Статья обновлена: 06 октября 2021
Если вы будете четко понимать, как использовать AutoRuns, вы всегда сможете определить, заражен ли ваш компьютер нежелательным ПО.
Примечание: в этой статье рассказано, как можно обнаружить вредоносные программы на домашнем ноутбуке или ПК. Для выявления и удаления вредоносных программ в организации необходимо следовать корпоративному плану реагирования на инциденты.
Сегодня мы рассмотрим программы для очистки реестра, являющиеся важными системными инструментами в поддержке нормального состояния компьютера, его быстрого отклика на команды, скоростной работе и производительности в целом.
Программы для очистки реестра обнаруживают, анализируют и удаляют сбои, ошибки, остатки ПО, возникшие проблемы, мусор и конфликты между приложениями, «тормозящие» работу ПК и функционирование операционной системы.
Рейтинг программ очистки реестра 2020
Обзор программ для чистки реестра Windows
Знай своего врага ― одна из максим, которой руководствуются специалисты по информационной безопасности. Она касается и зловредов. Существуют сотни инструментов, которые помогают исследовать вредоносное ПО. К счастью, многие из них бесплатны и имеют открытый исходный код.
Под катом мы собрали онлайн-сканеры подозрительных файлов, некоторые инструменты для статического и динамического анализа, системы для описания и классификации угроз и, конечно, репозитории с малварью, которую можно исследовать.
Это неполный перечень ПО, которое используют исследователи от мира информационной безопасности. Так, для расследования уже совершенных атак, применяют иной арсенал.
Деление на группы в статье не претендует на звание классификации, оно сделано для удобства чтения и во многом условно. Отдельные инструменты могли попасть сразу в несколько групп и оказались в конкретных разделах благодаря грубому авторскому произволу.
Статья обновлена: 28 июня 2022
Хотите избежать заражений в будущем? Установите Kaspersky for Windows
Kaspersky for Windows защищает вашу цифровую жизнь, выходя за рамки обычного антивируса.
Утилита USB Recover восстанавливает работоспособность клавиатуры, мыши или других USB-устройств, если их работа была нарушена после некорректного удаления другого продукта «Лаборатории Касперского».
Работа утилиты USB Recover может привести к неработоспособности операционной системы.
Чтобы восстановить работоспособность USB-устройств:
- На другом компьютере, на котором работают клавиатура и мышь, запишите образ Kaspersky Rescue Disk на USB-носитель или CD/DVD-диск. Инструкция в статье.
- На компьютере, на котором возникла проблема, запустите Kaspersky Rescue Disk. Инструкция в статье.
- В Kaspersky Rescue Tool нажмите Утилиты. Запустите USB Recover.
- Выберите папку для экспорта файла, в котором будут храниться значения изменяемых ключей реестра. При возникновении проблем этот файл поможет отменить изменения в реестре.
- Задайте имя файла и нажмите Оpen.
Работоспособность USB-устройств будет восстановлена.
Вам помогла эта страница?
Получите бесплатную лицензию Ashampoo Registry Cleaner. Программа позволяет очищать реестр Windows от ненужных записей, тем самым улучшая работу системы и исправляя ошибки реестра
Ashampoo Registry Cleaner 2 – новый многофункциональный инструмент для очистки реестра от ненужных записей. Программа сканирует реестр Windows и удаляет ссылки на несуществующие объекты, устаревшие записи и другие ненужные элементы реестра.
Программа находит и удаляет битые ссылки на удалённые файлы и программы, неправильные записи установленных программ, неверные ассоциации файлов, история доступа к файлам и другие записи реестра, которые ненужны для работы системы или могут приводить к ошибкам и сбоям.
Программа Ashampoo Registry Cleaner 2 позволяет в один клик исправить всё обнаруженные ошибки реестра. Для опытных пользователей предусмотрена возможность добавлять исключения из очистки, выполнять поиск по найденным записям реестра и исключать разделы реестра из сканирования.
Для предотвращения неправильной работы системы, программа создаёт резервные копии всех удалённых и изменённых элементов, и вы сможете в любой момент откатить сделанные программой изменения.
Возможности Ashampoo Registry Cleaner 2
- Поиск ненужных записей в реестре.
- Автоматическое исправление всех найденных ошибок реестра.
- Просмотр результатов сканирования и ручной выбор ошибок для исправления.
- Создание резервных копий реестра перед очисткой.
- Поиск среди результатов сканирования.
