Rimozione malware: preparazione per la rimozione
I malware si attaccano ai programmi e si trasmettono ad altri programmi facendo uso di alcuni eventi. Hanno bisogno che questi eventi accadano perché non possono avviarsi da soli, trasmettersi utilizzando file non eseguibili e infettare altre reti o un computer.
Per prepararci alla fase di rimozione, dovremmo prima capire quali tutti i processi del computer vengono utilizzati dal malware per ucciderli. Quali porte di traffico vengono utilizzate da loro per bloccarli? Quali sono i file relativi a questi malware, quindi possiamo avere la possibilità di ripararli o eliminarli. Tutto ciò include una serie di strumenti che ci aiuteranno a raccogliere queste informazioni.
Processo di indagine
Dalle suddette conclusioni, dovremmo sapere che quando alcuni processi o servizi insoliti vengono eseguiti da soli, dovremmo indagare ulteriormente sulle loro relazioni con un possibile virus. Il processo di indagine è il seguente:
Per indagare sui processi, dovremmo iniziare utilizzando i seguenti strumenti:
- fport.exe
- pslist.exe
- handle.exe
- netstat.exe
Il Listdll.exe mostra tutti i file dll filesche vengono utilizzati. Ilnetstat.execon le sue variabili mostra tutti i processi in esecuzione con le rispettive porte. L'esempio seguente mostra come un processo diKaspersky Antivirusè mappato a un comando netstat-ano per vedere i numeri di processo. Per verificare a quale numero di processo appartiene, utilizzeremo il task manager.
Per Listdll.exe, è necessario scaricarlo dal seguente collegamento: https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx e possiamo eseguirlo per verificare quali processi sono collegati alla DLL che viene utilizzata.
Apriamo CMD e andiamo al percorso di Listdll.exe come mostrato nello screenshot seguente, quindi lo eseguiamo.
Otterremo il risultato come mostrato nello screenshot seguente.
Ad esempio, PID 16320 viene utilizzato da dllhost.exe, che ha una descrizione COM Surrogateea sinistra. Ha mostrato tutte le DLL mostrate da questo processo, che possiamo cercare su Google e controllare.
Ora useremo l'Fport, che può essere scaricato dal seguente link - https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# mappare i servizi e il PID con le porte.
Un altro strumento per monitorare i servizi e per vedere quante risorse stanno consumando si chiama "Process Explorer", che può essere scaricato dal seguente link - https://download.sysinternals.com/files/ProcessExplorer.zip e dopo averlo scaricato, devi eseguire il file exe e vedrai il seguente risultato:
