手动扫描恶意文件的感染情况？

Question

我知道有一些免费的安全软件可以做得很好，比如manually字节，但我真的想学习如何手动扫描电脑上可能存在的恶意文件威胁。我知道您可以在windows中使用进程管理器在计算机上检查不规则和不熟悉的活动和进程，但我担心一些恶意文件可能隐藏它们的进程，或者当它们检测到您已打开进程管理器或安全软件(如manager字节或防病毒软件)时退出它们的进程。是否有方法访问对windows、最近和正在进行的进程所做和正在进行的所有更改的日志，以便可以缩小可疑文件，而不必一直监视进程管理器。还有其他方法可以手动扫描pc中的威胁--比如检查一些系统文件。另外，有人能告诉我那些安全程序如何扫描自己的威胁吗？我如何知道他们所采用的扫描方法是否彻底可靠？像卡巴斯基、阿凡格、索菲斯这样的安全程序是否能有效地发现威胁？

通常你是如何找到消除威胁的方法的？只靠谷歌？是否有一些在线论坛或社区，您可以找到帮助修复您的感染pc，或一些数据库删除方法的恶意文件？如果您无法确定您的系统在使用安全软件进行搜索和扫描后感染了什么样的恶意文件，那么您应该向哪里求助呢？

Answer 1

基本上，你要问的是，你如何才能成为你的电脑的抗病毒。简单的回答-你不能。

您可以制作或找到脚本，这些脚本将为您的系统提供一些妥协的指标，并开始可疑地查看它们，您可以通过进程和它们的洞察力进行探索，您可以分析您的网络流量，看看这里哪些不好。您可以了解如何使用和PowerShell监视您的系统(我假设您在Windows上工作)。您也可以对您的系统进行快照并进行比较。您还可以使用或编写工具来使用Yara规则检查您的文件的签名，并查看是否有任何恶意攻击。你会学到很多东西，但你可能会错过一些东西。这样的事不值得牺牲你的系统。

基本上，你会用手做一个好的AV所做的事情。根据签名、数据库和/或进程行为扫描文件。检查文件系统和注册表项、可疑网络流量和奇怪字符串中的更改。不同的是你会做的更慢，效率更低，而且不是实时的。

如果你想学习有关分析和处理恶意软件的东西，那就建立一个很好的虚拟环境，学习静态和动态分析，一些工具可以帮助你并开始学习你的操作系统的见解。找到一个很好的恶意软件样本列表，然后离开。但是你不能替换AV，你也不应该。这就是它的目的，速度和效率，检测和阻止大量已知的攻击，并试图检测未知的攻击，基于行为。

请随便问下面的问题:)

Answer 2

也许你会对寻找威胁和逆向工程感兴趣。了解搜索威胁的基本知识将帮助您了解如何在系统上查找潜在的安全威胁，而学习逆向工程将帮助您更好地了解您的系统和设计用于在系统功能上运行的程序的方式。听起来您使用的是Windows系统，因此这些系统可能对您有用：

• 威胁猎杀游戏指南:实践者版 (请注意，目标受众是企业环境中的实践者，但许多概念在使用单个系统时仍然适用，不管如何，这是很好的公开)。
• https://github.com/tylerha97/awesome-reversing
• https://github.com/0x4D31/awesome-threat-detection

这些资源将使您能够回答您自己的许多问题。狩猎愉快。

Answer 3

这里已经有很多很好的答案了，我建议你研究一下。我唯一的建议是结合各种书籍/PDF/视频中获得的工具和知识，研究如何查找和评估文件，了解您正在寻找的内容。

有一次，我在客户端的prod服务器上发现了一个密码变体，因为我注意到CPU的急剧增加和粗略搜索“比特币”或"BTC“这个词，或者查找扩展名后有句号的文件，例如"file_name.exe.WHATEVER”。