- Добавление элементов реестра в исключения.
- Выбор категорий для сканирования.
Бесплатная лицензия Ashampoo Registry Cleaner 2
Для получения бесплатной лицензии выполните следующие действия:
Системные требования
- Windows 10 / 8.1 / 8 / 7.
- Разрешение экрана не ниже 1280×1024.
- Для использования программы требуются полные права администратора.
- Для активации программы требуется подключение к Интернету.
2. После установки программы, укажите ваш адрес электронной почты, который будет использован для создания новой учётной записи Ashampoo, и нажмите кнопку “Далее”.
3. Придумайте надёжный пароль для учётной записи Ashampoo и нажмите кнопку “Далее”.
4. На вашу электронную почту будет отправлено письмо для подтверждения регистрации. Нажмите на синюю кнопку в письме и завершите процедуру регистрации.
5. После подтверждения регистрации, программа будет автоматически активирована.
Условия предложения
- Это пожизненная лицензия для домашнего некоммерческого использования.
- Необходимо периодическое подключение к интернету для автоматической проверки лицензии.
- Нет бесплатной технической поддержки.
Последние промо-акции
Каждый пользователь всемирной сети должен уметь проверить компьютер на вирусы. Интернет стал универсальным инструментом, способным справиться с самой сложной задачей. Задумайтесь, насколько важные данные вы вводите в интернете. Данные о кредитных картах, интернет-кошельках, различные пароли. Наверняка, вы хотите быть уверены в конфиденциальности этих сведений.
Современные технологии позволяют злоумышленникам в два счета завладеть этой информацией и использовать ее в своих целях, в том числе и ради финансовой выгоды. Произведите проверку компьютера на вирусы при помощи бесплатного антивируса 360 Total Security и забудьте об угрозах в сети!
Антивирус для проверки компьютера и ноутбука на вирусы
Это далеко не единственная антивирусная программа, представленная на современном рынке софта. Существует большой выбор программ разного качества и ценовой политики. Проанализировать плюсы и минусы представленных приложений, чтобы выбрать оптимальный вариант – задача не из легких даже для опытного юзера. Наша программа для проверки и удаления вирусов занимает среди них особое место по нескольким причинам:
- Постоянный и безостановочный контроль, обнаружение и ликвидация вирусных угроз на жестком диске и внешних носителях. Проверка компьютера на вирусы – процесс простой и быстрый. Наша команда задействовала все ресурсы и разработки штатных программистов, а также лучшие идеи мировых специалистов последних лет. Такой союз гарантирует успех.
- Как и для большинства юзеров, безопасность в интернете – один из главных наших ориентиров. Мы уверены, что пользователь не обязан отдавать личные средства, чтобы быть защищенным. Поэтому наш продукт распространяется с пометкой “freeware”. Проверка компьютера на вирусы абсолютно бесплатна. Никаких демо-версий и пробных периодов. Все по-настоящему и навсегда.
- Скачав 360 Total Security на нашем официальном сайте, вы не только обезопасите компьютер и смартфон от вирусных угроз, но значительно ускорите их работу. В “арсенале” утилиты инструменты для оптимизации работы девайса. Очистка реестра и автозагрузки, ликвидация бесполезных фоновых процессов и программ автозагрузки. Эти действия положительным образом скажутся на производительности ПК.
- На вашу защиту становятся пять движков. Один из них – 360 Cloud – использует “облако” для обработки данных. Такая функция значительно снижает нагрузку на центральный процессор и положительным образом сказывается на производительности.
- Два режима проверки компьютера. Вы можете быстро проверить на вирусы свой ПК, или сделать проверку тщательней.
- Открывайте подозрительные файлы в безопасной среде Sandbox. “Песочница” ограничивает доступ потенциально опасных файлов к сети и внутреннему хранилищу устройства.
- Приятный интерфейс не загружает вас бесполезной информацией и сложными терминами. Программа создана людьми и для людей. Вам не придется разбираться в сложном устройстве приложения. Всего пара кликов и 360 Total Security работает так, как нужно вам.
Станьте владельцем лучшего способа проверить компьютер на вирусы уже сегодня! 360 Total Security непременно удивит вам простотой проверки и удаления вирусов
Advanced System Care Free скачать
Софт способен качественно оптимизировать, стабилизировать и улучшить скорость работы ОС. Состоит из набора бесплатных программ и инструментов, проводящих глубокую диагностику, борьбу со «шпионами», мощную очистку реестра, дефрагментацию и блокировку подозрительного ПО.
