Основные признаки присутствия на компьютере вредоносных программ

Сценарий. Умение своевременно найти и обезвредить вредоносную программу - один из ключевых навыков компьютерной грамотности. Для этого необходимо знать основные признаки присутствия вируса, уметь оценивать действия, выполняемые той или иной программой на предмет их вредоносности и знать, что в первую очередь следует предпринять, если компьютер все же оказался заражен.

Все виды проявлений вируса на компьютере можно разбить на три группы: явные, косвенные и скрытые. К первым относятся изменение настроек браузера, всплывающие сообщения и несанкционированный дозвон в Интернет. К косвенным можно отнести блокирование работы антивируса, доступа к сайтам антивирусных компаний, сбои в работе системы или других приложений, почтовые уведомления о рассылаемых Вами вирусах. Первое задание этой лабораторной работы посвящено изучению явных признаков на примере несанкционированного изменения настроек браузера.

Некоторые вредоносные программы умеют достаточно хорошо скрывать от пользователя свою деятельность - такие проявления, называемые скрытыми, обычно под силу обнаружить только антивирусной программе. Однако в любом случае, если возникло хоть малейшее подозрение на наличие вируса, необходимо уметь провести простейшую диагностику системы, чтобы либо подтвердить заражение, или опровергнуть его. Во втором задании этой лабораторной работы изучается список запущенных на компьютере процессов (фактически, список работающих в данный момент программ), в третьем - элементы автозапуска, а четвертое посвящено исследованию сетевой активности.

Подготовка

Перед началом лабораторной работы убедитесь, что Ваш компьютер:

Задание 1. Изучение настроек браузера

Как уже говорилось выше, вирусные проявления бывают явными, косвенными и скрытыми. Если первые обычно видны невооруженным глазом, то косвенные и тем более скрытые требуют от пользователя проявления изрядной доли интуиции. Они часто не мешают работе и для их обнаружения требуется знать где и что нужно искать.

Явные проявления обычно выражаются в неожиданно появляющихся рекламных сообщениях и баннерах - обычно это следствие проникновения на компьютер рекламной утилиты. Поскольку их главная цель - это привлечь внимание пользователя к рекламируемой услуге или товару, то им сложно оставаться незаметными.

Также явные проявления могут вызывать ряд троянских программ, например утилиты несанкционированного дозвона к платным сервисам. Они вынуждены быть явными, поскольку используемые ими приложения сложно использовать незаметно от пользователя.

В этом задании предлагается исследовать явные проявления вирусной активности на примере несанкционированного изменения настроек браузера. Этот механизм иногда используется для того, чтобы вынудить пользователей зайти на определенный сайт, часто порнографического содержания. Для этого меняется адрес домашней страницы, то есть адрес сайта, который автоматически загружается при каждом открытии браузера.

Откройте браузер

Если у Вас открыт и настроен доступ в Интернет и после установки операционной системы стартовая страница изменена не была, должна открыться страница по умолчанию - http://www.msn.com

Если доступ в Интернет не настроен, то выведется соответствующее уведомление:

Проверьте значение параметра, отвечающего за стартовую страницу. Для этого нужно воспользоваться меню

Адрес стартовой страницы указан в первом же поле открывшегося окна Свойства обозревателя, на закладке Общие. Значение этого поля совпадает с тем адресом, который был автоматически задан при открытии браузера.

Измените это поле, введя адрес www.viruslist.ru

Далее для подтверждения сделанных изменений нажмите

Закройте и снова откройте браузер

Убедитесь, что теперь первым делом была загружена страница http://www.viruslist.ru

В случае, если на Вашем компьютере доступ в Интернет не настроен, об этом можно догадаться по значению в поле Адрес:

Таким образом, если Ваш браузер начал самостоятельно загружать посторонний сайт, в первую очередь нужно изучить настройки браузера: какой адрес выставлен в поле домашней страницы.

Ряд вредоносных программ ограничиваются изменением этого параметра и для устранения последствий заражения нужно лишь исправить адрес домашней страницы. Однако это может быть только частью вредоносной нагрузки. Поэтому если Вы обнаружили несанкционированное изменение адреса домашней страницы, следует немедленно установить антивирусное программное обеспечение и проверить весь жесткий диск на наличие вирусов.

