Detectare RAT/Keylogger folosind CMD și Task Manager

[Viral-One]

În acest tutorial,v? voi ar?ta cel mai simplu mod de a afla aplica?iile malware ascunse pe PC-ul dvs.

A?a cum se men?ioneaz? în titlu, vom folosi Task Manager ?i CMD în scopul acestui tutorial.

Folosind Task Manager

1. Pentru a începe, deschidem Task Manager f?când click dreapta pe bara de activit??i ?i selectând Task Manager sau doar ap?sând tastele CTRL + ALT + DEL pentru a-l deschide.

2. Odat? ce a?i deschis Task Manager-ul, face?i click pe tab-ul "Processes" ?i face?i click pe View -> Select Columns -> Bifa?i "(PID) Process Identifier".

3. Acum, face?i click pe coloana PID pentru a v? asigura c? toate procesele sunt sortate într-o anumit? ordine. Acest pas nu este necesar, dar i?i u?ureaz? munca în detectarea proceselor folosind ID-urile.

Folosind CMD [Command Prompt]

1. Start -> Run -> CMD

2. Odat? ce, CMD-ul este deschis, trebuie s? tasta?i "netstat-ano" , far? ghilimele " ".

Rezultatul ar trebui s? fie ceva de genul acesta:

3. Acum, ceea ce ne intereseaz? sunt doar leg?turile cu state-ul "ESTABLISHED".

C?uta?ile ?i uita?i-v? ?i la PID. Nu vor fi multe conexiuni cu state-ul "ESTABLISHED".

4. Acum, du-te înapoi la Task Manager ?i c?uta?i numele procesului, care are acela?i PID cu cel gasit in CMD.

5. În cazul de mai sus, este o aplica?ie ,cu un nume suspect: lkads.exe. Dac? gasi?i un proces care nu ?ti?i dac? este ceva gen svchost.exe, ?i îl suspecta?i si crede?i c? este infectat, atunci tot ce trebuie s? face?i este s? face?i click dreapta pe fi?ier ?i scana?i-l cu ajutorul antivirusului dv. pe care il ave?i instalat in PC, sau înc?rca?i-l pe un scaner online, cum ar fi virustotal.com sau metascan-online.com ?i verifica?i dac? este infectat.

Edited July 10, 2014 by Viral-One

[mihaibelu]

Si daca in CMD este un program ESTABLISHED si in Task Manager nu apare PID-ul respectiv? In cazul meu 2224 nu apare decat in CMD.

[staticwater]

si in Task Manager nu apare PID-ul respectiv

Probabil este un service(vezi tab-ul Services).

Cu aceasta metoda poti detecta doar RAT-uri second hand...

[Viral-One]

Si daca in CMD este un program ESTABLISHED si in Task Manager nu apare PID-ul respectiv? In cazul meu 2224 nu apare decat in CMD.

Poti incerca cu ceva mai avansat : sysinternals

[Pilu-Nelutu]

Multumesc, chiar ma ajuta !