Адвансед Систем Каре Фри увеличивает работоспособность машины, устраняет ошибки, защищает персональные данные, запрещает рекламы и т.д. С помощью утилиты вы сможете просканировать и оптимизировать жесткий диск, удалить ненужные объекты из системных библиотек, настроить безопасное соединение с интернетом и многое другое.
Carambis Cleaner скачать
Популярный продукт для эффективной и качественной очистки компьютера, улучшения отклика его команд, исправления различного рода ошибок и сбоев в операционке.
Карамбис Клинер оперативно стабилизирует и усовершенствует работу системы, «зачистит» дубликаты, старые мультимедийные и документационные записи, записи реестра, установленных приложений и их остатков, проведет сканирование по расписанию, запланирует задачи, промониторит на наличие неполадок. Минусом является 30-дневный период работы пробного варианта.
Glary Utilities скачать
Данный продукт заметно повышает производительность вашей машины, защищает систему и оптимизирует её работу. С Глари Утилитс вы заметите насколько слаженнее, корректнее и быстрее станет работать операционка.
Программа способна освободить место в оперативе, заблокировать вредоносные вмешательства, деинсталлировать приложения, «зачистить» следы в Интернете, расшифровать и зашифровать данные, отыскать дубликаты, исправить ошибки в ярлыках и прочее. В проге также доступен анализ пространства диска, ликвидация пустых папок, дубликатов и «мусора».
Wise Care 365 скачать
Утилита быстро и высокоэффективно повышает производительность компьютера, глубоко очищает и тонко настраивает операционную систему, дефрагментирует диски, работает с реестром и «зачищает» следы деятельности браузера.
Инструментарий также способен скрыть ценную информацию, очистить целые диски, повысить игровую продуктивность, проанализировать «начинку» ПК и остановить несанкционированный доступ. В Вайс Каре доступно выборочное удаление материала, генерирование паролей, восстановление удаленных данных, формирование резервных копий и опции планировщика.
Registry Life скачать
Качественный помощник-оптимизатор, легко улучшающий и стабилизирующий систему. Поможет освободить реестр и пространство на жестком диске, проверит, проанализирует и ликвидирует ошибки, устранит обнаруженные проблемы и поработает с автозапуском.
В настройках пользователю доступна активация автоматической проверки, дефрагментатора, планировщика, помощника и центра отмены изменений при стирании ключа.
Wise Registry Cleaner скачать
Данная прога легко улучшит продуктивность машины, очистит системный реестр от ошибочных записей, проведет необходимые манипуляции для оптимизации системы и многое другое.
В функционале Вайс Регистр Клинер доступна корректировка ошибок, плановая оптимизация, создание резервных копий и точек восстановления, сортировка найденных повреждений по категориям, активация разных режимов работы, дефрагментация и сжатие реестра.
Ускоритель Компьютера скачать
Начнем наш обзор с функционального, а главное – эффективного инструмента для оптимизации, очистки, устранения неполадок и сбоев в персональном компьютере. Софт гарантирует ускорение работоспособности компьютера, повышение производительности ресурсов, ликвидацию зависаний, оптимизацию модулей и реестра, контроль жесткого диска и его «зачистку».
В Ускорителе пользователь может управлять автозагрузкой, использовать планировщик, просматривать отчет об удаленном ПО, освобождать на диске место, исправлять неверные расширения и редактировать автозапуск. Недостатком является ограничение срока работы бесплатной версии.
Скачайте утилиту AVZ
AVZ — бесплатная утилита для создания Карантина, удаления подозрительных файлов и получения отчета о результатах исследования системы.
Запуск утилиты AVZ может потребоваться при обращении в техническую поддержку «Лаборатории Касперского».
С помощью утилиты AVZ вы сможете:
- получить отчет о результатах исследования системы;
- выполнить скрипт, предоставленный специалистом технической поддержки «Лаборатории Касперского»
для создания Карантина и удаления подозрительных файлов.
Утилита AVZ не отсылает статистику, не обрабатывает информацию и не передает ее в «Лабораторию Касперского». Отчет сохраняется на компьютере в виде файлов форматов HTML и XML, которые доступны для просмотра без применения специальных программ.
Утилита AVZ может автоматически создавать Карантин и помещать в него копии подозрительных файлов и их метаданные.
Помещенные в Карантин объекты не обрабатываются, не передаются в «Лабораторию Касперского» и хранятся на компьютере. Мы не рекомендуем восстанавливать файлы из Карантина, они могут причинить вред компьютеру.
