєте, коли AV-оновлення називаються оновленнями AV Patterns?) - для виявлення та запобігання таких шкідливих гаків.