Задание 2. Подозрительные процессы

Одним из основных проявлений вредоносных программ является наличие в списке запущенных процессов подозрительных программ. Исследуя этот список и особенно сравнивая его с перечнем процессов, которые были запущены на компьютере сразу после установки системы, то есть до начала работы, можно сделать достаточно достоверные выводы об инфицировании. Это часто помогает при обнаружении вредоносных программ, имеющих лишь только скрытые или косвенные проявления.

Однако необходимо четко понимать и уметь отличать легальные процессы от подозрительных. В этом задании необходимо ознакомиться с основным методом исследования запущенных процессов, а именно получить навыки работы с Диспетчером задач Windows, и изучить стандартный их набор.

Диспетчер задач Windows - это стандартная утилита, входящая в любую Microsoft Windows NT -подобную операционную систему, в том числе Microsoft Windows XP. C ее помощью можно в режиме реального времени отслеживать выполняющиеся приложения и запущенные процессы, оценивать загруженность системных ресурсов компьютера и использование сети.

Познакомьтесь с интерфейсом Диспетчера и проследите за изменениями в системе на примере запуска программы Paint. Изучение сетевой активности с помощью Диспетчера задач Windows будет продолжено в одном из последующих заданий.

Перейдите к

Открывшееся окно содержит четыре закладки, отвечающие четырем видам активности, которые отслеживает Диспетчер: приложения, процессы, быстродействие (использование системных ресурсов) и Сеть. По умолчанию у Вас должна открыться вторая закладка, Процессы .

Внимательно изучите представленный в окне список процессов. Если на компьютере не запущены никакие пользовательские программы, он должен содержать только служебные процессы операционной системы.

При работе с домашним компьютером рекомендуется сразу после установки операционной системы ознакомиться со списком запускаемых ею процессов. В дальнейшем, при подозрении на заражение, можно будет вывести перечень процессов и сразу исключить из рассмотрения те, что были с самого начала.

Описание большинства процессов можно найти в Интернете. Поэтому если к Вам закрались подозрения, немедленно обратитесь к всемирной сети.

Для каждого процесса выводятся его параметры: имя образа (может не совпадать с именем запускаемого файла), имя пользователя, от чьего имени был запущен процесс, загрузка этим процессом процессора и объем занимаемой им оперативной памяти.

Загрузка процессора представлена в процентах от максимальной. Поэтому для удобства пользователя в списке всегда присутствует пункт "Бездействие системы". С его помощью можно быстро узнать насколько загружен, вернее свободен процессор.

Отсортируйте все процессы по использованию ресурсов процессора. Для этого нажмите на заголовок поля )

Поскольку в данный момент не должна быть запущена ни одна пользовательская программа, процессор должен быть свободен. Следовательно, "Бездействие системы" должно оказаться внизу списка с достаточно большим процентом "использования" процессора. На рисунке это 95 %.

Этот метод также можно использовать для того, чтобы в случае заметного снижения производительности определить, какая программа виновна в этом: столбец ЦП покажет загрузку процессора, а Память - оперативную память.

В ряде случаев может потребоваться вручную завершить некий процесс. Это можно сделать с помощью кнопки Завершить процесс.

Например, Вы обнаружили подозрительный процесс, на сайте вирусной энциклопедии www.viruslist.ru прочитали, что он однозначно принадлежит вирусу или троянской программе, но антивирусной программы на компьютере нет. Тогда нужно закрыть все работающие приложения и с помощью Диспетчера задач вручную завершить этот процесс. Чтобы исключить появление его снова настоятельно рекомендуется как можно быстрее установить полноценное антивирусное приложение и сразу же запустить проверку всего жесткого диска на наличие вирусов.

Выпишите все запущенные процессы на лист бумаги или в текстовый файл и перейдите к закладке Приложения

Поскольку в данный момент не запущено ни одно приложение, список запущенных приложений пуст

Не закрывая окна

Дождитесь запуска

Не закрывая приложение Paint, вернитесь к окну Диспетчера задач Windows и проследите за изменениями на закладке Приложения

Список запущенных приложений должен содержать строку, соответствующую Paint. Поскольку она сейчас работает, это же записано в строке Состояние.

Иногда случается так, что программа вызывает ошибку - тогда в ее состоянии будет написано "Не отвечает". Если некое ранее бесперебойно работающее приложение начало часто без видимых причин переходить в состояние "Не отвечает", это может быть косвенным признаком заражения.

Тогда первое, что можно сделать - это воспользоваться кнопкой Снять задачу и начать поиски причин. В иных случаях пользоваться этой кнопкой не рекомендуется.

