Beveiliging

• Introductie
• Windows Defender
• Algemene firewall info
• Windows firewall
• Algemene info over virussen, spyware, e.d.
• Virus- en spywarescanners
• Gebruik van VirusTotal i.c.m. Sysinternals tools
• Rootkits en scanners
• Manieren waarop malware je PC kan binnendringen
• Wat je zelf kan doen om besmetting te voorkomen
• Verwijderen van malware met Sysinternals tools
• Links

Introductie

In hoofdlijnen moet je je tegen 2 dingen beschermen:

• Programma's/personen die proberen binnen te dringen op je PC, maar ook, en dat beseffen veel mensen niet, programma's die zonder dat je dat wilt een verbinding naar de buitenwereld proberen op te zetten.
  Daarvoor heb je een firewall nodig.
• Software die iets op je PC probeert te verzieken, zoals virussen, spyware en rootkits (een wat nieuwer fenomeen).
  Hiervoor heb je een virusscanner, spywarescanner, rootkitscanner of een combinatie nodig. Vooral virussen en spyware worden trouwens steeds meer op 1 hoop gegooid. De meeste scanners maken geen onderscheid meer tussen deze categorieën.

Naast gebruik maken van hulpmiddelen als firewalls en scanners, kan je zelf ook het nodige doen om problemen te voorkomen.

Windows Defender

Defender is het ingebouwde antivirus-programma van Microsoft. Het is niet zo slecht meer als het ooit was, maar toch kunnen er redenen zijn om Defender uit te willen schakelen.

Algemene firewall info

Vanaf het moment dat je PC met Internet verbonden is moet je een firewall actief hebben. Tegenwoordig hebben de kastjes (routers/modems) die voor de verbinding met de buitenwereld zorgen vaak ook al een ingebouwde firewall, dus in principe zou het moeilijk moeten zijn om je PC ongevraagd te benaderen vanaf het Internet.

Maar een firewall heeft nog een andere functie, nl. verhinderen dat programma's op je PC dingen naar buiten sturen zonder dat dat jouw bedoeling was. Een goede firewall vraagt dus bij elk nieuw programma dat verbinding met Internet probeert te maken aan de gebruiker of hij daar toestemming voor geeft, en zo ja, eenmalig of (min of meer) permanent.

In principe hoef je zo'n vraag maar 1 keer te beantwoorden. Maar als je bv. je browser vervangt door een hogere versie, ook al is het maar 10.1 door 10.2, dan is het niet meer hetzelfde programma en krijg je de vraag opnieuw.

Er zit standaard een firewall in Windows ingebouwd, maar die is, zoals de meeste Microsoft produkten, zeer middelmatig.

ZoneAlarm

Als je meer mogelijkheden wilt kan je ook nadenken over de gratis versie van ZoneAlarm. Je kan naast alleen de firewall (ZoneAlarm Free Firewall) ook kiezen voor een combinatie met antivirus (ZoneAlarm Free Antivirus + Firewall), maar daar heb ik geen ervaring mee.

In tegenstelling tot de Microsoft firewall bestookt die je wel af en toe met lastige vragen (of een programma toegang tot Internet mag hebben), waarop het antwoord vaak zelfs voor een expert niet zo eenvoudig is. Hier meer info over ZoneAlarm.

Emsisoft firewall (Online Armor)

En als je het echt goed wilt doen kan je het beste de firewall van Emsisoft aanschaffen (niet gratis, dus), maar die produceert nog ingewikkelder vragen dan ZoneAlarm

Windows firewall

Windows firewall uitschakelen

Als je een andere firewall, zoals ZoneAlarm hebt draaien, kan je het beste de ingebouwde Windows firewall uitschakelen. Dat doe je als volgt:

• Open het Configuratiescherm (Control Panel).
• Klik met rechts op LAN-verbinding (Local Area Connection). De naam zou anders kunnen zijn, maar hij moet in elk geval staan in de categorie LAN- of snelle Internet-verbinding (LAN or High-Speed Internet).
• Klik dan op Eigenschappen (Properties).
• Klik op tabblad Geavanceerd (Advanced), en dan op de knop Instellingen (Settings).
• Je staat nu als het goed is op het tabblad Algemeen (General). Klik op Uitgeschakeld (niet aanbevolen) (Off (not recommended)). Misschien krijg je nog een extra waarschuwing waarin om bevestiging gevraagd wordt.

ZoneAlarm

Onderstaand info over problemen met dit programma, de lastige vragen die het stelt, en later uitleg over de meer ingewikkelde aspecten van het programma.

Betekenis van de vragen die ZoneAlarm stelt

Problemen met ZoneAlarm

ZoneAlarm niet te killen met Taakbeheer, Process Explorer e.d.

Je kan ZoneAlarm afsluiten via het icoontje in het systeemvak (system tray).

Maar als er een probleem is (ik heb momenteel een vraag openstaan die nergens meer op reageert), dan heb je dus geen enkele manier meer om het programma te sluiten. Ondertussen slurpt het wel 50% van mijn CPU-capaciteit op.

Enige oplossing lijkt dus PC te herstarten.

Extra uitleg over ZoneAlarm

Emsisoft

Onderstaand info over problemen met dit programma, de lastige vragen die het stelt, en later uitleg over de meer ingewikkelde aspecten van het programma.

Vragen die door Online Armor gesteld worden

Problemen met Online Armor

Extra uitleg over Online Armor

Algemene info over virussen, spyware, e.d.

Malware is een verzamelnaam voor virussen, spyware, rootkits, en alle andere soorten software die slechte bedoelingen hebben.

Functies van scanners

Virus- en spywarescanners hebben 2 belangrijke functies:

• Ze houden alles in de gaten wat er op de PC gebeurt, en verhinderen dat malware je PC besmet.
  Deze functie wordt vaak iets genoemd als online shield, een soort schild dat malware tegenhoudt;
• Ze verwijderen malware als die onverhoopt je PC toch heeft besmet.
  Dit is waarom het een virusscanner wordt genoemd. De functie van de scanner is het doorzoeken van de PC op malware, en die verwijderen, in quarantaine plaatsen, of wat de gebruiker maar wil.

Vertraging door scanners

Een complete scan van een PC kan aardig lang duren. Dat is op zich nog niet zo erg, maar sommige scanners gebruiken zoveel van de capaciteit van de computer, dat je zelf bijna niet meer kunt werken. De ene scanner doet dat veel meer dan de andere, en een term voor het beslag dat een scanner op je PC legt is de zgn. footprint. Op mijn werk kan ik regelmatig door de MacAfee scanner 1 a 2 uur nauwelijks werken omdat hij 30 procent van de capaciteit van de CPU (rekeneenheid) gebruikt.

Los van het kiezen van een scanner met een lage footprint, zijn er nog andere oplossingen voor dit probleem. In bijna elke scanner kan je instellen wanneer de scan moet gebeuren. Als je weet dat je PC rond etenstijd vrijwel altijd aanstaat, laat de scanner dan in die periode draaien. Of laat desnoods 1 x per week je PC 's nachts aanstaan.

Een echt goede scanner zal je zelfs de mogelijkheid bieden om te kiezen voor een kortdurende scan met veel beslag op het systeem, of een langdurige, trage scan waar je niet veel van merkt tijdens het werken op de PC.

Meerdere scanners naast elkaar op het systeem installeren

Je kan zoveel scanners naast elkaar installeren als je wilt, zolang je maar aan 1 voorwaarde voldoet: in maar 1 van de scanners mag de online shield functie geactiveerd zijn.

Als 2 (of meer) scanners bij elke actie op de PC tegelijk gaan zitten kijken of het wel in de haak is, kunnen ze elkaar flink in de haren zitten.

Deïnstalleren van scanners

Van op zijn minst 3 scanners weet ik dat ze soms moeilijk te verwijderen zijn als je wilt overschakelen op een andere: Norton, MacAfee en AVG Antivirus.

Soms zijn er speciale verwijderingsprogramma's. Ik geef hier echter geen links, omdat niet voor elke versie van de scanner hetzelfde verwijderingsprogramma gebruikt moet worden. Als je echter in Google zoekt op bv. "Norton removal tool", dan kom je vanzelf bij het gewenste programma terecht.

Virus- en spywarescanners

Introductie

Geen enkele virusscanner is perfect. Ook al gebruik je 1 scanner als online shield (een schild tegen nieuwe beschermingen), installeer nog een 2e scanner om af en toe een grondige scan van je PC te doen.

De virusscanners die je gebruikt als online shield en om je PC af en toe extra te scannen kan je het beste gewoon op de PC installeren. Maar besef dat er ook online scanners zijn, websites waar je naar toe kunt gaan zodat ze vervolgens vanaf Internet je PC analyseren, en portable virusscanners.

False positives

Bijna alle scanners geven verschillende resultaten, en soms heb je sterke twijfels over of een bestand door een virusscanner terecht als besmet wordt bestempeld.

In dat geval kan je het bestand uploaden naar de website Jotti. Het wordt daar door zo'n 20 verschillende scanners gehaald, en als bv. maar 2 van de 20 zeggen dat het bestand besmet is zou het kunnen zijn dat het gaat om een false positive.

Emsisoft Antimalware

Dit produkt en MBAM behoren tot de betere, hoewel ze allebei relatief onbekend zijn. Maar zie bv. deze pagina op de site van Emsisoft, waar je diverse tabelletjes kan vinden over de prestaties van Emsisoft.

Emsisoft Emergency Kit (gratis)

Je kan sowieso gratis een eenmalige scan doen met de Emsisoft Emergency Kit, die je zelfs niet eens hoeft te installeren. Je kan hem dus ook vanaf een USB-stick uitvoeren, en je kan hem hier downloaden.

Klik in de map EEK op het programma start.exe, en daarna op Emergency Kit Scanner. Waarschijnlijk zal er dan een melding komen over dat er miljoenen definities geladen worden (zelfs als je ze een half uur eerder al gedownload hebt, maar dan hoef je nu niet lang te wachten).

Er staan nu 4 vakken op het scherm, en in het 1e zal waarschijnlijk staan Update nu!, als de virusdefinities niet up-to-date zijn (anders is het vak groen, en staat onderin VIRUSDEFINITIES ZIJN ACTUEEL). Bij mij staat onderin het blok:
LAATSTE UPDATES 101 DG GELEDEN
VIRUSDEFINITIES ZIJN VEROUDERD

Na klikken op het 1e vak kan het downloaden wel even duren. Je ziet het voortgangspercentage in beeld.

Daarna kan je in het 2e vak klikken op MALWARE SCAN of AANGEPASTE SCAN. In het 1e geval worden alle aangesloten harde schijven gescand met standaardopties.

In het 2e geval staan onder Aangepaste Scan linksboven de schijven die gescand gaan worden. Door een schijf te selecteren en dan rechts te klikken op Map verwijderen kan je deze schijf uitsluiten van de scan.

De opties zou ik laten zoals ze zijn. Evt. kan je op de i erachter klikken om meer informatie over de optie te krijgen.

En daarna kan je rechtsonder klikken op Scan starten.

Na afloop van de scan zie je een lijst van de gevonden virussen (die hopelijk helemaal leeg is), en aan het eind van elke regel hoog groot het risico is.

Standaard zijn alle items geselecteerd (met een vinkje ervoor). Door op het plusje eronder te klikken kan je zien in welke bestanden dit item voorkomt.

Je hebt 3 acties tot je beschikking (nadat je evt. nog een aantal items gedeselecteerd hebt): niets doen, verwijderen, of in quarantaine zetten. Het voordeel van het laatste is dat je de actie evt. weer ongedaan kan maken.

MalwareBytes AntiMalware (MBAM)

De gratis versie kan je hier downloaden, en je ziet op deze pagina ook meteen duidelijk de verschillen met de betaalde versie.

Vipre

Vipre is niet gratis, maar wel zeer voordelig als je legale gebruiker wilt zijn en veel PC's hebt. Je mag het met 1 licentie op zoveel PC's in je huis installeren als je wilt. Dat biedt bijna geen enkel ander pakket.

Omdat een vriend er positieve ervaring mee had of er positieve verhalen over gelezen had (dat weet ik even niet meer) besloot ik het aan te schaffen.

Omdat Vipre een paar jaar geleden (ca. 2010) nog vrij nieuw was in de anti-virus wereld, schenen ze zich te onderscheiden door hun uitmuntende service. Daar heb ik echter andere ervaringen mee.

Ten eerste bleef mijn mailprogramma (Thunderbird) regelmatig hangen als Vipre weer eens meende een virus tegen te komen bij het binnenhalen van mijn mailtjes. Een virusscanner behoort (afhankelijk van de instellingen) op zo'n moment gewoon iets te doen met het besmette mailtje, of aan mij vragen wat er moet gebeuren, maar niet het ophaalproces opknopen.

Ten tweede beantwoordde ik een mailtje met alleen tekst, dat probleemloos was ontvangen, door zelf een stuk tekst toe te voegen en het te versturen. Dat mocht echter niet van Vipre, want er zat een virus in. Dat kan dus niet, dat er geen virus in zat bij het binnenhalen, en ineens wel nadat ik wat tekst had toegevoegd (en geen bijlages).

Nou zit in elk produkt wel eens een foutje, maar vervolgens ging de communicatie met de helpdesk bijzonder moeizaam. Het 1e wat ik de medewerker vroeg was om mijn mailtje, dat ik hem toegestuurd had (met de virusscanner uit), zelf ook eens te versturen (desnoods aan zichzelf). Dan zou hij dus ook de melding moeten krijgen. Pas na 4 mailtjes heen en weer, telkens opnieuw stellen van dezelfde vragen, etc., zou hij dat dan eindelijk gaan proberen. En sindsdien nooit meer iets gehoord.

Kortom: afrader!!!

AVG Antivirus

Ik heb zeker zo'n 5 jaar lang (t/m ca. 2010) dit produkt aan al mijn vrienden aangeraden, en had het ook zelf op veel van mijn PC's geinstalleerd.

Maar met elke versie werd ik minder enthousiast. Het produkt werd steeds groter en trager, en er draaiden steeds meer processen op de PC speciaal voor dit pakket.

Dat is eigenlijk mijn grootste bezwaar tegen AVG, het beslag dat het pakket op de PC legt. Uit testen komt deze scanner er zeker voor een gratis programma bepaald niet slecht van af.

Ad-Aware

Lavasoft heeft een gratis spywarescanner, die tegenwoordig geloof ik ook virusscanner is.

Deïnstallatieproblemen

Met de niewste versie moet je behoorlijk oppassen. Ik had hem geïnstalleerd, maar was er na korte tijd zat van (omdat bepaalde functies niet werkten). Ik wilde het product op de reguliere manier deïnstalleren, maar maakte daarbij een grote fout.

In de lijst met producten stond Ad-Aware nl. 2 keer, het hoofdprodukt en de bescherming tegen het bezoeken van gevaarlijke websites. Helaas besloot ik het hoofdprodukt eerst te deïnstalleren. Maar de Browsing Protection zit geintegreerd in Internet Explorer, en is natuurlijk ook verweven met het hoofdprodukt van Ad-Aware. De consequentie was dat ik zowel Internet Explorer niet meer kon starten, als Browsing Protection niet meer kon deïnstalleren.

Ik heb verschillende dingen geprobeerd: een Reset op het Advanced tabblad van Internet Options (daarvoor hoef je Internet Explorer niet te starten); opnieuw intstalleren van Ad-Aware, en proberen eerst de Browsing Protection te deïnstalleren.

