Loại bỏ phần mềm độc hại - Chuẩn bị để loại bỏ
Phần mềm độc hại tự gắn vào các chương trình và truyền đến các chương trình khác bằng cách sử dụng một số sự kiện. Chúng cần những sự kiện này xảy ra vì chúng không thể tự bắt đầu, tự truyền tải bằng cách sử dụng các tệp không thực thi và lây nhiễm các mạng khác hoặc máy tính.
Để chuẩn bị cho giai đoạn xóa, trước tiên chúng ta nên hiểu tất cả quy trình máy tính nào đang được phần mềm độc hại sử dụng để tiêu diệt chúng. Chúng đang sử dụng những cổng lưu lượng nào để chặn chúng? Các tệp liên quan đến những phần mềm độc hại này là gì, vì vậy chúng tôi có thể có cơ hội sửa chữa hoặc xóa chúng. Tất cả điều này bao gồm một loạt các công cụ sẽ giúp chúng tôi thu thập thông tin này.
Quy trình điều tra
Từ các kết luận đã đề cập ở trên, chúng ta nên biết rằng khi một số tiến trình hoặc dịch vụ bất thường do chính chúng chạy, chúng ta nên điều tra thêm mối quan hệ của chúng với một loại virus có thể xảy ra. Quá trình điều tra như sau:
Để điều tra các quy trình, chúng ta nên bắt đầu bằng cách sử dụng các công cụ sau:
- fport.exe
- pslist.exe
- handle.exe
- netstat.exe
Các Listdll.exe hiển thị tất cả dll filesđang được sử dụng. Cácnetstat.exevới các biến của nó hiển thị tất cả các quy trình đang được chạy với các cổng tương ứng của chúng. Ví dụ sau đây cho thấy, cách một quá trìnhKaspersky Antivirusđược ánh xạ tới một lệnh netstat-ano để xem số quá trình. Để kiểm tra xem nó thuộc về số tiến trình nào, chúng tôi sẽ sử dụng trình quản lý tác vụ.
Đối với Listdll.exe, chúng tôi đã tải xuống từ liên kết sau: https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx và chúng tôi có thể chạy nó để kiểm tra quy trình nào được kết nối với DLL đang được sử dụng.
Chúng ta mở CMD và đi đến đường dẫn của Listdll.exe như trong ảnh chụp màn hình sau, sau đó chạy nó.
Chúng ta sẽ nhận được kết quả như trong ảnh chụp màn hình sau.
Ví dụ: PID 16320 đang được sử dụng bởi dllhost.exe, có một mô tả COM Surrogatevà ở bên trái. Nó đã hiển thị tất cả DLL được hiển thị bởi quá trình này, chúng tôi có thể google và kiểm tra.
Bây giờ chúng ta sẽ sử dụng Fport, có thể tải xuống từ liên kết sau: https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# để ánh xạ các dịch vụ và PID với các cổng.
Một công cụ khác để giám sát các dịch vụ và xem chúng đang tiêu thụ bao nhiêu tài nguyên được gọi là “Process Explorer”, có thể tải xuống từ liên kết sau: https://download.sysinternals.com/files/ProcessExplorer.zip và sau khi tải xuống, bạn phải chạy tệp exe và bạn sẽ thấy kết quả sau: