การกำจัดมัลแวร์ - การเตรียมการกำจัด
มัลแวร์แนบตัวเองเข้ากับโปรแกรมและส่งต่อไปยังโปรแกรมอื่นโดยใช้ประโยชน์จากเหตุการณ์บางอย่าง พวกเขาต้องการให้เหตุการณ์เหล่านี้เกิดขึ้นเนื่องจากไม่สามารถเริ่มต้นได้ด้วยตัวเองส่งต่อโดยใช้ไฟล์ที่ไม่สามารถเรียกใช้งานได้และทำให้เครือข่ายอื่นหรือคอมพิวเตอร์ติดไวรัส
เพื่อเตรียมความพร้อมสำหรับขั้นตอนการนำออกเราควรทำความเข้าใจก่อนว่ามัลแวร์ใช้กระบวนการคอมพิวเตอร์ใดเพื่อฆ่าพวกมัน พอร์ตการรับส่งข้อมูลใดถูกใช้โดยพอร์ตเหล่านี้เพื่อบล็อกพอร์ตเหล่านี้ ไฟล์ที่เกี่ยวข้องกับมัลแวร์เหล่านี้คืออะไรดังนั้นเราจึงมีโอกาสซ่อมแซมหรือลบได้ ทั้งหมดนี้มีเครื่องมือมากมายที่จะช่วยให้เรารวบรวมข้อมูลเหล่านี้
กระบวนการสอบสวน
จากข้อสรุปดังกล่าวข้างต้นเราควรทราบว่าเมื่อกระบวนการหรือบริการที่ผิดปกติบางอย่างดำเนินการด้วยตัวเองเราควรตรวจสอบความสัมพันธ์ของพวกเขากับไวรัสที่เป็นไปได้เพิ่มเติม กระบวนการสอบสวนมีดังนี้ -
ในการตรวจสอบกระบวนการเราควรเริ่มต้นโดยใช้เครื่องมือต่อไปนี้ -
- fport.exe
- pslist.exe
- handle.exe
- netstat.exe
Listdll.exe แสดงไฟล์ dll filesที่มีการใช้งาน netstat.exeด้วยตัวแปรจะแสดงกระบวนการทั้งหมดที่รันด้วยพอร์ตของตน ตัวอย่างต่อไปนี้แสดงให้เห็นว่ากระบวนการของKaspersky Antivirusถูกแมปกับคำสั่ง netstat-ano เพื่อดูหมายเลขกระบวนการ ในการตรวจสอบว่าเป็นของหมายเลขกระบวนการใดเราจะใช้ตัวจัดการงาน
สำหรับ Listdll.exe เราสามารถดาวน์โหลดได้จากลิงค์ต่อไปนี้ - https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx และเราสามารถเรียกใช้เพื่อตรวจสอบว่ากระบวนการใดที่เชื่อมต่อกับ DLL ที่กำลังใช้อยู่
เราเปิด CMD และไปที่เส้นทางของ Listdll.exe ดังที่แสดงในภาพหน้าจอต่อไปนี้จากนั้นเรียกใช้
เราจะได้ผลลัพธ์ดังที่แสดงในภาพหน้าจอต่อไปนี้
ตัวอย่างเช่น PID 16320 ถูกใช้โดยไฟล์ dllhost.exeซึ่งมีคำอธิบาย COM Surrogateและทางด้านซ้าย มันได้แสดง DLL ทั้งหมดที่แสดงโดยกระบวนการนี้ซึ่งเราสามารถ google และตรวจสอบได้
ตอนนี้เราจะใช้ Fport ซึ่งสามารถดาวน์โหลดได้จากลิงค์ต่อไปนี้ - https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# เพื่อแมปบริการและ PID กับพอร์ต
เครื่องมืออื่นในการตรวจสอบบริการและดูจำนวนทรัพยากรที่ใช้เรียกว่า "Process Explorer" ซึ่งสามารถดาวน์โหลดได้จากลิงค์ต่อไปนี้ - https://download.sysinternals.com/files/ProcessExplorer.zip และหลังจากดาวน์โหลดแล้วคุณต้องเรียกใช้ไฟล์ exe และคุณจะเห็นผลลัพธ์ต่อไปนี้ -
