42、恶意软件分析与处理全解析

恶意软件分析与处理全解析

1. 恶意软件概述

恶意软件会引发诸多计算机问题，它总是执行不符合用户利益的操作。有时它会悄悄运行，不被用户察觉；有时则会像本章提到的“进程查杀恶意软件”案例中的恐吓软件那样，明显地暴露自己。与许多合法软件一样，有些恶意软件编写得很糟糕，但不同的是，恶意软件通常会积极阻止自身被发现或移除。

2. 典型恶意软件案例分析

2.1 Sysinternals 阻止型恶意软件案例

• 问题发现 ：一位朋友认为系统感染了恶意软件，启动和登录时间长，且使用 Microsoft Security Essentials 进行恶意软件扫描无法完成。用户在任务管理器中未发现异常进程，尝试运行 Sysinternals 的 AutoRuns、Procmon、Procexp 和 RootkitRevealer 等工具，这些工具启动后立即退出，甚至用记事本打开名为“Process Explorer”的文本文件也会立即终止。
• 解决过程
  • 利用 Desktops 工具 ：用户注意到 Desktops 工具，推测恶意软件在监控窗口标题。运行 Desktops 并切换到第二个桌面后，成功启动了 Procmon 等工具。
  • 分析进程 ：使用 Procexp 查看，启用“Verify Signers”选项和“Verified Signer”列，确认所有进程的主可执行映像文件看起来有效。