Cara mendeteksi persistensi berbahaya setelah infeksi malware.

Anda mungkin merasa komputer Anda bertingkah aneh: butuh waktu lebih lama untuk menyala, kipas terus berputar meskipun Anda tidak melakukan apa pun, atau Anda melihat pesan yang tidak masuk akal. Kita sering mengaitkan hal ini dengan komputer yang sudah tua atau terlalu banyak program yang terinstal, tetapi seringkali bukan itu penyebabnya. “Kelangkaan” adalah jejak infeksi dan kegigihan yang jahat. yang sudah menempel pada sistem.

Setelah terjadi infeksi, masalah terbesar bukan hanya virus awal, tetapi juga semua hal yang dapat tetap berjalan di latar belakang: layanan tersembunyi, tugas terjadwal, pintu belakang… Dalam artikel ini, kita akan membahasnya secara detail. Bagaimana mendeteksi persistensi berbahaya setelah infeksi?Gejala apa saja yang seharusnya membuat kita waspada, bagaimana cara menyelidikinya di Windows dan macOS, alat apa yang dapat digunakan untuk membersihkan sistem, dan langkah-langkah apa yang harus diambil untuk meminimalkan risiko infeksi ulang.

Apa itu persistensi berbahaya dan mengapa hal itu sangat berbahaya?

Ketika kita berbicara tentang persistensi berbahaya, yang kita maksud adalah semua mekanisme yang digunakan malware agar tetap aktif setelah restart dan mampu bertahan bahkan dari upaya pembersihan dasar. Ini bukan hanya file yang terinfeksi, tetapi juga sejumlah besar perubahan sistem: kunci registri, layanan, driver, tugas terjadwal, modifikasi browser, dan sebagainya.

Malware modern seringkali datang dalam bentuk “Paket” yang menggabungkan virus, Trojan, worm, dan rootkit., dan bahkan variannya malware tanpa fileBanyak dari komponen ini diinstal pada tingkat kernel atau sebagai driver perangkat, sehingga terintegrasi secara mendalam ke dalam sistem operasi dan disamarkan dalam registri serta di area yang tidak terlihat oleh pengguna biasa.

Selain itu, terdapat seluruh keluarga malware yang dirancang untuk Menipu pengguna dengan masalah palsu atau solusi palsu.Ini termasuk scareware, ransomware, dan hostageware, yang mensimulasikan kerusakan perangkat keras atau infeksi serius untuk menipu Anda agar membayar program pembersihan yang seharusnya berfungsi. Varian lainnya mengalihkan browser Anda ke situs web tertentu untuk menghasilkan pendapatan dari kunjungan, atau mengubah komputer Anda menjadi bagian dari botnet spam.

Tanda-tanda jelas bahwa upaya persistensi yang jahat mungkin ada.

Meskipun tidak ada satu gejala pun yang merupakan bukti pasti, ketika beberapa tanda mulai muncul, sebaiknya kita mencurigai adanya suatu penyakit. kemungkinan infeksi aktif dan menetap dalam sistem. Berikut adalah tanda-tanda paling umum yang diidentifikasi dalam berbagai panduan teknis dan pengalaman produsen keamanan:

1. Penyumbatan, kesalahan aneh, dan kegagalan sistem

Layar biru Windows yang terkenal, kerusakan acak, program macet saat dibuka, atau pesan kesalahan berulang yang sebelumnya tidak muncul Pesan-pesan tersebut merupakan tanda bahwa ada sesuatu yang berubah dalam sistem. Tidak selalu berupa malware, tetapi jika bertepatan dengan gejala lain, hal itu perlu diselidiki.

2. Sistem sangat lambat tanpa alasan yang jelas.

Salah satu tanda yang paling sering muncul adalah tim tersebut menjadi jauh lebih lambat saat memulai, membuka aplikasi, atau berpindah-pindah di dalam sistem.bahkan saat Anda tidak menjalankan aplikasi berat (game, pengeditan video, dll.).

Jika Anda melihat kecepatan kipas meningkat, penggunaan CPU atau memori melonjak di Task Manager atau Activity Monitor, padahal Anda hanya membuka beberapa aplikasi biasa, sangat mungkin bahwa Sebuah proses berbahaya sedang mengonsumsi sumber daya di latar belakang. untuk mengirim spam, menambang mata uang kripto, berpartisipasi dalam serangan DDoS, atau memata-matai aktivitas Anda.

3. Aktivitas hard drive yang tidak normal

Saat komputer Anda dalam keadaan idle tetapi Anda melihat lampu indikator hard drive atau SSD berkedip terus menerus, atau Anda mendengar disk mekanik terus-menerus membaca dan menulis, mungkin itu adalah Beberapa komponen berbahaya memanipulasi file, menghasilkan log, atau mengenkripsi informasi. tanpa kamu sadari.

Aktivitas disk yang tinggi tanpa sebab yang jelas, terutama tepat setelah startup atau ketika tidak ada pembaruan yang sedang berlangsung, dianggap sebagai indikator klasik kemungkinan infeksi aktif.

4. Jendela, bilah alat, dan elemen visual yang tidak Anda instal

Gejala lain yang sangat khas dari persistensi adalah bahwa Toolbar tambahan muncul di browser, ekstensi yang tidak dikenal. atau bahkan halaman beranda dan mesin pencari yang berbeda, tanpa Anda mengubahnya.

Demikian juga, jika mereka mulai keluar jendela pop-up muncul bahkan saat browser ditutupJika Anda melihat iklan yang sangat agresif dan di luar konteks, kemungkinan besar Anda telah menginstal adware atau malware yang tetap aktif setiap kali Anda menghidupkan komputer.

5. Pesan, pemberitahuan, dan perubahan yang "aneh" pada program yang sah.

Malware dapat menyebabkan Kotak dialog muncul yang memperingatkan bahwa file atau program tertentu tidak dapat dibuka.atau pesan peringatan tentang dugaan infeksi dari aplikasi yang belum pernah Anda instal.

Ini juga merupakan pertanda buruk bahwa Program terbuka sendiri, tertutup tanpa alasan, atau meminta akses internet tanpa persetujuan Anda.Ketika aplikasi tepercaya mengubah perilakunya dalam semalam, biasanya ada sesuatu yang terjadi di balik layar.

6. Aktivitas jaringan yang mencurigakan dan masalah dengan alamat IP Anda

Jika lampu lalu lintas pada router Anda terus berkedip saat Anda tidak sedang browsing atau mengunduh apa pun, kemungkinan besar ada masalah. ada proses tersembunyi yang berkomunikasi dengan server eksternal., mengirim spam, berpartisipasi dalam botnet, atau membocorkan data.

Dalam skenario yang lebih serius, Anda bahkan mungkin menerima peringatan bahwa Alamat IP Anda telah masuk daftar hitam. (daftar hitam atau daftar penolakan) karena spam massal atau aktivitas berbahaya. Ini biasanya menunjukkan bahwa komputer atau jaringan Anda digunakan untuk menjalankan kampanye spam atau serangan otomatis.

7. Email dan akun online yang diretas

Ketika kontak Anda mulai memberi tahu Anda hal itu Mereka menerima email aneh yang konon dikirim oleh Anda.Jika Anda menerima email mencurigai dengan tautan atau lampiran aneh yang tidak pernah Anda kirim, ada dua kemungkinan: komputer Anda terinfeksi dan mengirim email tanpa persetujuan Anda, atau seseorang telah mencuri kredensial Anda dan menggunakan akun Anda dari jarak jauh. Dalam kasus ini, disarankan untuk meninjau panduan tentang [topik yang relevan]. Cara mendeteksi email berisi malware atau phishing.

Hal ini juga cukup serius bahwa Email Anda tersangkut di kotak keluar.Anda mungkin menemukan pesan yang tidak Anda kenali di folder item terkirim, atau login mencurigakan ke webmail, media sosial, atau perbankan online Anda. Semua ini menunjukkan adanya infeksi yang terus-menerus yang dirancang untuk mencuri informasi atau kredensial Anda.

8. Perubahan aneh pada pengaturan sistem dan file yang hilang

Beberapa jenis malware dikhususkan untuk memodifikasi pengaturan sistem penting, menyembunyikan file, atau Menu kosong seperti menu Program di menu Mulai pada Windows.sehingga seolah-olah semuanya rusak atau hilang.

jika tiba-tiba Dokumen, folder, atau aplikasi hilang dari direktori disk utama.Jika Anda menyadari bahwa Anda tidak dapat mengubah wallpaper atau elemen desktop lainnya, Anda mungkin berhadapan dengan varian yang memanfaatkan rasa takut pengguna untuk membuat mereka membayar "perbaikan" yang dianggap tidak perlu atau memaksa penggunaan program palsu.

9. Menonaktifkan antivirus dan firewall

Sangat umum terjadi bahwa, segera setelah terinstal, malware mencoba untuk Nonaktifkan antivirus, blokir pembaruannya, atau cegah antarmuka agar tidak terbuka.Jika solusi keamanan Anda tampaknya dimatikan tanpa sepengetahuan Anda, atau jika ikon di system tray menghilang, ini merupakan hal yang perlu dikhawatirkan secara serius.

Hal serupa terjadi pada firewall: banyak kode berbahaya mencoba Nonaktifkan firewall sistem operasi atau firewall pihak ketiga. Hal ini memungkinkan komunikasi eksternal bebas dan pengunduhan lebih banyak komponen. Melihat firewall dimatikan tanpa alasan yang jelas merupakan indikator risiko tinggi.

10. Tanda-tanda lain dari perilaku sistem yang tidak biasa

Ancaman saat ini sangat beragam, jadi penting untuk mewaspadai tanda-tanda lain seperti... Pengalihan browser terus-menerus ke halaman yang tidak Anda minta.Pesan pop-up yang meniru sistem operasi untuk membuat Anda menginstal "utilitas" yang mencurigakan, ikon desktop baru yang tidak Anda ingat pernah unduh, atau ketidakmampuan tiba-tiba untuk membuka file yang dapat dieksekusi (.exe, .msi, .com).

Dalam beberapa kasus yang lebih canggih, perangkat tersebut dipasang. pengontrol mode kernel yang muncul di Pengelola Perangkat Windows sebagai perangkat plug and play tersembunyiFungsinya biasanya untuk mengganggu perangkat lunak antivirus, menyaring lalu lintas, atau menyembunyikan proses berbahaya lainnya, misalnya dengan DLL yang mencurigakan.

Bagaimana cara mendeteksi proses berbahaya dan persisten di Windows?

Windows menyediakan beberapa utilitas bawaan dan alat canggih untuk untuk menemukan proses berbahaya yang tetap aktif setelah infeksi.Titik kontrol pertama yang dapat diakses oleh setiap pengguna adalah Task Manager itu sendiri.

Menggunakan Pengelola Tugas

Untuk membukanya, Anda dapat mengklik kanan tombol Mulai dan memilih "Pengelola tugas"Atau, gunakan pintasan keyboard Ctrl + Alt + Delete dan pilih opsi yang sama. Setelah masuk, buka tab tersebut. “Proses” Anda akan melihat semua aplikasi dan proses yang berjalan beserta persentase CPU, memori, disk, dan jaringan yang mereka konsumsi.

Dalam pandangan ini, ada baiknya bertanya apakah Apakah ada nama proses atau aplikasi yang sama sekali tidak Anda kenali?Atau jika Anda mendeteksi satu aplikasi yang secara konsisten mengonsumsi sumber daya jauh lebih banyak daripada yang lain. Perilaku seperti ini sering kali mengindikasikan adanya malware dan perangkat lunak yang tidak diinginkan dan sangat agresif.

