Kaspersky Anti-Virus 6.0 for Windows Workstations ... - Kaspersky Lab

K A S P E R S K Y A N T I - V I R U S 6 . 0 F O R W I N D O W S W O R K S T A T I O N S
sterowniki oraz usługi, które są niewidoczne dla narzędzi systemowych takich jak menedżer zadań Windows lub
Process Explorer, a także programów antywirusowych.
Szczególnym przypadkiem ukrytego procesu jest aktywność składająca się z prób utworzenia ukrytych procesów o
negatywnych wartości PID. PID jest osobistym numerem identyfikacyjnym, jaki system operacyjny przypisuje
każdemu uruchomionemu procesowi. Każdy uruchomiony proces ma swój własny, niepowtarzalny numer PID, stały
w danej sesji systemu operacyjnego. Jeżeli numer PID procesu ma negatywną wartość, proces ten jest ukryty,
dlatego nie może zostać wykryty przy pomocy standardowych narzędzi.
Przykładem fałszywego alarmu jest reakcja modułu Ochrona proaktywna na gry, które chronią swoje własne procesy
przed narzędziami służącymi do obejścia ograniczeń licencyjnych lub oszustwa.
Modyfikacja pliku HOSTS
Plik Hosts jest jednym z najważniejszych plików systemowych Microsoft Windows. Jest on przeznaczony do
przekierowywania dostępu do stron internetowych poprzez tłumaczenie adresów URL na adresy IP na serwerach
DNS. Plik hosts jest plikiem tekstowym, w którym każda linia określa związek pomiędzy nazwą serwera (URL) i jego
adresem IP.
Szkodliwe programy często używają tego pliku do ponownego określania adresów serwerów aktualizacyjnych dla
aplikacji antywirusowych, m.in. aby blokować uaktualnienia oraz uniemożliwiać wykrycie szkodliwych programów z
sygnaturami.
Przekierowanie wejścia-wyjścia
Główny słaby punkt polega na uruchamianiu wiersza poleceń z przekierowanego wejścia/wyjścia (zazwyczaj do
sieci), co może być używane do uzyskania zdalnego dostępu do komputera.
Szkodliwy obiekt próbuje uzyskać dostęp do wiersza poleceń atakowanego komputera, który zostanie wówczas
wykorzystany do wykonania poleceń. Po przeprowadzeniu zdalnego ataku i uruchomieniu skryptu wykorzystującego
tę lukę możliwe jest uzyskanie dostępu do komputera. Skrypt uruchamia interpretator wiersza poleceń na
komputerze połączonym poprzez TCP. W rezultacie, intruz może zdalnie zarządzać systemem.
Wtargnięciu do procesu / Wtargnięcie do wszystkich procesów
Istnieje niezliczona ilość odmian szkodliwych programów, które są maskowane jako pliki wykonywalne, biblioteki lub
wtyczki dla znanych aplikacji. Dzięki temu szkodliwe programu mogą być ładowane się do listy standardowych
procesów. Dlatego intruz może spowodować utratę danych na komputerze użytkownika. Ruch sieciowy utworzony
przez szkodliwy kod nie będzie oddzielany przez zaporę sieciową, dopóki jest wyświetlany jako ruch utworzony
przez program z dostępem do Internetu.
Trojany zazwyczaj przedostają się do innych procesów. Jednakże, takie aktywności są także typowe dla pewnych
nieszkodliwych programów, pakietów aktualizacyjnych i kreatorów instalacji. Na przykład, programy tłumaczące
przechodzą do innych procesów w celu śledzenia naciskania skrótów klawiaturowych.
Podejrzany dostęp do rejestru
Szkodliwe programy tak modyfikują rejestr, aby automatycznie uruchamiały się podczas ładowania systemu
operacyjnego, zmieniają stronę domową w Microsoft Internet Explorer i podejmują inne szkodliwe akcje. Zauważ, że
do rejestru systemu mogą także mieć dostęp popularne programy. Na przykład, pewne programy mogą tworzyć i
wykorzystywać niewidoczne klucze rejestru do ukrywania własnych poufnych informacji (włączając informacje
licencyjne) od użytkownika.
Szkodliwe programy tworzą ukryte klucze rejestru, które nie są wyświetlane przez żadne z dostępnych
standardowych programów (typu regedit). Utworzone są klucze z nieprawidłowymi nazwami. Ma to na celu uchronić
edytor rejestru przed wyświetlaniem tych wartości, co skutkuje problemami w diagnostyce szkodliwej obecności w
systemie.
Wysyłanie danych przy pomocy zaufanych aplikacji
Istnieje niezliczona ilość odmian szkodliwych programów, które są maskowane jako pliki wykonywalne, biblioteki lub
wtyczki dla znanych aplikacji. Dzięki temu szkodliwe programu mogą być ładowane się do listy standardowych
procesów. Dlatego intruz może spowodować utratę danych na komputerze użytkownika. Ruch sieciowy utworzony
przez szkodliwy kod nie będzie oddzielany przez zaporę sieciową, dopóki jest wyświetlany jako ruch utworzony
przez program z dostępem do Internetu.
75