Перейдите к закладке Процессы

Сравните список запущенных сейчас процессов с перечнем, составленным на шаге 5 этого задания. Найдите отличие

Убедитесь, что программе Paint соответствует процесс mspaint.exe. Для этого найдите его в списке запущенных процессов, не закрывая и не сворачивая окно Диспетчера задач Windows, вернитесь в окне Paint и закройте его

Проследите, что из списка запущенных процессов пропал mspaint.exe

Вернитесь к закладке

Перейдите к закладке Быстродействие

Внимательно изучите расположенные тут графики. Любые всплески на них должны по времени соответствовать неким действиям, например запуску требовательной к ресурсам программы. Если ничего похожего сознательно не производилось, это может быть причиной для более детального исследования компьютера

Закройте окно Диспетчера задач Windows

Задание 3. Элементы автозапуска

Для того, чтобы прикладная программа начала выполняться, ее нужно запустить. Следовательно, и вирус нуждается в том, чтобы его запустили. Для этого можно использовать два сценария: либо сделать так, чтобы пользователь сам его стартовал (используются обманные методы), либо внедриться в конфигурационные файлы и запускать одновременно с другой, полезной программой. Оптимальным с точки зрения вируса вариантом служит запуск одновременно с операционной системой - в этом случае запуск практически гарантирован.

В этом задании предлагается изучить элементы операционной системы, отвечающие за автозапуск программ при ее загрузке, а именно: группу Автозагрузка в меню Пуск и утилиту msconfig.exe.

Самый простой способ добавить какую-либо программу в автозагрузку - это поместить ее ярлык в раздел Автозагрузка системного меню Пуск / Программы. По умолчанию, сразу после установки операционной системы этот раздел пуст, поскольку ни одной прикладной программы еще не установлено.

Проверьте папку Автозагрузка на Вашем компьютере. Она должна быть пустой

Добавьте в список автозагрузки свою программу. Для этого дважды щелкните левой клавишей мыши по названию группы Автозагрузка

В результате должно открыться соответствующее окно папки автозагрузки. Обратите внимание на полный адрес открывшейся папки. Все что нужно сделать, чтобы некая программа запускалась автоматически при старте операционной системы - это поместить в эту папку ее ярлык

Повторите действия пункта 2, но только для папки

В открывшемся окне найдите ярлык "

В контекстном меню выберите пункт

Закройте окно стандартных программ и вернитесь в окно автозагрузки

В окне автозагрузки щелкните правой клавишей мыши где-нибудь на белом поле окна и в открывшемся контекстном меню выберите

В результате этих действий в окне должна появиться копия ярлыка

Закройте окно и убедитесь, что теперь раздел

Перезагрузите компьютер (

Убедитесь, что по завершению загрузки автоматически запустилась программа

При обследовании компьютера нужно помнить, что отсутствие подозрительных ярлыков в разделе Автозагрузка системного меню Пуск / Программы не гарантирует, что ни одно приложение не запускается автоматически. Технически для автозапуска нужно добавить соответствующую запись в системный реестр операционной системы.

Несмотря на то, что реестр Windows очень большой, существует оболочка, позволяющая с ним работать напрямую. Но делать это рекомендуется только в крайнем случае. Для большинства ситуаций, связанных с автозапуском, достаточно использовать системную утилиту Настройка системы.

Запустите ее. Для этого откройте системное меню Пуск и перейдите к пункту Выполнить

В открывшемся окне Запуск программы наберите

Ознакомьтесь с внешним видом окна утилиты Настройка системы.

На первой закладке, Общие, можно выбрать вариант запуска операционной системы. По умолчанию отмечен Обычный запуск. Он обеспечивает максимальную функциональность системы. Остальные два варианта запуска предназначены для диагностики

Второй режим, Диагностический запуск, рекомендуется использовать также при подтвердившемся вирусном инциденте - если компьютер уже заражен, сразу установить антивирус в ряде случаев нельзя, например, если вирус сознательно блокирует запуск ряда антивирусных программ. Тогда, если нет возможности удалить или хотя бы временно обезвредить вирус вручную, рекомендуется запустить операционную систему в безопасном режиме, инсталлировать антивирус и сразу же проверить весь жесткий диск на наличие вирусов.