Cara mengaudit proses mencurigakan tanpa antivirus pihak ketiga

Mode aman dan alat canggih

Jika infeksinya lebih agresif, Anda bahkan mungkin tidak bisa Buka antivirus Anda, jalankan file .exe, atau sambungkan ke internet seperti biasa.Dalam kasus-kasus ini, disarankan untuk memulai ulang komputer. Mode aman dengan jaringanyang hanya memuat layanan sistem minimum dan seringkali mencegah malware untuk aktif.

Dari situ Anda dapat menggunakan alat-alat teknis seperti Process Explorer o Autoruns (dari Microsoft Sysinternals) untuk Lihat semua proses yang sedang berjalan dan semua titik startup otomatis sistem. (program startup, layanan, tugas terjadwal, ekstensi shell, dll.). Sebagian besar infeksi persisten cenderung muncul di utilitas ini jika Anda menjalankannya dengan hak akses administrator.

Jika malware telah memblokir ekstensi .exe dari registri untuk mencegah program pembersihan terbuka, ada trik yang berguna: Ubah nama file yang dapat dieksekusi menjadi .com dan coba buka lagi.Jika masih tidak berhasil, opsi paling praktis biasanya adalah melakukan booting ke mode aman, mencoba pemindaian lagi, atau mempertimbangkan instalasi ulang sistem operasi secara bersih.

Cara mengidentifikasi proses dan persistensi yang mencurigakan di macOS

Anda juga dapat menginstalnya di Mac. proses latar belakang, agen peluncuran, dan elemen login Malware tersebut tetap aktif setiap kali Anda menghidupkan komputer. Petunjuk visual pertama ada di bilah menu kanan atas, tempat ikon aplikasi yang sedang berjalan muncul, tetapi banyak malware tidak menampilkan ikon sama sekali.

Alat dasar untuk penelitian adalah Monitor Aktivitasyang dapat Anda buka dari Spotlight atau dari folder Utilitas. Setelah masuk, Anda akan melihat daftar semua proses aktif beserta penggunaan CPU, memori, daya, disk, dan jaringan.

Jika Anda mengamati suatu proses yang tidak dikenal dengan penggunaan sumber daya yang sangat tinggi, Anda dapat Pilih opsi tersebut dan tekan ikon informasi "i". untuk melihat jalur aplikasi terkait, pengguna yang menjalankannya, dan detail lainnya. Sama seperti di Windows, banyak proses sistem terletak di jalur standar (/System, /usr, dll.), sementara Malware sering bersembunyi di folder pengguna, folder sementara, atau subdirektori yang tidak lazim..

Jika Anda menemukan proses yang Anda anggap mencurigakan, Anda dapat mencoba untuk Selesaikan dari ikon dengan tanda “x” di bagian atas.Jika kinerja sistem membaik setelah menghentikan program tersebut, kemungkinan besar program tersebut mengonsumsi sumber daya secara berlebihan. Namun, untuk memastikan program tersebut tidak berjalan kembali saat sistem dihidupkan ulang, Anda harus menjalankan pemindaian menyeluruh dengan solusi keamanan yang kompatibel dengan macOS dan memeriksa item startup (LaunchAgents, LaunchDaemons, item login).

Ketika Anda tidak melihat sesuatu yang jelas-jelas berbahaya tetapi komputer masih mengalami kerusakan, Activity Monitor memungkinkan Anda untuk... jalankan diagnostik sistem dengan menggunakan ikon roda gigi. Tes ini dapat membantu mengidentifikasi proses atau layanan yang menyebabkan masalah kinerja atau perilaku yang tidak biasa.

Pindai sistem dengan perangkat lunak anti-malware khusus.

Setelah semua petunjuk terkumpul (gejala, proses yang mencurigakan, perubahan yang tidak biasa, dll.), langkah selanjutnya adalah jalankan satu atau lebih pemindaian antimalware mendalamDi sini penting untuk memperjelas dua hal:

Di satu sisi, ada program antivirus waktu nyatayang selalu memantau sistem, dan pemindai sesuai permintaanIni hanya berfungsi saat Anda membukanya dan menjalankan pemindaian. Idealnya, Anda hanya perlu memasang satu mesin pemindaian waktu nyata untuk menghindari konflik, dan sesekali melengkapinya dengan pemindaian sesuai permintaan dari produsen lain.

