Malware-Entfernung - Vorbereitung zur Entfernung

Malware hängt sich an Programme an und überträgt sie unter Verwendung einiger Ereignisse an andere Programme. Sie benötigen diese Ereignisse, weil sie nicht selbst starten, sich nicht mit nicht ausführbaren Dateien übertragen und andere Netzwerke oder einen Computer infizieren können.

Um sich auf die Entfernungsphase vorzubereiten, sollten wir zunächst verstehen, welche Computerprozesse von der Malware verwendet werden, um sie zu töten. Welche Verkehrshäfen werden von ihnen verwendet, um sie zu blockieren? Welche Dateien beziehen sich auf diese Malware, damit wir sie reparieren oder löschen können? All dies beinhaltet eine Reihe von Tools, mit denen wir diese Informationen sammeln können.

Untersuchungsprozess

Aus den oben genannten Schlussfolgerungen sollten wir wissen, dass wir, wenn einige ungewöhnliche Prozesse oder Dienste von selbst ausgeführt werden, ihre Beziehungen zu einem möglichen Virus weiter untersuchen sollten. Der Untersuchungsprozess ist wie folgt:

Um die Prozesse zu untersuchen, sollten wir zunächst die folgenden Tools verwenden:

• fport.exe
• pslist.exe
• handle.exe
• netstat.exe

Das Listdll.exe zeigt alle dll filesdie verwendet werden. Dasnetstat.exeMit seinen Variablen werden alle Prozesse angezeigt, die mit ihren jeweiligen Ports ausgeführt werden. Das folgende Beispiel zeigt, wie ein Prozess vonKaspersky Antiviruswird einem Befehl netstat-ano zugeordnet, um die Prozessnummern anzuzeigen. Um zu überprüfen, zu welcher Prozessnummer es gehört, verwenden wir den Task-Manager.

Für Listdll.exe haben wir es von folgendem Link heruntergeladen - https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx und wir können es ausführen, um zu überprüfen, welche Prozesse mit der verwendeten DLL verbunden sind.

Wir öffnen CMD und gehen zum Pfad von Listdll.exe, wie im folgenden Screenshot gezeigt, und führen ihn dann aus.

Wir erhalten das Ergebnis wie im folgenden Screenshot gezeigt.

Zum Beispiel wird PID 16320 von der verwendet dllhost.exe, die eine Beschreibung hat COM Surrogateund auf der linken Seite. Es wurde die gesamte DLL angezeigt, die von diesem Prozess angezeigt wird. Diese können wir googeln und überprüfen.

Jetzt verwenden wir den Fport, der über den folgenden Link heruntergeladen werden kann: https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# um die Dienste und die PID den Ports zuzuordnen.

Ein weiteres Tool zur Überwachung der Dienste und zur Ermittlung des Ressourcenverbrauchs ist der „Prozess-Explorer“, der über den folgenden Link heruntergeladen werden kann: https://download.sysinternals.com/files/ProcessExplorer.zip und nachdem Sie es heruntergeladen haben, müssen Sie die exe-Datei ausführen und Sie werden das folgende Ergebnis sehen -