Wykrywacz RunPE Wykrywa rezydentne w pamięci złośliwe oprogramowanie, RAT, programy szyfrujące Backdoor, programy pakujące

Złośliwe oprogramowanie wykorzystuje szereg sztuczek, aby ukryć swój proces, RunPE jest jednym z typowych przykładów tego samego. Technika zasadniczo obejmuje rozpoczęcie znanego i zaufanego procesu Explorer.exe w stanie zawieszenia. Następnie zastępuje swój kod własnym kodem szkodliwego oprogramowania. I wreszcie, uruchamia. Uruchamianie narzędzi, takich jak Process Explorer, może nie zawsze skutecznie wykrywać złośliwy proces. Phrozen RunPE Detector to darmowe oprogramowanie, które zostało specjalnie zaprojektowane do wykrywania i pokonywania takich podejrzanych procesów.

RunPE Detector dla Windows

1. Co to jest

Mówiąc prościej, Phrozen RunPE Detector może być używany do wykrywania bezplikowego złośliwego oprogramowania, RATów, trojanów, programów szyfrujących Backdoor, programów pakujących i rezydentnego złośliwego oprogramowania na komputerach z systemem Windows. Zasadniczo skanuje nagłówki procesów w pamięci, a następnie porównuje je z obrazami dysków. Ta sztuczka może wydawać się zbyt prosta, aby w nią uwierzyć, ale działa. Jeśli proces został wykorzystany przez RunPE, powinna istnieć różnica i zobaczysz alert.

2. Jak to działa

RunPE Detector wykrywa i zapobiega atakom hakerskim wykorzystującym techniki RunPE do infekowania systemu na jeden z następujących sposobów:

• Obejście zapory: Ta technika pomija lub wyłącza reguły zapory lub zapory aplikacji.
• Program pakujący lub szyfrujący złośliwe oprogramowanie: ta technika służy do rozpakowywania lub odszyfrowywania złośliwego oprogramowania w pamięci i umieszczania go w oryginalnym procesie bez zapisywania go na dysku, gdzie można go wykryć i zablokować.

3. Co to robi

Phrozen RunPE Detector skanuje nagłówki PE dla każdego procesu, a następnie porównuje nagłówki PE w pamięci z nagłówkami PE na ścieżce obrazu procesu. Zdaniem twórców jest to bardzo prosta i skuteczna metoda. Dostępnych jest wiele komercyjnych programów antywirusowych, które mogą wykonywać tego rodzaju skanowanie, ale Phrozen's RunPE Detector jest samodzielnym narzędziem do ręcznego wykonywania takich skanów. Ten program zabezpieczający został przetestowany pod kątem wielu powszechnie używanych typów złośliwego oprogramowania, a wskaźniki wykrywania były bardzo dokładne.

4. Czy można go użyć do usunięcia złośliwego oprogramowania?

Ten program zapewnia użytkownikom możliwość usunięcia każdego wykrytego złośliwego oprogramowania. Nawet jeśli nie należy całkowicie na nim polegać. Jeśli znajdziesz problem, skorzystanie z pełnego silnika antywirusowego do zbadania będzie dobrym pomysłem. Może być bardzo przydatne w wykrywaniu złośliwego oprogramowania rezydującego w pamięci, takiego jak złośliwe oprogramowanie bezplikowe.

5. Czego to nie robi

RunPE Detector z łatwością identyfikuje przejęte procesy, skanując wszystkie pliki aplikacji w systemie, a następnie porównując ich nagłówki PE z działającym procesem w celu wykrycia punktu infekcji. Ale nie identyfikuje lokalizacji hostów, gdy złośliwy kod jest ładowany za pomocą programu pakującego lub szyfrującego złośliwe oprogramowanie. Jest to jeden z powodów, dla których programiści Phrozen zalecili użycie komercyjnego rozwiązania antywirusowego do usunięcia złośliwego oprogramowania.

Ostateczny werdykt

Ponieważ technika RunPE jest tak powszechnie stosowana w przypadku RATów, trojanów, programów szyfrujących backdoorów i programów pakujących, za pomocą narzędzia RunPE Detector można zapewnić, że system jest wolny od najbardziej destrukcyjnych typów złośliwego oprogramowania.

RunPE jest nadal powszechnym typem ataku, a jako Phrozen RunPE Detector jest jednym kompaktowym, przenośnym i niewymagającym łańcuchów rozwiązaniem. Tak więc polecamy weź kopię tego zestawu narzędzi bezpieczeństwa.

Phrozen RunPE Detector wykrywa procesy z naruszeniem RunPE tylko wtedy, gdy są one 32-bitowe. Jest kompatybilny z systemami 64-bitowymi, ale obecnie nie może uruchamiać skanowania, najwyraźniej skanowanie 64-bitowe wkrótce pojawi się.