Для получения дополнительной информации об этой закладке и других можно воспользоваться кнопкой Справка

Ознакомьтесь со списком запускаемых драйверов и других параметров операционной системы, перейдя к закладке

Перейдите к аналогичной закладке

Следующая закладка,

Перейдите на закладку Службы. Здесь представлен список всех служб, установленных в системе. Каждая служба представляет собой некое приложение, работающее в фоновом режиме. Например, антивирусный комплекс, обеспечивающий постоянную защиту, также встраивает свою службу, следовательно, она должна присутствовать в этом перечне.

Однако сейчас никаких посторонних служб, кроме системных, установлено быть не должно. Убедитесь в этом, отметив флаг: Не отображать службы Майкрософт

Если посторонних приложений действительно нет, список должен опустеть

Перейдите к последней закладке, Автозагрузка, и убедитесь, что в списке приложений, автоматически запускаемых при загрузке системы, есть Блокнот.

Отметим, что список в окне Настройки системы может содержать дополнительные элементы, не отображаемые в разделе Пуск / Программы / Автозагрузка

Отключите автоматическую загрузку

В открывшемся окне согласитесь провести перезагрузку, выбрав

Дождитесь окончания перезагрузки и войдите в систему под своей учетной записью

Поскольку Вы внесли изменения фактически вручную в параметры автозагрузки (отключив запуск Блокнота ), система выведет соответствующее уведомление.

Внимательно прочитайте текст и нажмите ОК

Это приведет к открытию окна Настройка системы. Обратите внимание, что теперь используется не обычный запуск, а выборочный. При этом полностью обрабатываются все элементы файлов

Перейдите к закладке

Не закрывая окна

Вернитесь к закладке

Нажмите

Дождитесь окончания перезагрузки, войдите в систему под своей учетной записью и убедитесь, что сообщение о выборочном запуске (как было в пункте 25) не появляется

Однако поскольку флаг, снятый на шаге 22, при переключении в режим

Убедитесь, что в

Удалите его, вызвав контекстное меню (щелчок правой клавишей мыши) и выбрав

Для подтверждения своих намерений в следующем окне нажмите

Теперь автозагрузка чиста. Убедитесь в этом, выполнив перезагрузку и войдя в систему под своей учетной записью

Задание 4. Сетевая активность

Неожиданно возросшая сетевая активность может служить ярким свидетельством работы на компьютере подозрительной программы, производящей несанкционированную рассылку писем, связывающейся со своим автором и передающей ему конфиденциальную информацию или просто загружающую свои дополнительные модули или атакующей соседние компьютеры. Но при этом нужно не забывать, что ряд вполне легальных приложений также имеют свойство иногда связываться с сайтом фирмы-производителя, например для проверки наличия обновлений или более новых версий. Поэтому, прежде чем отключать сеть и выдергивать сетевой шнур, увидев необычно яркое мигание лампочки на сетевой карте, необходимо уметь определять какие программы и приложения вызвали эту подозрительную активность.

Изучить и проанализировать сетевую активность можно с помощью встроенных в операционную систему инструментов или же воспользовавшись специальными отдельно устанавливаемыми приложениями. В этом задании это предлагается сделать с помощью Диспетчера задач Windows и встроенной утилиты netstat, которая выводит на экран мгновенную статистику сетевых соединений.

Откройте окно Диспетчера задач Windows, нажав одновременно клавиши Ctrl, Shift и Esc, и перейдите к закладке Сеть.

Поскольку сейчас не инициируется ни одного сетевого соединения, график должен быть пуст, вернее представлять собой прямую на уровне 0 %.

В нижней части окна расположен перечень всех установленных в системе сетевых адаптеров. Обычно он один. В столбце Использование сети приводится моментальное значение доли используемого канала, а в Скорость линии - пропускная способность. Состояние отображает статус.

Если на Вашем компьютере нет ни одного активного адаптера, окно Диспетчера задач на закладке Сеть будет выглядеть так:

В этом задании предполагается, что как минимум один адаптер установлен и работает.

Инициируйте какое-нибудь сетевое соединение. Например, откройте браузер и загрузите сайт http://www.viruslist.ru

При отсутствии выхода в Интернет, зайдите на сетевой ресурс, указанный преподавателем

Проследите за изменениями на графике Диспетчера задач: все Ваши действия отобразятся на графике в виде пиков сетевой активности, а значение поля Использование сети на время перестанет быть равным нулю.

