5. Проверка памяти

Вторая секция текстового протокола – сканирование оперативной памяти на предмет вредоносного ПО и подозрительных объектов. В случае, если при сканировании ничего не обнаружено, AVZ ограничивается сообщением:

2. Проверка памяти

Количество найденных процессов: XXX

Количество загруженных модулей: XXX

Проверка памяти завершена

При обнаружении вредоносных процессов в протокол выводится соответствующая информация.

В этой секции сообщается и о присутствии исполняемых файлов в ADS:

c:\windows\system32\svchost.exe:exe.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

Понимать данную запись следует так: в одном из NTFS-потоков процесса c:\windows\system32\svchost.exe располагается файл exe.exe.

При исполнении второго Стандартного скрипта включается анализатор запущенных процессов, не опознанных по базе безопасных, так как скрипт номер 2 сканирует систему в «параноидальном» режиме эвристики. В логе отражаются сообщения вида

Анализатор - изучается процесс 1600 C:\Program Files\SMARTHDD\SMARTHDD.exe

[ES]:Может работать с сетью

[ES]:Приложение не имеет видимых окон

[ES]:EXE упаковщик ?

[ES]:Записан в автозапуск !!

Наиболее распространенная претензия к процессам – отсутствие видимых окон. Каждый процесс имеет некоторое количество окон (не случайно же система называется Windows), часть из которых – видимые, часть – невидимые. В Диспетчере процессов рядом со списком используемых DLL можно посмотреть список окон для каждого процесса. Если процесс не общается с вами, то он обычно не отображает никаких графических интерфейсов и либо не подает признаков своего присутствия, либо информирует вас о себе с помощью значка в трее. В таких случаях все окна процесса невидимы, что может характеризовать скрыто работающее вредоносное ПО (во всяком случае, если malware не хочет, чтобы его обнаружили, то никаких сообщений оно пользователю не показывает). В силу этого анализатор AVZ сообщает в логе о таких процессах.

EXE упаковщик

Некоторые исполняемые файлы упаковываются посредством специализированного программного обеспечения либо защищаются шифрованием. Это уменьшает размер программы и / или предохраняет файл от попыток вскрытия третьими лицами. В этом, как и в отсутствии видимых окон, нет криминала, но шифрование и упаковка используются также авторами вредоносного ПО: антивирусная сигнатура на обычный файл не срабатывает при анализе упакованного / зашифрованного файла, так что потенциально это может обмануть антивирусный сканер. Производители антивирусов решают эту проблему по-разному: добавляют в антивирус процедуры распаковки или дешифрации известных / популярных упаковщиков или крипторов, добавляют в качестве сигнатуры фрагмент кода уже упакованного объекта (детектируют «поверх» упаковщика), включают процедуры детектирования самого факта упаковывания определенными или сразу несколькими упаковщиками.

В силу того, что упаковка исполняемого файла может характеризовать вредоносное ПО, анализатор AVZ выводит в лог соответствующие сообщения. Следует принимать во внимание возможность ложных срабатываний.

Может работать с сетью

Данное сообщение свидетельствует о том, что, по мнению анализатора AVZ, приложение может работать с сетью. Этот вывод делается на основании изучения списка используемых библиотек и на основании обнаружения прослушивания портов или наличия у изучаемого процесса открытых соединений TCP/IP.

Может отправлять почту

Вывод подобного сообщения в списке результатов анализа процесса говорит о том, что, по мнению анализатора, у процесса имеется функционал для отправки сообщений по электронной почте.

Подозрение на факт рассылки почты/спама

Данное сообщение аналогично предыдущему, но выдается в случае, если в момент обследования процесса зафиксирован его обмен по SMTP протоколу. Это очень важное сообщение, выводится обычно для активных почтовых червей и спам-ботов.

Прослушивает порты TCP

Данное сообщение указывает на то, что изучаемый процесс прослушивает порты TCP. Иногда в подобной ситуации выдается детализированная информация, например сообщение о том, что прослушивается порт, характерный для HTTP-протокола.

Прослушивает порты UDP

Данное сообщение указывает на то, что изучаемый процесс прослушивает порты UDP. Иногда в подобной ситуации выдается детализированная информация, в частности, если прослушивается порт TPFT-протокола.

Другие сообщения анализатора

Среди сообщений анализатора могут встречаться отметки вида «Предположительно может бороться с антивирусными приложениями», «Предположительно может изменять параметры сетевых экранов и параметры безопасности», «Содержит детектор отладчика и утилит мониторинга», «Загружает DLL RASAPI: возможно программа автодозвона», «Подозрительное имя», «Подозрительные атрибуты», «Записан в автозапуск», «Trojan.PSW ?» и т.п. Каждое из таких сообщений свидетельствует о том, что анализатор предполагает наличие у процесса той или иной особенности, на которую, по его мнению, следует обратить внимание при анализе.