Tìm và diệt Malware bằng Sysinternals Tools

Quản trị mạng – Trong phần ba và cũng là phần cuối cùng của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn cách sử dụng công cụ Process Monitor để phát hiện những thay đổi do malware đối với registry và hệ thống file.

Trong phần một và phần hai của loạt bài gồm ba phần này, chúng tôi đã giới thiệu cho các bạn cách sử dụng Process Explorer và Autoruns để nhận dạng phần mềm mã độc trên hệ thống Windows. Lúc này phiên bản mới của Process Explorer (v15.01) đã được phát hành trong tháng này, bạn có thể download để sử dụng phiên bản mới nhất của nó tại đây.

Phiên bản mới này sử dụng ít bộ nhớ hơn, nó hiển thị hiệu quả sử dụng GPU và cho phép bạn khởi động lại các dịch vụ. Ngoài ra các biểu đồ hiệu suất cũng có giao diện đẹp mắt hơn.

Cài đặt và sử dụng Process Monitor

Process Monitor thay thế cho công cụ FileMon và RegMon cũ, nó kết hợp cũng như nâng cấp các chức năng của cả hai công cụ này. Phiên bản hiện hành của Process Monitor là v2.95 và bạn có thể download nó tại đây.

Vậy bạn có thể thực hiện những gì với Process Monitor? Công cụ này được sử dụng để capture tất cả dữ liệu thời gian thực về các quá trình (process) trên máy tính, gồm có đường dẫn ảnh, dòng lệnh, người dùng, session ID và các mối quan hệ của process. Với tính năng lọc tuyệt vời, bạn sẽ không phải lo lắng về việc mất thông tin khi thiết lập các bộ lọc. Với các thông tin thu được, bạn có thể phân tích malware được tìm thấy và xác định nó là loại gì cũng như loại bỏ nó như thế nào.

Bạn có thể download và cài đặt Process Monitor trên máy tính (khoảng 1.26 MB). Process Monitor sẽ cài đặt một driver thiết bị để capture thông tin, sau đó hiển thị nó trong giao diện đồ họa thân thiện người dùng. Như những gì thể hiện trong hình 1, Process Monitor hiển thị một dòng thông tin cho mỗi hoạt động xảy ra trên hệ thống. Mặc định, các cột hiển thị ở đây gồm có thời gian, tên quá trình và PID, hoạt động nó chỉ đạo, đường dẫn, kết quả của hoạt động và các chi tiết về hoạt động (trong hình, chúng tôi đã ẩn thông tin đường dẫn vì nó chứa các thông tin nhận dạng về tài khoản người dùng, tên máy tính và tên miền).

Hình 1

Bạn có thể bổ sung thêm nhiều cột khác để có thêm thông tin về ứng dụng, sự kiện và quá trình, xem thể hiện trong hình 2.

Hình 2

Số lượng thông tin mà Process Monitor cung cấp là rất nhiều vì có quá nhiều quá trình chạy ở chế độ background trên một hệ thống Windows. Điều đó có nghĩa rằng chúng ta cần phải lọc nếu muốn capture thông tin có liên quan đến nhiệm vụ tìm kiếm malware. Một điều thú vị ở đây là, các bộ lọc của Process Monitor sẽ hạn chế những gì sẽ được hiển thị chứ không phải những gì được capture. Vì vậy tất cả dữ liệu sẽ vẫn được capture nhưng bạn chỉ thấy những gì mình cần. Vì vậy bạn có thể hiển thị các entry khớp với tên quá trình, người dùng, thời gian cụ thể trong ngày,… Nhiều lựa chọn được thể hiện ngay trong hình 3.

Hình 3

Có thể tạo nhiều bộ lọc để tìm ra các entry, ví dụ như entry được tạo ra bởi một quá trình cụ thể nào đó tại một thời điểm cụ thể trong ngày hay cũng có thể chọn thêm các điều kiện khác. Sự năng linh hoạt này nâng cao đáng kể khả năng phát hiện sự kiện mà không bị phân tâm bởi quá nhiều thông tin không liên quan khác.

Có nhiều nút hữu dụng trên toolbar cho phép bạn hiển thị hành động của registry, hành động mạng, hành động của hệ thống file, quá trình và các sự kiện,… Bạn có thể thực hiện việc ghi chép và thiết lập mốc thời gian cần ghi để hạn chế tổng số sự kiện được lưu giữ.

Khi một chương trình malware tự động cài đặt vào hệ thống của bạn, nó sẽ bung các file vào nhiều địa điểm khác nhau trên ổ cứng, copy file driver vào thư mục hệ thống của Windows, thêm khóa vào Windows registry,… Với Process Monitor, bạn có thể nhận dạng những gì đang tạo ra các file đó và những gì xuất hiện trở lại sau khi bạn đã xóa, hoặc những gì đang tạo ra các entry registry nghi ngờ.

Để tìm ra một quá trình nghi ngờ đang thực hiện những gì, trước tiên bạn cần thiết lập các bộ lọc để hiển thị các entry cho quá trình có tên đó. Bạn có thể lọc kỹ hơn các kết quả hoặc có thể xem lại từng dòng kết quả để chỉ ra quá trình đang thực hiện những gì. Cho ví dụ, có thể chọn để chỉ hiển thị các sự kiện truy cập registry để có thể xác định những khóa registry gì mà quá trình đang truy cập, thay đổi hay thêm vào. Sau đó kiểm tra giá trị registry đó để tìm ra ảnh hưởng của những thay đổi đang diễn ra. Bạn có thể kiểm tra các entry truy cập hệ thống file để tìm ra những file nào đang bị một quá trình nào đó lấy thông tin, hoặc những file nào đang bị xóa hoặc được thêm vào hệ thống.

Có thể sẽ dễ dàng hơn khi xem lại các thông tin trong chương trình khác, chẳng hạn như Excel hoặc Office. Ngoài ra bạn có thể lưu một copy thông tin dưới một trong các định dạng đó. Trong trường hợp đó, bạn có thể export dữ liệu vào file .CSV hoặc .XML bằng cách sử dụng tùy chọn “save to file” (cũng có thể lưu file dưới định dạng Process Monitor nguyên bản, .PML, nếu bạn muốn mở lại nó trong Process Monitor).

Process Monitor có thể được sử dụng cùng với Process Explorer và AutoRuns tạo nên một tập các công cụ mạnh trong giám sát và remove malware ra khỏi hệ thống.

Điều gì sẽ xảy ra nếu các công cụ Sysinternals không có tác dụng?

Như những gì chúng tôi đã minh chứng trong loạt bài gồm ba phần này, các công cụ Sysinternals là những trợ giúp tuyệt vời trong việc tìm và diệt malware, đặc biệt hữu dụng khi sử dụng trong những ngày “zero day”, khi chưa có các chữ ký mới được cung cấp bởi các hãng anti-malware. Tuy nhiên đôi khi các công cụ Sysinternals không có tác dụng vì tác giả malware đã nghiên cứu kỹ lưỡng và biết cách qua mặt được các công cụ phổ biến này (cũng như các sản phẩm anti-virus và anti-malware thương mại) để xâm nhập được hệ thống của bạn. Lúc này bạn có thể sử dụng Process Explorer, Process Monitor hoặc Autoruns để tìm quá trình mã độc.

Kết luận

Trong loạt bài gồm ba phần này chúng tôi đã giới thiệu cho các bạn cách sử dụng các công cụ như Process Explorer, Autoruns và Process Monitor để tìm và diệt malware. Bên cạnh đó là các công cụ Sysinternals miễn phí cũng hỗ trợ khá tốt cho bất cứ ai muốn tìm hiểu sâu về mã độc và muốn loại trừ nó khỏi hệ thống của mình. Tất cả đều có thể được download cách miễn phí từ website của Microsoft.