Таким образом, если Вы, закрыв все прикладные программы, которые могут инициировать сетевые соединения, обнаруживаете, что сеть все равно использоваться продолжает, нужно искать причину

Диспетчер задач Windows показывает только самую общую информацию. Для получения более подробных данных можно воспользоваться утилитой netstat.

Закройте окно Диспетчера задач Windows и перейдите к системному меню Пуск / Программы / Стандартные / Командная строка

В открывшемся окне нужно набирать команды, оканчивающиеся нажатием клавиши Enter. Такой способ взаимодействия называется работой через командную строку. Утилита

Наберите

netstat /?

и нажмите Enter

Прочитайте описание утилиты

Наберите

netstat -a

и нажмите Enter

Результатом выполнения команды является список активных подключений, в который входят установленные соединения и открытые порты.

Открытые TCP-портыДля обмена данными между компьютерами могут использоваться различные протоколы, т. е. правила передачи информации. Понятие портов связано с использованием протоколов TCP и UDP. Не вдаваясь в подробности, стоит отметить, что в большинстве случаев применяется протокол TCP, но UDP также необходим для работы ряда служб и поддерживается всеми современными операционными системами. обозначаются строкой " LISTENING " в колонке состояние. Часть портов связана с системными службами Windows и отображается не по номеру, а по названию - epmap, microsoft-ds, netbios-ssn. Порты, не относящиеся к стандартным службам, отображаются по номерам.

UDP -порты обозначаются строкой " UDP " в колонке Имя. Они не могут находиться в разных состояниях, поэтому специальная пометка " LISTENING " в их отношении не используется. Как и TCP -порты они могут отображаться по именам или по номерам.

Порты, используемые вредоносными программами, чаще всего являются нестандартными и поэтому отображаются согласно их номерам. Впрочем, могут встречаться троянские программы, использующие для маскировки стандартные для других приложений порты, например 80, 21, 443 - порты, используемые на файловых и веб-серверахСледовательно, в общем случае просто обнаружить неизвестные системе (и пользователю) порты мало. Нужно еще узнать, какие программы используют эти порты. Команда netstat не позволяет этого сделать, поэтому потребуется воспользоваться сторонними утилитами, например, утилитой tcpview.exe (доступна на сайте www.sysinternals.com). Эта утилита отображает более полную информацию о подключениях, включая данные о процессах, слушающих порты .

Проверьте, как изменится статистика, отображаемая

Команда netstat, в отличие от Диспетчера задач Windows, не работает в режиме реального времени, а отображает мгновенную статистику. Следовательно, ее нужно снова запустить.

Вернитесь к окну командной строки, введите

netstat -a

и нажмите Enter

Исследуйте полученную статистику

Закройте браузер, повторите команду

netstat -a

и нажмите Enter

Убедитесь, что все вызванные ранее сетевые соединения закрыты, а перечень активных соединения не отличается от данных, полученных на шаге 9

Закройте окно командной строки. Для этого введите команду

exit

и нажмите Enter

Заключение

В этой лабораторной работе были изучены явные признаки заражения компьютера на примере модификации настроек браузера, исследованы возможные места скрытых проявлений: запущенные процессы, элементы автозапуска, сетевая активность. В совокупности с полученными из курса теоретическими знаниями выполнение практических заданий призвано дать слушателям навыки обнаружения на своем компьютере подозрительных программ вручную, без использования антивирусных средств.

Иногда собранные данные позволяют определить имя вируса, тогда можно обратиться например, к вирусной энциклопедии www.viruslist.com, чтобы вручную ликвидировать последствия заражения. Если однозначного ответа получить не удается, необходимо собрать все подозрительные проявления и обратиться к Интернету. На сегодняшний день существует достаточно много сайтов, содержащих описания неопасных процессов, например, www.processlibrary.com. Сравнив полученные в результате анализа данные с представленными в библиотеке описаниями, нужно оставить только не заявленные как легальные процессы и объекты и проследить их расположение на диске.

Дальнейшие действия зависят от того, используется ли на компьютере антивирусная программа или нет. Если нет, то полученные файлы нужно исследовать с помощью антивирусной программы, например онлайн сканера http://www.kaspersky.ru/virusscanner, позволяющего бесплатно проверять отдельные объекты.

Если на компьютере антивирус уже установлен, после выделения подозрительных файлов следует обратиться в службу технической поддержки антивирусной компании, чей продукт используется на компьютере, прикрепив к сообщению обнаруженные подозрительные объекты. Вполне возможно, они содержат новый, еще не известный вирус.