Найдены новые вредоносные программы, не обнаруженные антивирусом. Как оценить угрозу?

На рабочей станции Windows 7, на которой установлен современный антивирус (Kaspersky), я обнаружил несколько подозрительных процессов. Чтобы посмотреть на активность процесса, я использовал отличный ProcessMonitor от SysInternals.

У одного из них было имя исполняемого файла, wauctla.exeрасположенного в C:\Windows. Обновление: имя, вероятно, выбрано намеренно, чтобы его можно было перепутать с wuauclt.exeутилитой управления агентом обновления Windows.

Этот процесс выполняется как системная служба. С помощью оснастки «Консоль управления» мне удалось изменить параметры запуска этого процесса с «Автоматически» на «Отключено». Однако я никак не мог остановить запущенный процесс через оснастку MMC.

Мне все же удалось остановить процесс с помощью taskkill /f /PIDкоманды. Я перезапустил ОС, и процесс больше не отображается в списке процессов.

В superuser есть отличная ветка о процедурах, необходимых для удаления вредоносных программ с компьютеров под управлением Windows. Когда подозрительные процессы были остановлены и их исполняемые файлы перемещены в безопасное место вдали от пути поиска исполняемых файлов, я хочу узнать больше о новом вредоносном ПО.

Какая угроза исходит из этого файла? Существует ли какое-либо антивирусное программное обеспечение, способное обнаружить этот вирус? Как это распространяется, должен ли я проверять другие компьютеры, к которым обращался тот же пользователь после заражения этой рабочей станции?

Обновление 2: Следуя ответам, относящимся к virustotal, приведена ссылка на сводку virustotal об этой части вредоносного ПО.

— Дмитрий Чубаров
источник

wauctla.exeне злой wauctla.exeиспользуется Центром обновления Windows .

— Ramhound

Это wuauclt.exeя верю.

— Ливен Кирсмейкерс

wauctla.exe это вредоносная программа, и это обнаруживается Avast.

— Ади

Вы спрашиваете нас, что делает эта угроза, когда вы даже не идентифицировали ее? Значит ли это, что вы не знаете, как его идентифицировать или что это не известная угроза?

— Джейсон

@ AndréDaniel Разница в оттенках серого - мир не черно-белый. Вирус не вирус. Если вы получили что-то с сайта Downloads.com, нажмите «Принять» и получите Vosteran Toolbar Awesomifier !!! ... вы получили mal / ad / spy-ware - не вирус / троян. Это «бонусное программное обеспечение», и вы нажали «принять», чтобы сделать его «неавторизованным». Должен ли AV удалить / удалить это? Может быть, а может и нет. en.wikipedia.org/wiki/Malware#Grayware - вот почему MB / SpyBot / etc так же распространены, как и они.

— WernerCD

Ответы:

Не используйте Process Monitor для этого. Используйте как предложенный @DavidPostill VirusTotal, но без отправки файлов вручную Process Explorer от SysInternals имеет встроенную функциональность VirusTotal. Просто зайдите в Параметры -> VirusTotal.com -> Проверьте VirusTotal.com и появится столбец с заголовком VirusTotal. Через несколько секунд вы получите рейтинг VirusTotal для каждого исполняемого файла.

введите описание изображения здесь

Из Process Explorer вы можете напрямую убить вредоносный процесс или узнать, с какой службой Windows запущен этот процесс, а также остановить и отключить эту службу. Это хороший способ сделать это, потому что если вы убьете процесс, базовый сервис может немедленно воссоздать вредоносный процесс. Чтобы найти службу для процесса, дважды щелкните процесс и перейдите на вкладку «Службы».

— Роберт Нестрой
источник

@ AndréDaniel Process Explorer отправляет только хэши процессов, которые он сканирует автоматически. Чтобы отправить весь файл для анализа, вы должны сделать это вручную, запустив сканирование через окно сведений о процессе или DLL (см. Диалоговое окно «Условия обслуживания», как показано здесь ).

— Я говорю Восстановить Монику

@ Твисти, ладно, ничего, не знал.

Что ж, ваша точка зрения в аспектах, по которым она верна, остается верной, поскольку можно представить весь файл, но не автоматически.

— Я говорю, восстановите Монику

Как мне оценить угрозу, вызванную вредоносным ПО?

Вы можете отправить свой файл в VirusTotal для онлайн-анализа.

VirusTotal проверяет файл, используя более 40 антивирусных решений.
Это по крайней мере скажет вам, если какое-либо антивирусное программное обеспечение может обнаружить его.
Если вы получили положительную идентификацию, вы можете найти имя вируса, чтобы узнать больше о том, как он работает и какую угрозу он представляет.

Что такое VirusTotal

VirusTotal, дочерняя компания Google, представляет собой бесплатный онлайн-сервис, который анализирует файлы и URL-адреса, позволяя выявлять вирусы, черви, трояны и другие виды вредоносного контента, обнаруживаемые антивирусными механизмами и сканерами веб-сайтов. В то же время, он может использоваться как средство для обнаружения ложных срабатываний, то есть безвредных ресурсов, обнаруженных как вредоносные одним или несколькими сканерами.

Источник VirusTotal

— ДэвидПостилл
источник