Nếu tôi có một virus đang chạy trên hệ thống của mình, tôi có thể thấy quá trình trong taskmanager không? Ý tôi là, liệu virus chạy có thể phá vỡ taskmanager để quá trình này không xuất hiện trong danh sách tác vụ của windows7 không?
Hay nói cách khác. Nếu tôi thực sự bây giờ tất cả các quy trình trong taskmanager được bảo mật, tôi cũng biết rằng PC của tôi sạch?
Câu trả lời:
Không, không thường xuyên. Có thể bản thân Trình quản lý tác vụ (và các bộ phận khác của hệ điều hành) bị xâm nhập, do đó che giấu vi-rút. Điều này được gọi là rootkit.
Nếu tôi thực sự bây giờ tất cả các quy trình trong taskmanager được an toàn
Bạn không bao giờ có thể biết tất cả các quy trình trong taskmanager để được an toàn. Virus sử dụng tên của các thành phần hệ thống vì một lý do, đôi khi thậm chí thay thế chúng.
Sử dụng một phần mềm chống vi-rút.
Một phần mềm chống vi-rút chỉ phát hiện ra rất nhiều ("Trong 4Q11, 33 phần trăm phần mềm độc hại Web gặp phải là phần mềm độc hại không có ngày không thể phát hiện được bằng các phương pháp dựa trên chữ ký truyền thống tại thời điểm gặp phải", nguồn: http://bloss.cisco.com / security / cisco-4q11-global-đe dọa-báo cáo / ).
Với một chút đào tạo, bạn có thể phát hiện một số phần mềm độc hại vì chúng hoạt động theo một cách nhất định hơi khác với những gì thông thường trên HĐH. Nó có thể là lưu lượng mạng nhiều hơn, sử dụng cpu nhiều hơn, truy cập đĩa lạ hoặc một cái gì đó khác. Phần mềm độc hại không chỉ có sẵn dưới dạng nhị phân đơn có thể phát hiện được thông qua taskmanager mà còn là thư viện động (dll) được đính kèm với các quy trình khác.
Bạn có thể nhận được manh mối về những gì đang chạy trên hệ thống của mình với một taskmanager như Process Explorer từ Sysiternal Suite và bạn có thể xem mọi thứ xảy ra trên hệ thống của mình với một cái gì đó như Process Monitor của cùng một bộ. Làm quen với các công cụ và theo dõi các dấu hiệu "lạ":
(Phần "lạ" là phần đào tạo bạn cần để phân biệt giữa "điều đó là bình thường" và "điều đó thật lạ")
Tác giả của Sysiternal Suite cho thấy một số cách thông minh để sử dụng các công cụ được đề cập ở trên:
https://www.youtube.com/watch?v=7heEYEbFim4
Vì vậy, vâng, bạn có thể phát hiện một số phần mềm độc hại với trình quản lý tác vụ phong nha. Phần mềm độc hại càng ít tinh vi thì càng dễ phát hiện. Nếu phần mềm độc hại cố gắng phát hiện việc sử dụng các trình quản lý tác vụ như Process Explorer, bạn thậm chí có thể cần thực hiện các bước nâng cao như sử dụng " Phiên " khác để phát hiện hành vi lạ nhưng vẫn có thể.
Không thể phát hiện virus từ trình quản lý tác vụ.
Có một số loại virus. Virus, Trojan, rootkit, phần mềm quảng cáo / puk, v.v ... Một số virus ẩn mình khỏi trình quản lý tác vụ. Vì vậy, nó không xuất hiện trong trình quản lý tác vụ.
Tôi sẽ đề nghị bạn ngừng tìm kiếm trong trình quản lý tác vụ và cài đặt phần mềm chống vi-rút.
Làm cách nào tôi có thể: Truy cập Windows® Event Viewer?
Virus ngày nay khá tinh vi. Điều đó có nghĩa là họ có thể ẩn mình khỏi Trình quản lý tác vụ, tự chạy nhiều bản sao (trong trường hợp một bản sao bị gỡ xuống) và nhiều thủ thuật khác. Theo định nghĩa, virus cũng tự tiêm vào các quy trình hệ thống để che giấu bản thân.
Phần mềm độc hại nói chung thường có thể được phát hiện khá dễ dàng chỉ bằng cách xác định một quy trình bất thường đang chạy. Nhưng virus đặc biệt thường chỉ có thể được xác định bằng tải trọng của chúng được tiêm vào quá trình đích.
Vì vậy, một trình diệt virus thực sự là thứ duy nhất có thể phát hiện chính xác ... à ... một loại virus!
Từ quan điểm của một lập trình viên, tôi sẽ đề nghị bạn thử học lập trình bằng API windows và hơn thế nữa - móc API.
Nhân hệ điều hành giữ một bảng các hàm API gốc mà bạn cần xác định và nối vào. Hook của bạn sau đó sẽ chuyển hướng và sửa đổi / lọc đầu ra. Đoạn mã này phải chạy trên kernel-space và để bạn kiểm soát nó (tức là tải / dừng), bạn cũng phải có một phần mềm trên không gian người dùng. Mặc dù những thứ này cũng có thể có trên không gian người dùng, nhưng rất có thể nó sẽ bị các AV hiện đại gắn cờ là một loại hoạt động độc hại.
Cách tiếp cận sẽ là nối một đoạn mã để chặn các lệnh gọi API (tức làNtQueryDirectoryFile ()) sao cho bạn sửa đổi / lọc đầu ra - cách tiếp cận trung gian. Các quy trình chạy trên không gian người dùng (ví dụ: Trình quản lý tác vụ, Windows Explorer, Process Explorer), sẽ chỉ hiển thị đầu ra được lọc do hook của bạn cung cấp ... Và KHÔNG, ACL không có nguồn trên lớp này
Tất nhiên, các AV hiện đại cũng có các đoạn mã chạy trên kernel-space và / hoặc MATTERN MATCHING (hãy nhớ khi các bản cập nhật AV được gọi là Cập nhật mẫu AV?) - để phát hiện và ngăn chặn các hook độc hại đó.