Руткитам – бой!

Крис Касперски

Хакер, номер #102, стр. 102-032-2

Некоторые программы (например, хранители экрана) устанавливают себя только в каталог Windows, не касаясь остальных, что делает их похожими на малварь. Остается лишь смотреть на дату создания и мучительно вспоминать, что мы устанавливали на свой жесткий диск и когда.

Описанная методика может показаться кому-то слишком утомительной и ненадежной, однако она выручала автора не раз и не два, в то время как технически более продвинутые приемы отдыхали, не показывая никакого позитивного результата. Самое главное – анализ даты создания файлов не требует никаких навыков и доступен каждому, в то время как дизассемблированием владеют единицы.

ОК, будем считать, что мыщъх тебя уговорил. А раз так, то переходим от слов к делу. Для просмотра даты создания открываем проводник Windows, в меню «Вид» выбираем «Таблица», затем «Вид -> Настройка столбцов» и взводим галочку напротив «Создан». Щелкнув мышью по шапке таблицы, выбираем сортировку по убыванию даты создания, после чего самые свежие файлы окажутся в начале списка.

Ой, сколько здесь всего интересного! На компьютере в каталоге System32 обнаруживается множество файлов preflib_Prefdata*, автоматически создаваемых системой и хранящих данные о счетчиках производительности. Пропускаем их и идем дальше. Видим пару подозрительных файлов - pdfcmnt.dll и MSMPIDE.DLL, дата создания которых совпадает с датой создания каталога PDFCreator в Program Files. Ага, значит, это динамические библиотеки, принадлежащие одноименной программе, установленной в обозначенное время.

Затем опять идут счетчики производительности и динамические библиотеки кодека FFShow – ff_vfw.dll и ff_vfw.manifest, а за ними - подозрительный исполняемый файл epinh.exe, не соответствующий ни одному каталогу из Program Files.

Идем на www.virustital.com (или любую другую online-службу аналогичного типа) и прогоняем epinh.exe через кучу антивирусов, часть из которых начинает ругаться на неизвестный вирус. Соответственно, вину подследственного можно считать полностью доказанной, без права на оправдание.

Часто после посещения сайтов «клубничной» тематики или запуске файлов, полученных из ненадежных источников (например, самостоятельно пришедших со свежим мылом), приходится гадать: поимели нас или нет?

Поиск файлов, созданных за последние сутки, является идеальным средством выявления заразы. Нажимаем «Пуск -> Найти -> Файлы и папки», указываем диски, на которых следует осуществлять поиск (как минимум необходимо указать диск, содержащий операционную систему), в «Параметрах поиска» взводим галочку напротив «Даты» и говорим искать файлы, созданные за последний день, после чего давим кнопку «Найти» и ждем результатов.

В нашем случае в каталоге System32 обнаружился свежеиспеченный файл hldrrr.exe, маскирующийся под самораспаковывающийся rar-архив, который мы не создавали и который, очевидно, является зловредной программой, подлежащей проверке на Virus Total с последующим удалением.