Selain itu, Tidak ada antivirus yang mendeteksi 100% varian yang ada.Volume malware dan mutasi harian yang begitu besar membuat cakupan absolut menjadi tidak mungkin, jadi seringkali merupakan ide yang baik untuk menggabungkan beberapa alat jika Anda mencurigai adanya malware yang terus-menerus menyerang komputer Anda.

Langkah-langkah yang disarankan sebelum dan selama analisis

Untuk meningkatkan efektivitas proses pembersihan, disarankan untuk:

Putuskan sambungan komputer Anda dari internet. Sebelum memulai, putuskan komunikasi malware dengan dunia luar dan cegah agar tidak mengunduh komponen baru.
Mulai ulang dalam mode aman Jika memungkinkan, muat hanya layanan-layanan penting, sehingga memudahkan alat analisis untuk menghapus file yang terkunci.
Kosongkan file sementara (menggunakan alat pembersihan disk di Windows atau utilitas yang setara) untuk mengurangi jumlah item yang perlu diperiksa dan menghapus sisa-sisa unduhan yang mungkin digunakan oleh malware.

Setelah persiapan ini, Anda dapat menginstal dan menjalankan solusi yang telah teruji, seperti misalnya, Malwarebytes atau alat-alat lain yang diakui di industri ini.Praktik yang umum dilakukan adalah memulai dengan analisis cepat, yang memeriksa area paling kritis dan dapat memakan waktu 5 hingga 20 menit, dan kemudian, jika masih ada keraguan, melakukan analisis lengkap, yang dapat memakan waktu jauh lebih lama.

Selama pemindaian, alat akan menampilkan jumlah objek yang dianalisis dan berapa banyak Hal tersebut dianggap mencurigakan atau bahkan berniat jahat.Pada akhirnya, biasanya akan dihasilkan laporan hasil yang menunjukkan file, kunci registri, dan item boot mana yang telah terdeteksi.

Sebagian besar program ini secara otomatis menandai apa yang mereka anggap berbahaya sehingga Anda dapat Hapus atau karantina semua item yang dipilih sekaligus.Penting untuk memeriksa apakah semua yang akan Anda hapus benar-benar berbahaya atau tidak perlu, meskipun sebagian besar pengguna dapat mengikuti pilihan yang disarankan oleh alat itu sendiri.

Dalam beberapa kasus yang sangat serius, malware mampu Tutup atau blokir program antimalware itu sendiri saat sedang melakukan pemindaian.Ini menunjukkan bahwa hal tersebut terintegrasi secara mendalam ke dalam sistem. Dengan skenario ini, pilihan yang paling aman dan cepat biasanya adalah... Cadangkan data pribadi Anda dan lakukan instalasi ulang sistem operasi secara bersih.karena bersikeras untuk melakukan penghapusan secara manual dapat memakan waktu lebih lama dan tidak menjamin hasil yang sempurna.

Opsi pembersihan dan kapan perlu mempertimbangkan pemasangan ulang

Setelah infeksi terdeteksi dan analisis telah dilakukan dengan berbagai alat, Anda harus melakukan penilaian. Sejauh mana Anda percaya bahwa sistem tersebut benar-benar telah dibersihkan?Ada beberapa jalur yang mungkin:

Jika infeksinya relatif sederhana (adware, toolbar, pengalihan browser) dan analisis menunjukkan bahwa Semua komponen berbahaya telah dihapus.Anda mungkin dapat terus menggunakan perangkat setelah mengubah kata sandi dan memverifikasi bahwa semuanya berfungsi dengan benar.
Jika mereka telah terdeteksi rootkit, driver tingkat kernel, atau infeksi yang sangat agresif Jika hal tersebut memblokir perangkat lunak antivirus, memodifikasi proses booting, atau menghasilkan beberapa titik persistensi, rekomendasi profesional biasanya adalah untuk melakukan instalasi ulang lengkap sistem operasi.
Jika Anda merasa tidak nyaman menggunakan alat-alat ini atau tidak yakin apa yang harus dihapus, Anda memiliki pilihan untuk menyewa jasa teknis khusus Mintalah mereka untuk membersihkan rumah Anda, meskipun biasanya itu adalah layanan berbayar.