CCleaner скачать
Это бесплатный «чистильщик» и «оптимизатор», позволяющий удалять неиспользуемые и ненужные записи, очищать реестр, освобождать место на винчестере и хорошо увеличивать производительность машины. СиКлинер улучшает отклики на команды, находит и удаляет «мусор», избавляет от кеша и другого ненужного материала, значительно тормозящего работу ПК.
Главными функциями проги является проверка реестра и очистка системы, к дополнительным же можно отнести проверку путей приложений, «зачистку» в браузере, буфере, «Пуске» и документах, безвозвратное стирание, управление точками восстановления и многое другое.
Бесплатные утилиты для лечения
Kaspersky Anti-Ransomware Tool
Защищает устройства от программ-вымогателей WannaCry, Petya, Bad Rabbit, Locky, TeslaCrypt, Rakhni и Rannoh.
Выполняет комплексную проверку и лечение компьютеров с Windows 7 и выше, а также серверов с Windows Server 2008 (R2 SP 1) и выше.
Ознакомьтесь с системными требованиями, чтобы понять, подходит ли утилита для лечения вашего устройства.
Инструкции по работе с утилитой смотрите в базе знаний.
Kaspersky Internet Security
Хотите избежать заражений в будущем? Попробуйте Kaspersky Internet Security. Наши проверенные технологии не только защитят ваши устройства от вирусов, хакеров и вредоносного ПО, но и предотвратят несанкционированный доступ к вашей личной информации. В состав программы также входят:
- защита данных банковской карты при интернет-платежах;
- блокировка рекламы и сбора данных о вас на сайтах;
- VPN c 300 МБ трафика в день на каждом устройстве и многое другое.
Выполняет комплексную проверку и лечение компьютеров с Windows XP, Vista и 7, а также серверов с Windows Server 2003 и 2008.
Kaspersky Rescue Disk
Отыскивает и удаляет блокировщики операционной системы Windows.
Инструкцию по работе с утилитой смотрите в базе знаний.
Расшифровывает файлы формата wflx, зашифрованные вредоносной программой Wildfire Locker.
Инструкцию по работе с утилитой смотрите в статье.
Борется с вредоносными программами семейства Rootkit.Win32.TDSS, руткитами и буткитами.
Расшифровывает файлы формата jpg, doc, pdf и rar, зашифрованные вредоносной программой Trojan‑Ransom.Win32.Rector.
Расшифровывает файлы формата locked, kraken, darkness и других, зашифрованные вредоносными программами семейства Trojan‑Ransom.Win32.Rakhni.
Расшифровывает файлы, зашифрованные вредоносными программами семейства Trojan‑Ransom.Win32.Rannoh.
Расшифровывает файлы, зашифрованные вредоносной программой Trojan‑Ransom.Win32.Scraper (TorLocker).
Расшифровывает файлы формата crypt, pzdc и good, зашифрованные вредоносными программами Ransom.Win32.Scatter и Trojan‑Ransom.BAT.Scatter.
Расшифровывает файлы формата xtbl, breaking_bad, ytbl и другими, зашифрованные вредоносной программой Trojan‑Ransom.Win32.Shade.
Борется с вредоносными программами семейства Trojan‑Ransom.Win32.Xorist и Trojan‑Ransom.MSIL.Vandev, которые модифицируют данные на компьютере без ведома пользователя.
Расшифровывает файлы, зашифрованные вредоносной программой Trojan‑Ransom.MSIL.CoinVault.
Как использовать AutoRuns для удаления вредоносных программ
Во-первых, убедитесь, что вирус запущен на вашем устройстве. Для этого можно открыть диспетчер задач, однако мы рекомендуем использовать Process Hacker — один из инструментов для анализа вредоносных программ. После загрузки нажмите правой кнопкой мыши на значок на рабочем столе и выберите «Запуск от имени администратора».
После запуска Process Hacker можно найти вредоносное ПО, запущенное на устройстве.
Нажав на название вредоносной программы правой кнопкой мыши, мы можем найти файл на диске, выбрав Open file location (открыть расположение файла).
После этого в проводнике Windows будет открыта папка с данным файлом.
Перетащив файл в такой инструмент, как PeStudio, мы можем получить хеш файла.
Переход на virustotal и определение хеша покажет, что это RAT (троян удаленного доступа), известный под именем Nanocore.
Чтобы остановить выполнение вредоносной программы, нажмите правой кнопкой мыши на соответствующее имя процесса и выберите «Завершить».
После этого AutoRuns позволяет удалить механизмы персистенции, используемые для запуска вредоносного ПО.
Теперь вирус можно удалить из проводника Windows.
Контроль целостности системы
Описанная в этом разделе функциональность программы Kaspersky Security доступна, только если вы используете программу по расширенной коммерческой лицензии и программа установлена на виртуальной машине с серверной операционной системой Windows и файловой системой NTFS или FAT32.
Компонент Контроль целостности системы позволяет отслеживать изменения в операционной системе Windows, установленной на защищенной виртуальной машине. Вы можете контролировать следующие объекты:
- Файлы и реестр. Компонент Контроль целостности системы отслеживает изменения в файлах и реестре, включенных в область контроля.
- . Компонент Контроль целостности системы отслеживает подключение внешних устройств следующих типов:Дисководы для жестких дисков.Дисководы для оптических дисков (CD/DVD/Blu-ray).Устройства USB.Камеры и сканеры.Внешние сетевые адаптеры.
- Дисководы для жестких дисков.
- Дисководы для оптических дисков (CD/DVD/Blu-ray).
- Устройства USB.
- Камеры и сканеры.
- Внешние сетевые адаптеры.
Компонент Контроль целостности системы может работать в режиме реального времени, а также выполнять проверку целостности системы по расписанию или по требованию.
При работе в режиме реального времени Контроль целостности системы позволяет отслеживать изменения в объектах контроля, которые вы включили в область действия контроля целостности системы.
Проверка целостности системы по расписанию или по требованию выполняется с помощью задачи проверки целостности системы. Проверка осуществляется путем сравнения текущего состояния объектов, включенных в область действия проверки целостности системы, с состоянием этих объектов, которое предварительно зафиксировано в виде снимка состояния системы.
Вы можете выполнять проверку целостности системы в одном из следующих режимов:
- Полная проверка. При проверке изменений в файлах учитываются все атрибуты файлов и их содержимое.
- Быстрая проверка. При проверке изменений в файлах учитываются только атрибуты файлов, их содержимое не проверяется.
Проверка изменений в реестре и проверка подключения внешних устройств выполняется в любом режиме в соответствии с заданной областью действия проверки целостности системы.
Снимок состояния системы формируется на виртуальной машине в результате выполнения задачи обновления снимка состояния системы. В результате создания или обновления снимка состояния системы фиксируется состояние объектов, включенных в область действия проверки целостности системы.
Вы можете обновлять снимок состояния системы в одном из следующих режимов:
- Полное обновление – по всем объектам, входящим в область проверки.
- Инкрементальное обновление – только по изменившимся или новым объектам из области проверки.
Параметры работы компонента Контроль целостности системы задаются в политике для Легкого агента для Windows или в локальном интерфейсе Легкого агента для Windows. Вы можете включать и выключать работу компонента Контроль целостности системы в режиме реального времени, а также настраивать следующие параметры:
- Область действия контроля целостности системы в режиме реального времени:Список объектов, которые должен контролировать компонент Контроль целостности системы в режиме реального времени.Список правил контроля целостности системы, в соответствии с которыми компонент отслеживает изменения в файлах и реестре. Вы можете создавать правила и использовать предустановленные правила из шаблонов, которые входят в комплект поставки программы.
- Список объектов, которые должен контролировать компонент Контроль целостности системы в режиме реального времени.
- Список правил контроля целостности системы, в соответствии с которыми компонент отслеживает изменения в файлах и реестре. Вы можете создавать правила и использовать предустановленные правила из шаблонов, которые входят в комплект поставки программы.
- Область действия проверки целостности системы. По умолчанию область действия проверки совпадает с областью действия контроля целостности системы. Вы можете задать отдельную область действия для проверки целостности системы по расписанию или по требованию. Эта область действия также используется для задачи обновления снимка состояния системы:Список объектов, состояние которых требуется проверять. Состояние этих объектов фиксируется в снимке состояния системы.Список правил контроля целостности системы, в соответствии с которыми компонент проверяет изменения в файлах и реестре. В снимке состояния системы фиксируется состояние файлов и папок, а также ключей реестра, заданных в правилах. Вы можете создавать правила и использовать предустановленные правила из шаблонов, которые входят в комплект поставки программы.Если область действия проверки целостности системы не задана, для задачи проверки целостности системы и задачи обновления снимка состояния системы используется область действия контроля целостности системы.
- Список объектов, состояние которых требуется проверять. Состояние этих объектов фиксируется в снимке состояния системы.
- Список правил контроля целостности системы, в соответствии с которыми компонент проверяет изменения в файлах и реестре. В снимке состояния системы фиксируется состояние файлов и папок, а также ключей реестра, заданных в правилах. Вы можете создавать правила и использовать предустановленные правила из шаблонов, которые входят в комплект поставки программы.
- Уровень важности для событий, которые формирует Контроль целостности системы, когда обнаруживает изменения в системе в режиме реального времени и в результате выполнения задачи проверки целостности системы.
Вы можете посмотреть информацию о результатах работы компонента Контроль целостности системы в Kaspersky Security Center и в локальном интерфейсе Легкого агента для Windows.
Vit Registry Fix скачать
Завершим нашу подборку мощным софтом с расширенным функционалом для «зачистки» реестра, удаления устаревших данных, освобождения дискового пространства и различного «мусора», значительно мешающего нормальному функционированию ОС.
Прога легко «отремонтирует» реестр, создаст списки исключений, удалит ошибки и неверные ссылки, сформирует резервную копию перед удалением, отыщет битые ярлыки, недочеты и неактуальные данные.
Данный материал является частной записью члена сообщества Club.CNews.Редакция CNews не несет ответственности за его содержание.
Образцы вредоносных программ
В этом разделе собраны ссылки на опасные вредоносные программы. Они не деактивированы и представляют реальную угрозу. Не скачивайте их, если не уверены в том, что делаете. Используйте для исследований только изолированные программные среды. В этих коллекциях много червей, которые заразят все, до чего смогут дотянуться.
Ссылки предоставляются исключительно в научных и образовательных целях.
Многие современные зловреды выходят из-под пера талантливых профессиональных программистов. В них используются оригинальные пути проникновения в системные области данных, новейшие уязвимости и ошибки в безопасности операционных систем и целые россыпи грязных хаков. Если проявить осторожность, ум и внимательность, во вредоносном ПО можно найти немало интересного.
Auslogics Registry Cleaner скачать
Это бесплатное приложение также не отстаёт в функциональных возможностях от своих конкурентов и предлагает пользователю опции очистки реестра, оптимизации системы, мониторинга ошибок, поиска «слабых» мест для внедрения вредоносного контента, а также стабилизации и ускорения работы ПК.
Программа сможет предупредить крах операционки, найдет и исправит реестровые ошибки, очистит «хлам», оценит опасность обнаруженных проблем и создаст точки восстановления. Софт также отыщет ошибки в установленном ПО, автозапуске, шрифтах, ярлыках, Интернете, расширениях и т.д.
Как использовать AutoRuns для выявления подозрительного программного обеспечения
Теперь мы хорошо представляем, что может обнаружить AutoRuns, однако на всех скриншотах выше показаны исключительно записи исключительно легитимного программного обеспечения. Как мы узнаем, является ли программа, указанная в AutoRuns, надежной или требующей дополнительной проверки (в частности, вредоносным ПО)?
На изображении выше мы видим, что во вкладке Logon показан созданный ключ запуска для файла ARP Service (выделено красным), который можно найти в следующем месте в реестре:
Это распространенный механизм персистентности, используемый вредоносными программами для «выживания» после перезагрузки. Также мы видим пустые ячейки в столбцах Description (описание) и Publisher (издатель). Само по себе отсутствие описания не означает, что файл является вредоносным, а вот отсутствие подписи и издателя являются поводом для расследования.
В столбце Image Path (путь к образу) можно увидеть место установки программы. В данном случае путь таков: program filesarp servicearpsv.exe.
Поиск этого пути в Google выдает всего два результата, что вызывает сомнения в легитимности программного обеспечения.
Во вкладке запланированных задач также можно увидеть увидеть две строки, относящиеся к программному обеспечению ARP Service, на которое мы обратили внимание.
Нажав правой кнопкой мыши на интересующий файл, мы можем отправить его на сайт virustotal.com. Virustotal — это база данных вредоносных программ, в которой можно узнать о том, признан ли конкретный файл вредоносным разными поставщиками антивирусов.
После отправки файла в столбце Virus Total (общее количество вирусов) будет показано, сколько поставщиков антивирусов классифицировали данный файл как вредоносный. На изображении ниже видно, что 55 из 76 поставщиков определили этот файл как вредоносный.
