Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
Практическая работа № 5
Тема: Основные признаки присутствия на компьютере вредоносных программ. Проверка элементов автозапуска. Сетевая активность.
Цель: Данная практическая работа позволяет получить практические навыки по выявлению вредоносных программ на локальном компьютере под управлением Microsoft Windows NT-подобной операционной системы
В процессе выполнения этой работы будут изучены явные признаки заражения компьютера на примере модификации настроек браузера, исследованы возможные места скрытых проявлений: запущенные процессы, элементы автозапуска, сетевая активность.
Сценарий. Умение своевременно найти и обезвредить вредоносную программу - один из ключевых навыков компьютерной грамотности. Для этого необходимо знать основные признаки присутствия вируса, уметь оценивать действия, выполняемые той или иной программой на предмет их вредоносности и знать, что в первую очередь следует предпринять, если компьютер все же оказался заражен.
Все виды проявлений вируса на компьютере можно разбить на три группы: явные, косвенные и скрытые. К первым относятся изменение настроек браузера, всплывающие сообщения и несанкционированный дозвон в Интернет. К косвенным можно отнести блокирование работы антивируса, доступа к сайтам антивирусных компаний, сбои в работе системы или других приложений, почтовые уведомления о рассылаемых Вами вирусах.
Первое задание этой лабораторной работы посвящено изучению явных признаков на примере несанкционированного изменения настроек браузера.
Некоторые вредоносные программы умеют достаточно хорошо скрывать от пользователя свою деятельность - такие проявления, называемые скрытыми, обычно под силу обнаружить только антивирусной программе. Однако в любом случае, если возникло хоть малейшее подозрение на наличие вируса, необходимо уметь провести простейшую диагностику системы, чтобы либо подтвердить заражение, или опровергнуть его. Во втором задании этой лабораторной работы изучается список запущенных на компьютере процессов (фактически, список работающих в данный момент программ), в третьем - элементы автозапуска, а четвертое посвящено исследованию сетевой активности.
Перед началом практической лабораторной работы убедитесь, что Ваш компьютер:
Для того, чтобы прикладная программа начала выполняться, ее нужно запустить. Следовательно, и вирус нуждается в том, чтобы его запустили. Для этого можно использовать два сценария: либо сделать так, чтобы пользователь сам его стартовал (используются обманные методы), либо внедриться в конфигурационные файлы и запускать одновременно с другой, полезной программой. Оптимальным с точки зрения вируса вариантом служит запуск одновременно с операционной системой - в этом случае запуск практически гарантирован.
В этом задании предлагается изучить элементы операционной системы, отвечающие за автозапуск программ при ее загрузке, а именно: группу Автозагрузка в меню Пуск и утилиту msconfig.exe.
Самый простой способ добавить какую-либо программу в автозагрузку - это поместить ее ярлык в раздел Автозагрузка системного меню Пуск / Программы. По умолчанию, сразу после установки операционной системы этот раздел пуст, поскольку ни одной прикладной программы еще не установлено.
Проверьте папку Автозагрузка на Вашем компьютере. Она должна быть пустой
Несмотря на то, что реестр Windows очень большой, существует оболочка, позволяющая с ним работать напрямую. Но делать это рекомендуется только в крайнем случае. Для большинства ситуаций, связанных с автозапуском, достаточно использовать системную утилиту Настройка системы .
Запустите ее. Для этого откройте системное меню Пуск и перейдите к пункту Выполнить
На первой закладке, Общие, можно выбрать вариант запуска операционной системы. По умолчанию отмечен Обычный запуск. Он обеспечивает максимальную функциональность системы. Остальные два варианта запуска предназначены для диагностики
Второй режим, Диагностический запуск, рекомендуется использовать также при подтвердившемся вирусном инциденте - если компьютер уже заражен, сразу установить антивирус в ряде случаев нельзя, например, если вирус сознательно блокирует запуск ряда антивирусных программ. Тогда, если нет возможности удалить или хотя бы временно обезвредить вирус вручную, рекомендует запустить операционную систему в безопасном режиме, инсталлировать антивирус и сразу же проверить весь жесткий диск на наличие вирусов.