Bagaimanapun juga, bahkan jika Anda memilih untuk menginstal ulang, hal ini sangat penting. Jalankan pemindaian virus pada cadangan Anda.Drive USB, hard drive eksternal, dan media lain apa pun yang Anda rencanakan untuk dihubungkan kembali. Tidak masuk akal untuk memulai dari sistem yang bersih jika kemudian Anda memulihkan file yang berisi infeksi yang sama.

Bagaimana cara meminimalkan kemungkinan infeksi ulang?

Mendeteksi dan menghapus persistensi berbahaya hanyalah setengah dari perjuangan. Setengah lainnya melibatkan Terapkan kebiasaan dan langkah-langkah keselamatan untuk mencegah hal yang sama terjadi lagi dalam beberapa hari ke depan.Di antara praktik-praktik yang paling penting adalah:

Simpan sistem operasi dan semua program yang telah diperbarui dengan pembaruan keamanan terbaru, terutama untuk browser, paket aplikasi perkantoran, Java, framework, dan aplikasi yang terhubung ke internet.
Gunakan a antivirus waktu nyata atau, bahkan lebih baik, solusi yang lebih modern seperti EDR. (Deteksi dan Respons Titik Akhir) yang menambahkan kemampuan deteksi perilaku dan respons insiden tingkat lanjut.
Aktifkan dan konfigurasikan dengan benar firewallsehingga dapat menyaring lalu lintas masuk dan keluar sesuai dengan aturan yang masuk akal, mencegah koneksi yang tidak perlu dari aplikasi yang seharusnya tidak mengakses jaringan.
Evaluasi implementasi sistem deteksi dan pencegahan intrusi (IDPS), khususnya di lingkungan perusahaan, untuk mengidentifikasi pola serangan secara real-time dan memblokirnya.
Sentralisasikan log dan peristiwa keamanan menggunakan solusi. SIEM (Informasi Keamanan dan Manajemen Acara)yang membantu Anda mengkorelasikan aktivitas mencurigakan di berbagai perangkat dan layanan.
Lindungi informasi sensitif dengan cara berikut: enkripsi data saat diam dan dalam perjalanansehingga, meskipun terjadi pelanggaran keamanan, akan jauh lebih sulit untuk memanfaatkan informasi yang dicuri.
Saat bekerja jarak jauh, gunakan VPN yang aman untuk mengenkripsi lalu lintas antara perangkat Anda dan jaringan internal, mencegah kredensial atau data penting dicegat di jaringan Wi-Fi yang tidak andal.
Lakukan secara berkala pengujian penetrasi dan audit keamanan untuk menemukan kerentanan sebelum penyerang, menyesuaikan pengaturan dan kebijakan berdasarkan temuan tersebut.

Pertimbangan akhir

Dalam kehidupan sehari-hari, juga disarankan untuk mengambil tindakan pencegahan ekstra dengan email mencurigakan, tautan yang dipersingkat, lampiran yang dapat dieksekusi (.exe, .pif, .com, .src…) dan perangkat lunak yang diunduh dari sumber yang tidak terpercaya. Jika ragu, lebih baik menghapus email atau tidak menginstal program daripada mengambil risiko infeksi baru.

Terakhir, setelah kejadian apa pun, sangat disarankan untuk Periksa aktivitas semua akun online Anda. (perbankan, email, media sosial, layanan cloud) untuk memeriksa aktivitas yang tidak biasa, sesi yang dibuka dari lokasi yang mencurigakan, atau perubahan pada pengaturan, dan ubah semua kata sandi menggunakan pengelola kata sandi dan otentikasi multi-faktor jika memungkinkan.