In het 2e geval raakte ik wel beide componenten van Ad-Aware kwijt, maar IE is nog steeds niet te starten. Ik denk dus dat ik er niet aan ontkom om IE volledig te verwijderen van het systeem en opniew te installeren.

Gebruik van VirusTotal i.c.m. Sysinternals tools

VirusTotal.com maakt gebruik van meer dan 50 virusscanners (veel bekende, maar ook een aantal zeer onbekende) om de checksums van uitvoerbare bestanden te controleren.

Afhankelijk van het aantal virusscanners dat zegt dat er iets niet klopt, moet je je meer of minder zorgen gaan maken.

De Sysinternals tools Process Explorer, Autoruns en sigcheck kunnen nu gebruik maken van deze website, waardoor je in 1 keer hele lijsten van processen kunt laten controleren.

Hier is de uitleg voor Process Explorer, en hier die voor sigcheck.

Rootkits en scanners

Introductie

Rootkits zoeken met GMER (versie 2.1.18952)

Dit programma is bepaald niet voor beginners. Ik denk dat zelfs veel gevorderde computergebruikers (inclusief mijzelf) moeite zullen hebben met het interpreteren van de resultaten.

Plezierig is dat je het programma niet hoeft te installeren. Bij het downloaden wordt je aangeraden de EXE-file te downloaden. Let dan even goed op de naam van de file, want hij heet niet gmer.exe, zoals je zou verwachten (omdat bepaalde malware hem dan herkent en blokkeert cq. uitschakelt). Er wordt een willekeurige naam gegenereerd, bv. k8055bqy.exe

Scan

Als je GMER start wordt automatisch een scan gedaan op rootkits. Deze scan duurt doorgaans hooguit enkele minuten. GMER heeft een aantal tabbladen, die op het Rootkit/Malware tabblad na eerst verborgen zijn (klik op de pijltjes om de overige tabbladen te zien).

Resultaten

Op dit moment moet ik het hoofdzakelijk hebben van wat er staat in de kolommen Name en Value. Op mijn werk bv. staat in bijna alle gevonden "malware" de naam McAfee, hetgeen de maker van de virusscanner is. Dit lijken dus 'false positives' te zijn.

Verklaring Rootkit/Malware tabblad

De checkbox ADS staat voor Alternate Data Streams.

Als je met rechts klikt op het scherm, en dan op Options, kan je klikken op IRP hooks. Als je dan weer op Scan klikt duurt de scan veeeeeel langer.

Manieren waarop malware je PC kan binnendringen

Alternatieve datastromen (Alternate Data Streams)

Zeker in Windows XP en lager is het heel gemakkelijk om in een simpel tekstbestandje een compleet virus mee te smokkelen, zonder dat je daar iets van ziet (bv. dat het bestand groter wordt).

Er bestaan speciale scanners voor ADS-sen. Ik heb er hier meer over geschreven.

Wat je zelf kan doen om besmetting te voorkomen

Bezoeken van websites

Er zijn heel wat websites op het Internet waar je besmet kunt raken, puur door de site te bezoeken. En soms zullen de beheerders ervan zich niet eens bewust zijn van het feit dat hun site malware verspreidt, omdat een hacker met slechte bedoelingen (hacker betekent officieel eigenlijk alleen iemand die veel technische kennis heeft, en graag nog veel meer wil leren) er heeft ingebroken.

Veel virus- en spywarescanners controleren tegenwoordig ook de sites die je bezoekt. Maar dat is ongetwijfeld niet waterdicht. Pas dus ook zelf op waar je heen gaat (zeg ik tegen downloaders van illegale software, bezoekers van pornosites, etc.), en scan desnoods je PC vaker en/of met meer scanners. (Dat laatste is nog belangrijker.)

Bezoeken van privacy-gevoelige websites (banken, winkels, overheid)

Als je gaat naar de site van je bank, wilt betalen bij een winkel, of bv. iets met je Digid wilt doen, dan hoort het adres in de adresbalk van de browser niet te beginnen met http:// (zoals meestal), maar met https:// (de 's' staat voor security = veiligheid).