Для получения дополнительной информации об этой закладке и других можно воспользоваться кнопкой Справка
Однако сейчас никаких посторонних служб, кроме системных, установлено быть не должно. Убедитесь в этом, отметив флаг: Не отображать службы Майкрософт
Отметим, что список в окне Настройки системы может содержать дополнительные элементы, не отображаемые в разделе Пуск / Программы / Автозагрузка
Внимательно прочитайте текст и нажмите ОК
Неожиданно возросшая сетевая активность может служить ярким свидетельством работы на компьютере подозрительный программы, производящей несанкционированную рассылку писем, связывающейся со своим автором и передающей ему конфиденциальную информацию или просто загружающую свои дополнительные модули или атакующей соседние компьютеры. Но при этом нужно не забывать, что ряд вполне легальных приложений также имеют свойство иногда связываться с сайтом фирмы-производителя, например для проверки наличия обновлений или более новых версий. Поэтому, прежде чем отключать сеть и выдергивать сетевой шнур, увидев необычно яркое мигание лампочки на сетевой карте, необходимо уметь определять какие программы и приложения вызвали эту подозрительную активность.
Изучить и проанализировать сетевую активность можно с помощью встроенных в операционную систему инструментов или же воспользовавшись специальными отдельно устанавливаемыми приложениями. В этом задании это предлагается сделать с помощью Диспетчера задач Windows и встроенной утилиты netstat, которая выводит на экран мгновенную статистику сетевых соединений.
Откройте окно Диспетчера задач Windows, нажав одновременно клавиши Ctrl, Shift и Esc, и перейдите к закладке Сеть.
Поскольку сейчас не инициируется ни одного сетевого соединения, график должен быть пуст, вернее представлять собой прямую на уровне 0 %.
В нижней части окна расположен перечень всех установленных в системе сетевых адаптеров. Обычно он один. В столбце Использование сети приводится моментальное значение доли используемого канала, а в Скорость линии - пропускная способность. Состояние отображает статус.
Если на Вашем компьютере нет ни одного активного адаптера, окно Диспетчера задач на закладке Сеть будет выглядеть так:
В этом задании предполагается, что как минимум один адаптер установлен и работает.
При отсутствии выхода в Интернет, зайдите на сетевой ресурс, указанный преподавателем
Таким образом, если Вы, закрыв все прикладные программы, которые могут инициировать сетевые соединения, обнаруживаете, что сеть все равно использоваться продолжает, нужно искать причину
Закройте окно Диспетчера задач Windows и перейдите к системному меню Пуск / Программы / Стандартные / Командная строка
Наберите
netstat /?
и нажмите Enter
netstat -a
и нажмите Enter
Открытые TCP-порты1) обозначаются строкой "LISTENING" в колонке состояние. Часть портов связана с системными службами Windows и отображается не по номеру, а по названию - epmap, microsoft-ds, netbios-ssn. Порты, не относящиеся к стандартным службам, отображаются по номерам.
UDP-порты обозначаются строкой "UDP" в колонке Имя. Они не могут находиться в разных состояниях, поэтому специальная пометка "LISTENING" в их отношении не используется. Как и TCP-порты они могут отображаться по именам или по номерам.
Порты, используемые вредоносными программами, чаще всего являются нестандартными и поэтому отображаются согласно их номерам. Впрочем, могут встречаться троянские программы, использующие для маскировки стандартные для других приложений порты, например 80, 21, 443 - порты, используемые на файловых и веб-серверах2).
Вернитесь к окну командной строки, введите
netstat -a
и нажмите Enter
netstat -a
и нажмите Enter
exit
и нажмите Enter
В этой практической работе были изучены явные признаки заражения компьютера на примере модификации настроек браузера, исследованы возможные места скрытых проявлений: запущенные процессы, элементы автозапуска, сетевая активность. В совокупности с полученными из курса теоретическими знаниями выполнение практических заданий призвано дать слушателям навыки обнаружения на своем компьютере подозрительных программ вручную, без использования антивирусных средств.
Иногда собранные данные позволяют определить имя вируса, тогда можно обратиться например, к вирусной энциклопедии www.viruslist.com, чтобы вручную ликвидировать последствия заражения. Если однозначного ответа получить не удается, необходимо собрать все подозрительные проявления и обратиться к Интернет. На сегодняшний день существует достаточно много сайтов, содержащих описания неопасных процессов, например, www.processlibrary.com. Сравнив полученные в результате анализа данные с представленными в библиотеке описаниями, нужно оставить только не заявленные как легальные процессы и объекты и проследить их расположение на диске.
Дальнейшие действия зависят от того, используется ли на компьютере антивирусная программа или нет. Если нет, то полученные файлы нужно исследовать с помощью антивирусной программы, например онлайн сканера http://www.kaspersky.ru/virusscanner, позволяющего бесплатно проверять отдельные объекты.
Если на компьютере антивирус уже установлен, после выделения подозрительных файлов следует обратиться в службу технической поддержки антивирусной компании, чей продукт используется на компьютере, прикрепив к сообщению обнаруженные подозрительные объекты. Вполне возможно, они содержат новый, еще не известный вирус.