fashist(მსგავსი სახელით - ხომ თავისთავად ვირუსია. შეიძლება იყოს იგივე სახელით, მაგრამ სხვა ფოლდერში - ასევე. მომხმარებლის სახელით გაშვებული - ასევე ულაპარაკოდ ვირუსია)
შეიძლება თუნდაც ორიგინალი იყოს და თავის ადგილზე, მაგრამ - ერთი, თვით ფაილში იყოს ჩამჯდარი ვირუსი (ან მის შესაბამის NTFS-ნაკადში იყოს დამალული); მეორე - თუნდაც უცვლელ ფაილს იყენებდეს სერვისად გაშვებული ვირუსი. ასეთ დროს HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Services\* > ImagePath იქნება არა, ვთქვათ, სტანდარტული REG_EXPAND_SZ = %systemroot%\system32\svchost.### -k netsvcs, ან სხვა ლეგალური -k * პარამეტრი, არამედ ვირუსის ფაილის მითითებითაც. ხშირად ასეთ სერვისს შეიძლება ჰქონდეს "ლამაზი", ლეგალურის მსგავსი სახელი - Microsoft Server ან მსგავსი (XP-ზე სულ 40-45 სერვისია და სიისთვის თვალის გადავლებაც საკმარისია ზოგჯერ სიყალბის დასანახად, მაგრამ ვისტა/7-ში - 140-ზე მეტია.
).
მაგალითად, კიდო/კონფიკერი ცდილობდა ყველა პროცესში ჩანერგვას, რომელსაც command line-ს პარამეტრებში ჰქონდა svchost.### -k netsvcs.
შეიძლება ჰოსტში ან მასზე "მიმაგრებული" სერვისების ფაილებში (მაგალითად, სერვისი BITS = qmgr.dll პარამეტრით svchost.### -k netsvcs; Windows Audio - audiosrv.dll იგივე პარამეტრით; RPC - rpcss.dll -k rpcss) იყოს უშუალოდ, ან მხოლოდ მათი პროცესების მეხსიერებაში ჯდებოდეს დინამიურად. ზოგ ძალიან მაგარ ვირუსს შეუძლია პროცესების თვალყური, და თუ დააფიქსირა რომელიმე ძლიერი ანტივირუსული სამკურნალო პროგრამის გამოჩენა, დროებით ამოიტვირთოს სხვა პროცესებიდან (ან თუნდაც თავისი საკუთარი პროცესი ჰქონდეს). ზოგი მუდმივად ამოწმებს რეესტრში მის მიერ შეტანილი პარამეტრების ადგილზე ყოფნას, რამდენიმე წამში ერთხელ, და თუ ნახა, რომ ეს პარამეტრი წაშლილია, მაშინვე აღადგენს. თან ზოგჯერ ეს ფაილები მხოლოდ დროებითაა შექმნილი დისკზე, ან საერთოდაც მარტო მეხსიერებაშია გაშვებული, და სისტემის გამორთვის წინ იწერება დისკზე. ზოგჯერ მთელ ამ მექანიზმს კიდევ უფრო კარგად დამალული "რუხი კარდინალი" აკონტროლებს.
ასეთი, სერვისებად გაშვებული exe თუ dll ფაილების ბუმი 3-4 წლის წინ იყო, და "უბრალოდ წაშლის" მეთოდიკით მკურნალობისას, რეესტრში თუ დისკზე, ხელით თუ ანტივირუსის მიერ, შედეგი არ იყო. როგორც ვასკვნი (და კომენტარებითაც ანტივირუსულ ფორუმებზე), სწორედ ეს ტალღა გახდა ბიძგი, რომ ანტივირუსების მწარმოებლებს დაენახათ ძველი ხერხების არაეფექტურობა და ეზრუნათ ახალი, მათ შორის პროაქტიური ტექნოლოგიების ფართოდ დანერგვაზე. ახლა, სწორედ ამ ტექნოლოგიის გამო, ასეთი ვირუსები ნაკლებად საშიშია, იმიტომ რომ სერვისის დაინსტალირება, დრაივერის დაყენება, სისტემური პროცესების (და ნებისმიერისაც) მეხსიერებაში ჩანერგვა, რეესტრის სისტემური პარამეტრების შეცვლა - ის ძირითადი მოქმედებებია, რასაც ყველა პროაქტივი აკონტროლებს; და გვერდის ავლა ან დაცვის დაბალი დონისას, ან რამე ხვრელის გამოყენებითაა მარტო შესაძლებელი, ან თუ ლიცენზიაა ვადაგასული კომერციულ პროდუქტზე, ან მომხმარებლის დაუდევრობის, უცოდინრობის თუ სიზარმაცის წყალობით - ეს უკანასკნელი ძირითადი მიზეზია.
თუ მე თვითონ არ გავუშვი ყველაფერი, რაც ხელში მომხვდა, და ყველაფრის ნება თუ არ დავრთე, ისე svchost-ის ფაილში ან პროცესის მეხსიერებაში ვირუსი როგორ უნდა ჩამიჯდეს, ან ვირუსმა დრაივერი რანაირად უნდა გაუშვას?
(ცოტა რთულადაა საქმე, როცა ლეგალურ და ცნობილ (ან ნებისმიერ) პროგრამას ლეგალურად სჭირდება დრაივერი, სერვისი, system32-ში ჩაწერა. თუ ფაილი სანდოა, შეიძლება მაშინვე მიეცეს ყველა უფლება, მაგრამ თუ სანდო წყაროდან არაა, ან გაურკვეველი კრეკი/პატჩი/კეიგენი მოჰყვება, მაშინ აუცილებელია ასეთი "დამხმარე საშუალების" ცალკე და დეტალური კონტროლის ქვეშ გაშვება, ონლაინ სკანირებით, სანდბოქსში თუ ჰიპს-ის მონიტორინგით. მე ასე ვაკეთებ ყველა "წამალზე" (და მთლიანად ინსტალაციისასაც, ოღონდ მარტო ჰიპს-ით ვკმაყოფილდები
), ხშირად - გამორთული ანტივირუსით, ეს მრავალ ასეულჯერ ჩამიტარებია, და ვირუსი ბოლოს 4 წლის წინ მქონდა, - მაშინ, ჯერ სანამ ისევ ტრადიციული ანტივირუსის იმედზე ვიყავი და მეგონა, მაგამ თავისი საქმე აკეთოს და მე არაფერი მეხება-მეთქი.
სანდოობას რაც შეეხება, WWW განყოფილებაშიც ვთქვი, ვარეზების თემაში - მე საიდანაც მომაქვს, თითქმის ყველაფერი, იქ უამრავი ადამიანი ამოწმებს მანამდე, ყველა საშუალებით, საინსტალაციოს თუ "წამლების" დაშლითაც, და რისკი ბევრად ნაკლებია, თუ რამეა დამალული, უკვე აღმოჩენილია თითქმის ყოველთვის. კიდევ ერთი, რამაც საფრთხე კიდევ უფრო შეამცირა, პორტაბელური პროგრამების გამოყენებაა, - მათი დიდი ნაწილისთვის "რეესტრი" მათსავე ფოლდერში მდებარე რამდენიმე ფაილია.)
ცოტა უფრო ძნელი მაშინაა, როცა ვირუსი ახალია, და შენიღბვისთვის MBR-ს იყენებს, ან სულაც დისკის თავისუფალ ადგილას ჯდება (ან დამალულ და დაშიფრულ პარტიშენს ქმნის) და სისტემის გაშვებისას (ცოტა მანამდეც
) იტვირთება, - ასეთ დროს ანტივირუსი ლაივ სიდი-დანაც ვერ დაინახავს. მაგრამ ასეთი იშვიათობაა, და MBR-ის სკანირებაც ყველა ნორმალურმა ანტივირუსმა ისწავლა, იქიდან წაიშლება - დამალული პარტიშენი დარჩება თავისთვის უაზრო გროვად. ზოგი ძალიან ნიჭიერი შეიძლება ამის გამო MBR-შიც დინამიურად ჯდებოდეს კომპიუტერის გამორთვის წინ, მაგრამ ლაივ სიდიდან გაშვებულ სკანირებას ვერ დაემალება (შეიძლება ანტივირუსმა არც იცოდეს, მაგრამ ჩასატვირთი სექტორის ვცლილებას ხომ დააფიქსირებს, სტანდარტულის აღდგენა კი მარტივი საქმეა). თანაც, ეს საშიშროება "ძველებურ" ანტივირუსზეა ძირითადად, ეს ყველაფერი რომ გააკეთოს, ისევ და ისევ პროაქტივის თანხმობაა საჭირო. წინ რომ ტესტის მაგალითი იყო, ეს მარტივი საფრთხეა, და ძირითადი, კრიტიკული მოქმედებები ასე უბრალოდ ვერ გამოუვა ნებისმიერ ვირუსს.
This post has been edited by ErK on 6 May 2012, 07:43
ვირუსები / მათ წინააღმდეგ ბრძოლის ხერხები, თუ ეჭვობ რომ ვირუსი გყავს შემოიხედე