Als je betaalt bij een winkel en er staat geen https, dan worden je gegevens onversleuteld over het Internet gestuurd, en dat is iets wat je niet wilt met je creditcard, bankrekeningnummers, etc.

Klikken op links in mailtjes

Kijk bij bv. mailtjes van je bank (of bv. je provider) heeeeel goed of het wel echt van je bank komt. Zeker banken sturen niet zo vaak mailtjes. En al helemaal niet in gebrekkig Nederlands. En nog minder met het verzoek om je password even in te vullen nadat je op hun link hebt geklikt.

Het doel is vaak waar het in de vorige sectie over ging, nl. je terecht te laten komen op een website die niet deugt. En nog mooier natuurlijk als je dan ook nog je bankgegevens prijsgeeft.

Maar pas ook goed op met alle kettingbrief-achtige fenomenen. Bv. over een kindje van 8 jaar dat aan kanker dreigt te overlijden.

Openen van bijlagen bij mailtjes

Hier is natuurlijk ook al ontelbare malen voor gewaarschuwd: als een bijlage er ook maar enigszins verdacht uit ziet, niet openen ook al komt ie van je beste vriend. Neem dan evt. eerst contact op met die vriend om te vragen of hij de mail bewust verstuurd heeft (kan ook door een virus gebeurd zijn), en of hij zelf een antivirusprogramma heeft draaien.

Verwijderen van malware met Sysinternals tools

Introductie

Is het niet beter om in geval van een malware-besmetting de hele schijf schoon te poetsen?

Sommigen zijn daar voorstander van, waarschijnlijk dezelfde mensen die ook bij elk probleempje Windows opnieuw willen installeren.

Als je niets bijzonders op je harde schijf hebt staan zou je voor die strategie kunnen kiezen, maar je kan ook pragmatisch zijn.

Als je denkt dat je de malware op je systeem hebt geïdentificeerd, waarom dan niet gewoon verwijderen?!

Een korte beschrijving van het proces

Voer om te beginnen de volgende stappen uit:

• Verbreek de verbinding met het netwerk.
  Anders loop je het risico dat je bezig bent de PC te schonen terwijl er tegelijkertijd weer nieuwe malware binnengehaald wordt.
• Zoek uit welke processen en stuurprogramma's schadelijk zijn.
  Dit is de verkenningsfase.
• Beëindig de betreffende processen.
  Als je er redelijk zeker van bent dat je de boosdoener(s) gevonden hebt, zorg er dan voor dat ze je niet meer in de weg zitten.
• Zoek uit welke malware automatisch gestart wordt.
• Verwijder alle bestanden die bij de malware horen.
• Herstart het systeem, en herhaal evt. het hele proces opnieuw.
  Je weet nooit zeker of je de 1e keer alles gevonden of grondig verwijderd hebt.

Waaraan kan je malware herkennen?

Let op de volgende zaken:

• Processen die geen icoontje in hun uitvoerbare bestand hebben.
• Programma's die geen beschrijving of bedrijfsnaam in hun eigenschappen hebben.
• Programma's die zogenaamd van Microsoft zijn, maar niet digitaal ondertekend zijn (unsigned zijn).
• Programma's die in een Windows map of in het gebruikersprofiel zitten, i.p.v. op de gebruikelijke plaats, in de map Program Files
• Programma's die ge-packed zijn (later meer daarover). Je kan ze in elk geval met Process Explorer herkennen.
• Programma's die vreemde web-adressen in hun uitvoerbare bestand hebben.
• Programma's die verbindingen hebben met dubieuze landen.
• Programma's waar verdachte DLL's of services in zitten.

Al deze onderdelen worden vanzelfsprekend later uitvoeriger uitgelegd.

Process Explorer

Als je hier serieus mee bezig wilt zul je af moeten stappen van Taakbeheer (Task Manager) en Process Explorer moeten gaan gebruiken.

