Вирусы и антивирусы. Проникновение вируса 1.запуск exe-файла (либо самого вируса, либо инфицированной программы) 2.открытие / просмотр документа (doc, - презентация

1 Вирусы и антивирусы

2 Проникновение вируса 1.запуск exe-файла (либо самого вируса, либо инфицированной программы) 2.открытие / просмотр документа (doc, jpeg, pdf) в уязвимой программе 3.просмотр опасной веб-страницы в уязвимом браузере 4.просмотр зараженного в уязвимом почтовом клиенте

3 Как (и где) вирусы запускаются на компьютере? Типичные места автозапуска: 1. реестр 2. папка "автозагрузка" 3. файлы system.ini и win.ini 4. запускаемые службы и приложения 5. макросы автозапуска MS Office 6. расширения Internet Explorer

4 Реестр 1 HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ Run* (Run, RunOnce, RunOnceEx, RunServices, RunServicesOnce) Обычно в разделе Run присутствуют ключи с названиями internat.exe, LoadPowerProfile, ScanRegistry, SystemTray, TaskMonitor. В разделе RunServices - ключ LoadPowerProfile. Остальные ключи, которые могут присутствовать в реестре, добавлены другими установленными программами.

5 Реестр 2 HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run* (Run, RunOnce) HKCU\Software\Microsoft\Windows\CurrentVersion\Run Изначально разделы пустые, все записи там сделаны другими программами.

6 Реестр 3 До загрузки графической оболочки есть возможность запустить программу в разделе: HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SessionManager в параметре BootExecute

7 Реестр 4: HKCR \ exefile \ shell \ open \ command

8 Реестр еще: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ DllName DllName HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ Startup Startup

9 Утилиты просмотра автозагрузки

10 Задание на работу запустить вирус на компьютере проверить список процессов (Ctrl-Alt-Del => "процессы") проверить типичные места запуска вируса (реестр, ini-файлы) проверить подозрительные имена файлов в интернете (Google)