Вот несколько основных советов по выявлению вредоносного ПО с помощью AutoRuns:
- Google — ваш друг! В случае малейших сомнений выполните в Google поиск имени файла и его местоположения. Задайте себе вопрос: легитимное ли это ПО и в правильном ли месте оно находится?
- Проверьте описание на наличие контрольных признаков (например, грамматические ошибки или предположительно случайно сгенерированный текст — это может указывать на то, что AutoRuns обнаружил программное обеспечение, требующее детального изучения.
- Ищите временные папки. Вредоносные программы часто устанавливаются во временные папки файловой системы. Если у вас есть программа, которая запускается при загрузке устройства, почему она находится во временной папке?
- Определите хеш файла и перейдите на сайт virustotal.com. Если вредоносное ПО было установлено от имени администратора, оно может храниться где угодно на диске. Убедитесь, что файл является вредоносным, на virustotal.
Советы по использованию AutoRuns от Sysinternals
Мы не рекомендуем использовать AutoRuns в качестве единственной формы обнаружения и удаления вредоносного программного обеспечения. Если вы выявили и удалили вредоносную программу с помощью описанных методов, стоит принять во внимание следующее:
Имеются ли у вас резервные копии файлов и данных? Если ваше устройство взломали, высока вероятность того, что на нем могут находиться другие вредоносные программы. Наличие резервных копий гарантирует возможность восстановления данных устройства, что дает уверенность в полном устранении последствий вторжения.
Какое антивирусное ПО у вас установлено? Если у вас установлен антивирус, но ваше устройство по-прежнему инфицировано, значит, ваши механизмы безопасности не сработали и, возможно, пришло время инвестировать в более надежную систему защиты данных.
Используйте функцию сравнения AutoRuns, чтобы упростить проверку на наличие нежелательного программного обеспечения, которое продолжает действовать на вашем устройстве. Для этого нужно запустить AutoRuns на неинфицированном устройстве, выбрать File (файл) и Save (сохранить).
Результаты будут сохранены в виде файла файл AutoRuns Data с расширением .arn’AutoRuns. В примере ниже я сохранил результаты как файл с именем clean.
Теперь вы можете сравнить эти результатами с результатами будущих проверок с помощью AutoRuns. Для этого выберите File (файл), а затем Compare (сравнить).
В примере ниже мы выбираем результаты, сохраненные в файле clean.
После этого AutoRuns будет показывать только новое ПО с механизмом персистенции. Это позволяет исключить легитимные программы, установленные на неинфицированном устройстве.
Чаще всего AutoRuns используется для выявления вредоносных программ, однако в этой статье мы продемонстрировали, как этот инструмент может обнаруживать разные способы, с помощью которых вредоносное ПО пытается продолжить работу на вашем устройстве.
Еще одной привлекательной характеристикой AutoRuns является цена! Есть множество бесплатных инструментов, которые могут помочь вам выполнить не только проверку на наличие вредоносных программ, но и ряд задач системного администрирования, поэтому обязательно прочитайте эту статью, где рассказывается о 21 бесплатном инструменте, которые должен знать каждый системный администратор.
Если угроза того, что вредоносное ПО остается незамеченным в вашей организации, является для вас актуальной, посмотрите, как мы останавливаем кибератаки, а также демонстрацию наших методов реагирования на угрозы.
Сканер вирусов изнутри
Последний год я работал над реализацией вирусного сканера для одной антивирусной как ни странно
компании.
Пост являет собой выжимку приобретенных знаний, и повествует хабрасообществу о внутреннем устройстве
антивирусного сканера.
Сканирующий движок или сканер — это фундамент антивирусного пакета. Являет собой бэк-энд антивируса и, как правило представлен в виде dll, так как сканер используется сразу несколькими программами из пакета.
Графическая оболочка в этом случае — лишь красивая обертка для отображения результатов движка. Всю полезную работу, делает движок в бэк-енде.
Локации вирусного ПО
Из названия понятно, что движок используется для сканирования всех возможных локаций вредоносного ПО, а именно:
- Сканирование произвольных файлов и папок, вплоть до целых дисков.
- Сканирование памяти. Сканируются все загруженные в память процессы и их dll.
- Сканирование загрузочных записей дисков (Master Boot Records — MBR).
- Сканирование системы на предмет следов вредоносного ПО. Проверка системных папок вроде %APPDATA%, %WINDIR% на предмет определенных файлов и папок. Сканирование реестра, также на предмет следов в автозагрузке и настройках.
Виды сканирования.
Сканирование делится на два основных вида: сигнатурный и эвристический.
Сканирование на основе сигнатур.
Другое название — хэш-скан (hash scan). Сканер проверяет файлы путем сравнения сигнатур файлов со словарем.
Обычно сигнатурой антивируса является MD5-хэш (16 байт) сгенерированный на основе тела известного вируса.
Таким образом, файл считается зараженным, если его хэш найден в базе сигнатур. Для локализации выявления вредоноса, хэш может вычисляться только для exe-файлов на основе PE-заголовка.
Такой вид сканирования позволяет определить вид атаки с высокой долей вероятности, без ложных срабатываний (чем грешит эвристическое сканирование).
К недостаткам хэш-скана относят неспособность выявить новые вирусы, которые отсутствуют в базе. А также беззащитность перед полиморфными или шифрующимися вирусами, в связи с чем требуются регулярные обновления базы сигнатур.
Также слабым местом хэш-скана является скорость проверки. Если бы не закон Мура, ни один современный компьютер уже не смог бы закончить сканирование с такой массой сигнатур в разумное время.
Эвристическое сканирование
Метод, в основе которого положено выявление вируса на основе заранее известных характеристик (эвристик). Например, для выявления загрузочного вируса прописавшегося в MBR, антивирус может считать загрузочную запись двумя путями: функцией WinAPI ReadFile, и с использованием драйвера прямого доступа к диску (direct disk access — DDA driver). А затем сравнить оба буфера. Если буферы различны, то с высокой долей вероятности
можно сказать, что мало того что вирус загрузочный, он еще и подменяет вызовы WinAPI.
Что для руткитов — обычная практика.
Другим примером эвристического скана, может быть поиск следов вируса в реестре и системных директориях. Как правило вирусы создают определенный набор файлов, и/или записей в реестре, по которым можно их выявить.
Перечисленные выше типы локаций вредоносного ПО, а именно сканирование следов, сканирование cookies и проверка загрузочных записей диска, также подпадают под вид эвристического сканирования.
Компоненты и вспомогательные модули сканера
Необходим для обхода руткитов. В зараженной системе, руткиты используются
для заметания следов своего присутствия. Лучшим способом для этого является подмена вызовов API-функций.
В частности для работы с файлами: CreateFile, ReadFile итд. Когда антивирусная программа сканирует систему,
вызывая эти функции, то руткит может возвращать FALSE, когда такой вызов относится к нему. Чтобы обойти это,
сканер содержит в себе модуль непосредственного посекторного считывания с диска, без использования WinAPI.
Черно-Белые списки
Служат для фильтрации обнаружений, которые на самом деле не являются зловредами. Таким образом, антивирус не предупреждает об опасности, в случае ложного срабатывания.
Современные антивирусы, хранят базу в среднем от 5 млн. сигнатур. Причем довольно часто, для одного вируса, может существовать с десяток сигнатур. Возможная ситуация, что из нескольких тысяч системных файлов, найдется подходящий под сигнатуру файл. А это грозит тем, что антивирус удалит его, или переместит в карантин, что может привести к отказу системы вовсе.
Минимизировать ложные срабатывания — главный приоритет любой антивирусной компании.
Чтобы пройти самый престижный антивирусный тест — virus bulletin, антивирус должен показать 100% результат обнаружения, при этом не выдав единого ложного срабатывания.
Белый список — содержит список файлов, которые не вредят системе, но так или иначе обнаруживаются сканером.
Черный список — содержит список вирусов, которым мы доверяем (также не наносят вреда системе).
Распаковщики, дешифровшики
Чтобы достичь приемлемого уровня обнаружения вируса, сканер должен отрабатывать exe-шники, зашифрованные exe-пакером (Например UPX). Тогда перед вычислением хэша, сканер обнаруживает, что файл зашифрован и сначала обращается к дешифровщику, а затем уже на этой основе, вычисляется хэш и сравнивает с имеющимся в базе.
Второй вид архивов — это всем известные zip, rar, 7z итд. Антивирус также должен уметь распаковывать эти архивы, и сканировать содержимое.
Третий вид — это распаковка NTFS ADS (NTFS Alternative Data Streams). В файловой системе NTFS, исполняемый файл может быть замаскирован под обычный, например текстовый. Альтернативный поток этого файла, будет ссылаться непосредственно на вирус.