Вопрос № 46761: Здравствуйте!
Расскажите пожалуйста, как можно точно выяснить взлом системы?
Я подозреваю наличие в своей системе неопределяющегося антивирусом трояна. Как можно точно определить его наличие, не проверяя
все сетевые соединения компьютера (есл...
Вопрос № 46.761
Здравствуйте!
Расскажите пожалуйста, как можно точно выяснить взлом системы?
Я подозреваю наличие в своей системе неопределяющегося антивирусом трояна. Как можно точно определить его наличие, не проверяя
все сетевые соединения компьютера (если он запускает передачу данных не от имени своего процесса, а от имени, к примеру Macromedia
flash player) и обязательно ли должен быть виден запущенный трояном процес, а также где можно узнать имена всех процессов,
запускаемых Windows.
Большое спасибо.
Отправлен: 20.06.2006, 05:27
Вопрос задал: Rok-set (статус: 2-ой класс)
Всего ответов: 1 Мини-форум вопроса >>> (сообщений: 0)
Отвечает: LastSoul
Здравствуйте, Rok-set!
Для всего этого необходимы два инструмента:
1. Персональный Файрвол, умеющий разграничивать доступ не только по адресам/портам, но и по прилодениям. (Рекомендую - Outpost)
2. Программа, умеющая показывать список всех процессов, с том числе скрытых, а также их фирмы-производители и пути запуска.
(Рекомендую - Process Explorer из пакета SystemInternals)
Все сетевые подключения проверять не надо, просто надо заблокировать лишние.
Для этого в файрволе устанавливаются правила разрешающие доступ только известным приложениям, только по их стандартным портам
и только исходящие, остальные блокируются. (В частности Macromedia Flash player с сетью работать не должен вообще).
По поводу соединений, запущенных от имени другого процесса - тот же Outpost их более менее успешно пресекает, хотя полной
гарантии не дает.
Далее, по поводу процессов:
В Process Explorer прекрасно видно все процессы, - кем и откуда они были запущены и фирму производитель.
Из списка подозрительных сразу можно исключить все процессы фирмы Microsoft, а также других фирм, в которых вы уверены (например,
- Ati,Nvidia,Realtek и др.)
Особое подозрение должны вызвать процессы у которых фирма производитель не указана.
Подробную информацию о любом процессе можно получить по адресам:
http://www.neuber.com/taskmanager/process/
http://www.liutilities.com/products/wintaskspro/processlibrary/
Ответ отправил: LastSoul (статус:
3-ий класс)
Ответ отправлен: 20.06.2006, 11:48 Оценка за ответ: 5 Комментарий
оценки: вот ещё бы такие сайты на русском языке найти...