Utilisation de Process Explorer pour détecter des malwares:
Nous allons nous intéresser à l'étude d'un programme malicieux. Pour que ce soit plus simple à suivre, nous l'avons renommé toto.exe
- La première chose est de regarder si le processus est présent dans le gestionnaire de tâches.
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture01.jpg&hash=7072e01346a2451f4955af8aa548d5afa0f73c9e)
Juste en regardant comme cela, si nous n'avions pas renommé le processus, il n'y aurait que peu d'informations à notre disposition.
- Utilisons Process Explorer :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture02.jpg&hash=e8aaa774fd61143943dc44b6ce17f178ee452ca8)
D'après notre précédent tutoriel, nous voyions qu'un processus possédant un packer était en train de tourner. On voyait aussi que ce processus n’était pas signé.
En regardant plus en détail ce processus, c'est à dire en affichant les propriétés du processus on obtient ceci :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture03.jpg&hash=84a07b0951067329eb1ff089867978b91c651a1d)
Plusieurs informations sont disponibles :
1 Le processus est bien packé.
2 Le chemin complet du programme.
3 Le chemin dans le registre qui permet de le lancer.
Pour aller plus loin:
- Autoruns :
Indique quels programmes sont configurés pour démarrer automatiquement lors du démarrage du système et de votre connexion. Autoruns affiche également la liste complète des emplacements du Registre et des fichiers où les applications peuvent configurer les paramètres de démarrage automatique.
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi263.photobucket.com%2Falbums%2Fii126%2FSham_Rock1%2Ftlcharger.gif&hash=d331ec4d6bdf017759aab6110f9fc2bdb7941004)Autoruns (http://download.sysinternals.com/Files/Autoruns.zip)
http://download.sysinternals.com/Files/Autoruns.zip
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture04.jpg&hash=da2c15d60069596083c224afc16fa6090935214b)
- Filtrer les éléments non MS :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture05.jpg&hash=c7e924d9f97f77431feebdb6ffef0accbb85d688)
- Vérification pour le registre :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture06.jpg&hash=003808d0c5e0d486b72c2e76ef54e95fb1c7cafb)
- Sigcheck :
Vérifier que les images sont numériquement signées.
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi263.photobucket.com%2Falbums%2Fii126%2FSham_Rock1%2Ftlcharger.gif&hash=d331ec4d6bdf017759aab6110f9fc2bdb7941004)Sigcheck (http://download.sysinternals.com/files/Sigcheck.zip)
http://download.sysinternals.com/files/Sigcheck.zip
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2Fprocessexplorer2%2FCapture07.jpg&hash=a7938f7820991c99ae0b2620210d6a45ebd29758)