Ouder-kind relaties

In de boomstructuur van dit programma zie je welk proces het "kind" is van welk ander proces.

Zo zal elk proces dat kind is van services.exe een Windows service zijn.

Als malware het kind is van een proces, dan zou dat proces dus ook geïnfecteerd kunnen zijn.

Icoontje, beschrijving en bedrijfsnaam

In principe zie je op elke regel vooraan een icoontje, hoewel een hoop regels (zoals dat van Verkenner) hetzelfde icoontje hebben. Dat is het icoontje dat ook hoort bij de commandoregel.

In de kolommen Description en Company Name zie je normaal gesproken beschrijving en bedrijfsnaam (in veel gevallen Microsoft).

Als deze kolommen niet ingevuld zijn is dat een extra reden om alert te zijn.

Gebruik Window Finder om te achterhalen waar een venster bij hoort

Als je een popup- of ander venster krijgt waarvan je niet weet waar het vandaan komt, kan daar zo achter komen.

Zoek online om onbekende processen te identificeren

Als je met je zoekmachine naar een proces wilt zoeken kan je Ctrl+M doen of klikken op Process - Search Online (nadat je vanzelfsprekend het proces geselecteerd hebt).

Dat werkt echter niet altijd (of tegenwoordig vaak niet meer), omdat de malware zo slim is om steeds een nieuwe naam voor zichzelf te genereren. Iedere gebruiker met dezelfde malware ziet dus een andere naam.

Kijk in processen, bv. svchost en rundll

Bepaalde processen zijn een soort container voor andere processen, zoals de talloze svchost-processen die er op een Windows-PC draaien.

Door met de muis over zo'n proces te bewegen, zie je wat er allemaal onder dat proces valt.

Dat geldt ook voor rundll32-processen. Veel malware verbergt zich in zo'n proces.

Als je een voorbeeld van zo'n proces wilt zien, start dan een willekeurig applet uit het Configuratiescherm (Control Panel).

Besteed extra aandacht aan processen met de kleur paars

Paars houdt in dat de programma's op de disk gecomprimeerd en/of versleuteld zijn. Pas in het geheugen worden ze gedecomprimeerd en gedecrypt.

Dit is natuurlijk ideaal voor malware, omdat het betekent dat virusscanners ze tijdens het scannen van de disk niet kunnen herkennen.

Pagina's van de eigenschappen die bij malware analyse van belang zijn

De eigenschappen van een proces zijn weergegeven op 10 tabbladen, en 3 ervan zijn van belang voor malware analyse.

Image

Je kan van alle programma's in 1 keer controleren of ze digitaal ondertekend (signed) zijn, maar je kan het op dit tabblad ook voor individuele programma's doen.

Klik op Verify, en op de 2e regel van het tabblad zou voor de fabrikant (Verified) moeten komen te staan. Bijna alle Microsoft code is signed.

Er zou ook kunnen verschijnen: (No signature was present in the subject). Dat is een iets minder goed teken.

N.B.: Je hebt hiervoor wel een Internet-verbinding nodig, omdat er contact wordt gemaakt met een Certificate Revocation List (CRL) server.

(Je kan het controleren op ondertekende bestanden ook doen met een andere tool van SysInternals.)

Op ditzelfde tabblad kan je ook de versie (Version) van het programma zien, de plek waarvandaan het gestart is (Autostart Location) en de tijd waarop het gestart is (Started).

TCP/IP

Open endpoints.

Strings

Op dit tabblad zie je een lijst van leesbare tekenreeksen in het uitvoerbare bestand.

1 van de dingen waaruit je zou kunnen zien dat er iets niet in de haak is, is als je een dubieus Internet-adres ziet.

Het probleem is dat packed programma's (paars) alleen maar troep laten zien omdat ze op de schijf gecomprimeerd en/of versleuteld zijn.

In dat geval geval kan je op de Memory-knop klikken, en zie je de tekenreeksen nadat ze in het geheugen geladen zijn (en dus niet meer gecomprimeerd e.d. zijn).

Digitaal ondertekend?

Ik heb hier beschreven hoe je kan controleren of processen en DLL's digitaal ondertekend zijn.

Processen die niet digitaal ondertekend zijn moet je extra in de gaten houden.

Wat doe je als je een schadelijk proces gevonden hebt?

Je 1e impuls zal waarschijnlijk zijn het proces de nek om te draaien.

Dat is dan een foute impuls. Malware is vaak zo slim gemaakt dat er een speciaal programma of service actief is die bewaakt of het hoofdproces nog wel draait, en zo niet, onmiddellijk een nieuwe versie start. Dat schiet dus niet op.

Process Explorer heeft een veel slimmere mogelijkheid: een suspend doen van het proces. Dat betekent dat het proces nog steeds "actief" is, alleen effectief stilstaat.

Je doet dit door rechtsklikken op een proces, en dan op Suspend

AutoRuns

Na het identificeren en afschieten van de malware, moet je er nu voor zorgen dat die processen niet opnieuw gestart worden als je de PC herstart.

Dat kan mooi met de SysInternals tools AutoRuns.

Om alle onnodige troep kwijt te raken, klik je op Options - Filter Options, en zet dan vinkjes voor Verify Code Signatures en Hide Microsoft Entries

Waar je nu i.h.b. op moet letten zijn rode regels. Dat zijn de niet ondertekende programma's.

De witte regels zijn van programma's die niet van Microsoft zijn, maar wel ondertekend zijn, en de gele regels horen bij bestanden die niet gevonden zijn.

Als je een verdacht proces ziet kan je het in het register opzoeken (rechtsklikken op het proces en dan Jump to Entry), kan je het bijbehorende bestand op de schijf opzoeken (rechtsklikken op het proces en dan Jump to Image), kan je op Internet naar het proces zoeken (rechtsklikken op het proces en dan Search Online) en kan je de eigenschappen bekijken (rechtsklikken op het proces en dan Properties).

Door het vinkje voor de regel weg te halen schakel je het proces uit.

Aan het eind van elke regel zie het tijdstip waarop het proces voor het laatst gewijzigd is. Dat zou ook behulpzaam kunnen zijn bij het bepalen of een proces schadelijk is.

Process Monitor

Wanneer je last blijft houden van malware, ondanks dat je meent het te hebben uitgeschakeld met Process Explorer en AutoRuns, dan ga je gebruik maken van deze tool.

Process Monitor geeft zoveel output dat je de ruis eruit moet halen. Als je zoekt naar malware is een goede optie om het volgende filter in te stellen: Category is Write

SysInternals tools werken niet meer

Sommige malware zorgt er zelfs voor dat de SysInternals programma's niet werken, of dat je niet naar hun website kunt gaan.

In dat geval kan je het beste de PC starten in safe mode.

Goede kans dat het dan wel lukt om de malware te vinden en uit te schakelen.

Speciale punten waar je op moet letten zijn de registersleutel RunOnce in AutoRuns, en bepaalde bestandlocaties.

Sinds Windows XP is het moeilijk voor malware om te schrijven naar de mappen waar de andere programma's zitten, omdat je daar extra rechten voor nodig hebt.

Vaak zal de malware zitten in de map \Users\Gebruikersnaam\AppData

Je hebt 3 soorten veilige modus, en soms is het nodig om de meest uitgeklede versie te starten, en dat is Safe Mode with Command Prompt

Links

Eyes Above The Waves

Robert O'Callahan pleit er voor om alle antivirusprogramma's behalve die van Microsoft uit te schakelen. Er zit wel wat in, maar dan zou ik die van Microsoft ook meteen meenemen. 1 van zijn argument is nl. de performance.

How to permanently disable Microsoft Defender Antivirus on Windows 10 (3-12-2020)

Uitschakelen van Microsoft antivirus (Defender).