8. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские dll)

Внедренные библиотеки, удовлетворяющие определенным критериям похожести на троянские DLL, проверяются на вредоносное поведение на пятом этапе сканирования. Во время работы Стандартного скрипта номер 3 все заподозренные файлы помещаются в карантин.

В случае отсутствия подозрительных объектов такого типа пятая секция состоит из заглавной строки, после которой сразу начинается шестая часть.

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские dll)

Описание заподозренных файлов начинается с их объявления:

C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll --> Подозрение на Keylogger или троянскую DLL

Затем AVZ осуществляет поведенческий анализ, провоцируя модуль на выполнение шпионских действий и наблюдая за его реакцией. Если характерных действий не следует, обработка объекта завершается:

C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll>>> Поведенческий анализ:

Типичное для кейлоггеров поведение не зарегистрировано

В противном случае в отчете последовательно отражаются шпионские действия наблюдаемого модуля:

C:\WINDOWS\system32\L2.006>>> Поведенческий анализ:

1. Реагирует на события: клавиатура

2. Передает данные процессу: 2928 C:\WINDOWS\system32\L2.exe (окно = "AKLMW")

3. Опрашивает состояние клавиатуры

4. Опрашивает активную раскладку клавиатуры

5. Определяет ASCII коды по кодам клавиш

При обнаружении подобной активности после поведенческого анализа модуль изучается с помощью нейросети:

C:\WINDOWS\system32\L2.006>>> Нейросеть: файл с вероятностью 99.96% похож на типовой перехватчик событий клавиатуры/мыши

Имейте в виду, что данные изучения подозрительных объектов в пятой секции протокола носят вероятностный характер (как, собственно, и большинство других сообщений AVZ). Файл невозможно признать безусловно вредоносным на основании этих данных. AVZ лишь информирует о тех DLL, на которые вам следует обратить особое внимание при анализе.

При наличии подозрительных DLL секция завершается напоминанием:

На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков

9. Поиск открытых портов tcp/udp, используемых вредоносными программами

Шестая секция протокола отражает результаты изучения открытых в системе портов на предмет тех из них, которые прослушиваются известным вредоносным ПО. В последних версиях AVZ при работе Стандартных скриптов 2 и 3 эта проверка не выполняется:

6. Поиск открытых портов tcp/udp, используемых вредоносными программами

Проверка отключена пользователем

При анализе списка портов следует учитывать, что жесткой привязки «порт» - «программа» нет, поэтому вредоносная программа, к примеру, может прослушивать порт 80, а система – один из используемых троянскими программами портов.

10. Эвристическая проверка системы

На седьмом шаге сканирования AVZ производит поиск определенных неисправностей по данным своей базы, после чего сообщает о найденных проблемах. В этот раздел, к примеру, выводятся многие показания к применению скриптов Восстановления системы.

Если несоответствий не обнаружено, секция состоит из двух строк: