Odhalujeme nebezpečné programy

Identifikujte malware skrytý v systémových složkách Windows!(CD)

Málokomu přijde zábavné spouštět Správce úloh a zkoumat tu kupu záhadně pojmenovaných procesů, běžících na počítači. Pokud si vůbec nevíte rady, pak je možné položit si otázku, kolik spuštěných procesů je skutečně nezbytných pro práci, kterou na svém počítači právě děláte. Nebo jinak: zda neběží nějaký proces, který nějakým způsobem dělá neplechu.

Bohužel jen velmi málo z nás má jiné než povrchní znalosti o tom, co se děje uvnitř operačního systému Windows. Většinou se spokojíme s tím, že pokud nějaký program spustíme, tak jednoduše běží, a pokud spustíme další programy, tak ve Windows běží paralelně vedle sebe.
V tomto článku se pokusíme objasnit způsob, jak identifikovat většinu systémových souborů Windows (a jak objevit neznámé soubory), takže budete moci snadno odlišit procesy neškodné a naopak užitečné od těch, které vám škodí. Rovněž vám prozradíme, jak sledovat běh každé aplikace spuštěné na vašem počítači, včetně nejnovější hrozby, která se nyní objevila těmi jsou skryté soubory programů umožňující napadení a následné využívání počítače útočníkem tzv. rootkity.
Samozřejmě podobně jako například u přírodních katastrof ani v tomto případě nemůžete nikdy přesně vědět, kdy nebo kde se v operačním systému objeví nová bezpečnostní trhlina, která dokořán otevře bránu do vašeho systému a umožní doslova vykradení dat z vašeho počítače. Dokonce ani když používáte firewall, aktualizovaný antivir a antispywarový program, pečlivě provádíte stahování a instalaci všech bezpečnostních záplat, nejste spolehlivě chráněni před nejnovějšími a nejrafinovanějšími škodlivými programy.
Antiviry a ostatní utility na ochranu vašeho počítače se musí skutečně co nejčastěji aktualizovat co možná nejdůkladnějšími updaty, aby skutečně pracovaly účinně, přesto však nezachytí nákazu, kterou ještě nikdy nepoznaly. Jinými slovy, největší nevýhodou těchto programů je vždy určité "mrtvé" období, které uplyne mezi tím, kdy se na internetu objevil a rozšířil například nový červ, a dobou, kdy se objeví nové definice pro antivirové programy, které tuto nákazu odstraní. Zda je toto "mrtvé" období záležitostí několika minut či dní, je při těchto úvahách asi jedno, protože vrátka pro průnik do systému se budou stejně otevírat vždy s objevením nové nákazy a zavírat s vydáním záplaty tuto nákazu postihující.
Na druhou stranu pokud je malware identifikován, je jeho odstranění obvykle docela jednoduché, třebaže velmi únavné. Proto pokud se budete řídit postupy pro detekci malwaru, uvedenými v tomto článku, pak váš počítač bude dozajista vždy v dobré kondici.

Bezpečnost především
Prvním a nejdůležitějším pravidlem, které si musíte zapamatovat, je to, že na počítači máte nainstalovaný operační systém, takže nemůžete jednoduše projít složky se systémovými soubory a ty, které se vám nějakým způsobem nezdají, smazat. Pokud byste takto postupovali, pak se snadno stane, že svůj počítač již příště nespustíte.
Za druhé, před každým důležitým krokem si nejprve udělejte zálohu operačního systému pomocí nástroje Obnovení systému. Zmíněný nástroj, který je k dispozici ve Windows ME a XP, spolehlivě vrátí operační systém do stavu před provedením případné změny, která se neukázala jako šťastná. Nástroj spustíte pomocí nabídky Start/Programy/Příslušenství/Systémové nástroje/Obnovení systému. Po spuštění programu vyberete možnost Vytvořit bod obnovení a následně se budete řídit pokyny průvodce. Nový bod obnovení pak vytvořte před provedením každé významnější změny v operačním systému.
Pravděpodobně budete potřebovat, aby se v systému zobrazovaly standardně skryté systémové soubory. To zařídíte tak, že spustíte program Průzkumník Windows, zde v menu Nástroje klepnete na položku Možnosti složky a přesunete se na záložku Zobrazení. Zde umístěte zatržítko před položku Zobrazovat skryté soubory a složky a ujistěte se, že naopak nejsou aktivní položky Skrýt příponu souborů známých typů a Skrýt chráněné soubory operačního systému (doporučeno). Pokud se zobrazí nějaké dialogové okno, vyžadující potvrzení některé z prováděných akcí, stiskněte tlačítko Ano (o dalších varováních bude řeč později). Nyní spusťte aktualizovaný antivirový a antispywarový program. Nakonec případně smažte soubor, o němž jste si takřka stoprocentně jisti, že je součástí nějaké malwarové infekce. Nepoužívejte ale například následující postupy pro odstranění starých DLL souborů ze systémových složek.

Zjistěte, které procesy jsou spuštěny
Nyní jste připraveni k tomu, abyste zjistili, které programy a procesy máte na svém počítači právě spuštěny. Aplikace Správce úloh systému Windows bohužel nedokáže zobrazit úplně všechny běžící procesy a aplikace, proto musíte použít program jiný. Velmi vhodným je například zdarma dostupný Process Explorer, který naleznete na internetové adrese www.sysinternals.com/Utilities/ProcessExplorer.html, popř. na našem CD jako soubor PROCESSEXPLORERNT.ZIP o velikosti 553 KB.
Není nutná instalace, stačí pouze rozbalit soubor archivu a poklepat na soubor PROCEXP.
EXE. Process Explorer je skutečně velkolepou náhradou Správce úloh. Možná se někomu nemusí jeho vzhled zamlouvat, nicméně je to program velmi spolehlivý a účinný. A navíc je dostupný zdarma.
Řada informací, které může Process Explorer poskytnout, je však standardně skryta. Pokud je chcete zobrazit, klepněte pravým tlačítkem myši na název sloupečku a z kontextového menu vyberte příkaz Select Columns. Položky Process Name i Description by měly být zatrženy vždy, ale ujistěte se, že jsou aktivní i položky Company Name a Command Line. Nyní se přesuňte na záložku DLL, zkontrolujte, že je zatržena položka Path a stiskněte tlačítko OK.
Nyní se přesuňte do menu View a ověřte, zda je aktivní volba Show Lower Pane. Nakonec ještě v menu View/Lower Pane View vyberte položku DLLs.
S takto provedenými nastaveními Process Exploreru si nyní můžeme vybrat jakýkoliv proces a ve spodní části aplikačního okna se zobrazí DLL knihovny, které proces používá. Sloupeček Command Line ukazuje u každého spuštěného programu jeho umístění na pevném disku, nebo v případě spuštěných procesů (jelikož některé běží pod procesem svchost.exe) identifikuje, která instance procesu svchost.exe tuto službu používá.
Všechny procesy, jejichž cesta ukazuje do dočasné složky Temp, by vás měly okamžitě upozornit, že něco zřejmě nebude v pořádku. Spyware má totiž tendenci se sám instalovat a spouštět z takových nestandardních umístění, jako je právě složka Temp. Podobně pokud nějaký spuštěný proces ukazuje na DLL knihovnu ve složce Temp, pak je opět třeba se mít na pozoru. Jedinou možností, kdy může být nějaká aplikace či proces spuštěn ze složky pro dočasné soubory, je případ, kdy instalujete nějaký program, který používá instalátor, například InstallShield. Kromě procesu Explorer.exe pravděpodobně uživatelé Windows XP naleznou ještě i jiné běžící procesy jako například smss.exe, winlogon.exe, services.exe, alg.exe či lsass.exe. Všechny výše jmenované jsou kritické systémové procesy Windows a nesmí být smazány.
Jeden legitimní soubor Windows, který zaslouží o něco více pozornosti, pokud je nalezen mezi spuštěnými procesy, je rundll32.exe. Některé druhy malwaru, rozšiřované jako soubory DLL, se skrývají právě tím, že tento program používají jako příslovečný odrazový můstek. Správce úloh ukáže pouze to, že běží program rundll32.exe, ovšem Process Explorer vám zobrazí i to, s jakou DLL knihovnou je rundll32.exe asociován. Mějte však neustále na paměti, že některé ovladače zařízení používají rundll32.exe pro naprosto legitimní účely, a proto dříve než takový proces ukončíte, ujistěte se, že je skutečně nežádoucí. Název složky na konci cesty k souboru by vám měl poskytnout dostatek informací o legitimnosti tohoto procesu.

Identifikujte záhadné procesy
Na vašem počítači pravděpodobně běží několik programových souborů systému Windows a kromě nich je na pozadí spuštěno několik souborů aplikací a služeb, včetně ovladačů vašich hardwarových komponent. Tyto soubory se za normálních okolností spouští při startu Windows. Prozkoumejte pro každý spuštěný proces v Process Exploreru údaje ve sloupečcích Description, Company Name a Command Line. Na základě těchto údajů byste měli být schopni identifikovat většinu programů, s nimiž jsou spuštěné procesy asociovány. Názvy programů by měly odpovídat programům, které máte na počítači nainstalované nebo které již byly na počítači předinstalovány.
Pokud výrobce softwaru neimplementoval do svého programu položky, které se zobrazují ve sloupečcích Description anebo Company Name, budete se muset pustit do podrobnějšího testování. Klepněte pravým tlačítkem do seznamu procesů v Process Exploreru a z kontextového menu vyberte příkaz Properties. Pokud si budete nad informacemi na záložce Image příliš dlouho lámat hlavu, klepněte na záložku Services (tato záložka je přístupná pouze u procesů). Tady uvidíte seznam některých legitimních služeb, které jsou s tímto procesem spojeny.
Například na obrázku Process Explorer ukazuje, že na našem počítači běží dva procesy, u nichž chybí popis ve sloupečcích Description a Company Name. Jedním z nich je SLEE81.EXE. Pokud se podíváme na záložku Services, je tento soubor identifikován jako Steganos Live Encryption Engine. Vzpomínáme si, že jsme software od Steganosu skutečně nedávno instalovali, takže není žádným překvapením, že některou z jejích komponent nyní nacházíme běžet na pozadí. Tady se nejedná o žádné bezpečnostní riziko, ovšem pokud šifrování a dešifrování souborů pomocí Steganosu nepoužíváme, lze uspořit čas procesoru a službu vypnout, dokud ji nebudeme potřebovat.
Druhým souborem bez popisu je WLTRYSVC.
EXE. Jeho odhalení je však prostřednictvím záložky Services ještě jednodušší. Vzhledem k tomu, že jméno procesu (WLTRYSVC service) není o tolik jasnější než samotný název souboru, je přímo pod ním odsazený ještě jeden soubor, což znamená, že WLTRYSVC volal ještě jednu aplikaci s názvem BCMWLTRY.EXE. Tento soubor je identifikován jako Broadcom Wireless Network Tray Applet, o němž si vzpomínáme, že jsme jej instalovali, aby nám ukazoval sílu signálu bezdrátové sítě Wi-Fi. Vzhledem k tomu, že připojení pomocí Wi-Fi používáme často, rozhodneme se tento proces nechat nadále spuštěný.
Podobně jako v předcházejících dvou případech se i vy pokuste identifikovat všechny spuštěné služby a aplikace běžící na pozadí. Složitější část práce přijde až v okamžiku, kdy nebudete žádným z prostředků schopni proces či aplikaci identifikovat a ani se vám nebude zdát, že by daná aplikace či proces mohly být nějak užitečné. Pak je načase použít pro vyhledání odpovědi internet.

Hledání a identifikace procesů na internetu
Jestliže máte podezření, že by nějaká DLL knihovna mohla představovat škodlivý software, prvním místem, na které vám doporučujeme se obrátit, je DLL Help Databáze Microsoftu na internetové adrese support.microsoft.com/dllhelp, která vám umožní vyhledat informaci o DLL knihovně podle jejího jména. Pokud existuje podezření, že nějaký soubor může být napojen na spyware, je možné se informovat na Computer Associates Spyware Information Center na adrese www3.ca.com/securityadvisor/pest. Jiným vynikajícím zdrojem informací je Pest Encyclopedia od PestPatrol Center for Pest Research na internetové stránce research.pestpatrol.com, která poskytuje informace o více než 27 000 druzích malwaru.
Pokud není možné jednoznačně říci, zda je nějaký soubor legitimní, lze získat cenné informace na internetových stránkách www.answersthatwork.com, kde po klepnutí na tlačítko Task List můžete získat informace jak o legitimním softwaru, tak o spywaru či virech. Další pomocnou rukou, kterou nám internet podává, mohou být utility WinPatrol či WinTasks 5 Professional od firmy Uniblue. WinPatrol ve verzi 9.5 naleznete na našem CD, popř. na internetové adrese www.winpatrol.com/download.html jako soubor WPSETUP.EXE o velikosti 1,04 MB, zkušební verzi programu WinTasks 5 Professional si můžete stáhnout z internetu na adrese www.liutilities.com/products/trial. Oba programy jsou velmi účinným pomocníkem při rozhodování a určování toho, zda daný program či DLL knihovna představuje legitimní software nebo malware.
Oba programy mají k dispozici velmi rozsáhlou on-line databázi obsahující informace o tisícovkách DLL knihoven či aplikací, s nimiž se můžete setkat, WinTasks navíc dokáží umístit některé procesy na "černou listinu" (blacklist), takže je už nelze spustit znovu.
Dalším pomocníkem, který vám umožní vyhodnotit na počítači se vyskytující spustitelný soubor, ovladač či DLL knihovnu (ať je spuštěn, nebo ne) je Security Task Manager od firmy Neuber Software. Utilitu naleznete na našem CD, popř. na internetu na adrese www.neuber.com/taskmanager jako soubor TASKMANAGER16.EXE o velikosti 1,44 MB. Program existuje i v české jazykové mutaci.
Poznámka: Vždy, když hledáte na internetu informace o nějakém neznámém souboru, nedoporučujeme důvěřovat prvním několika výsledkům, které naleznete. Dokonce i když stovky internetových stránek pojednávají o tom, že se u nějakého souboru jedná pravděpodobně o malware, pak jedna stránka firmy Microsoft objasňující legitimní užití tohoto souboru systémem Windows může tyto informace o souboru zcela zvrátit. Jinými slovy, čím více informací o neznámém souboru získáte dříve, než použijete internet, tím menší bude pravděpodobnost, že odstraníte legitimní program či DLL knihovnu.


Rootkity aneb jak na skrytý malware
Další zastávkou na naší pouti za tajemnými procesy běžícími na našem počítači bude zcela nový typ malwaru, nazývaný kernel-level rootkit. Rootkity jsou utility, které dovolí hackerům pronikajícím do systému skrýt na napadeném počítači po sobě všechny stopy (a soubory), takže uživatel vůbec nepozná, že se na jeho systému vůbec nějaký malware vyskytuje. Hackeři následně pomocí rootkitů pak počítač ovládnou a mohou si na něm dělat doslova co chtějí. Naštěstí existuje několik programů, které nám pomohou tyto velmi nebezpečné soubory rozpoznat a v jednom případě i odstranit.
Jednou z nejschopnějších aplikací, jež v současnosti prakticky nemá konkurenci, je RootkitRevealer od firmy Sysinternals, který v systému vyhledává soubory a klíče registru, jež by mohly být nějakým způsobem navázány na rootkity. Vyhodnocení skenování RootkitRevealeru není sice triviální a musíme upozornit na to, že ne všechny položky, které utilita odhalí, jsou nutně malware. V rámečku Nová utilita pro odhalení rootkitů a skrytých programů používaných hackery se dozvíte několik důležitých informací o tom, jak utilitu používat a na jakém principu vlastně funguje. Program naleznete na našem CD, popřípadě je ke stažení na internetové adrese www.sysinternals.com/Utilities/RootkitRevealer.html jako soubor ROOTKITREVEALER.ZIP o velikosti 181 KB.
Další velmi jednoduchou utilitou je BlackLight od firmy FSecure, která je známa především antivirovými programy. Nyní svoje znalosti vložila do vývoje vyhledávače rootkitů, který rovněž dokáže najít a odstranit rootkity na pevném disku. Ačkoliv je jeho design poněkud strohý, o to více je v boji proti rootkitům účinnější. Utilita je určena pro Windows 2000, XP a 2003 a je ve stadiu betaverze k dispozici zdarma na našem CD, popř. na www.f-secure.com/blacklight jako soubor BLBETA.EXE o velikosti 613 KB.

Nová utilita pro odhalení rootkitů a skrytých programů používaných hackery
Uživatelům počítačů se dostává do rukou další z utilit, kterou mohou použít pro vyhledávání velmi odolného malwaru nainstalovaného v jejich systému. Mluvíme o skrytých virech, trojských koních či spywaru, který se stále snaží proniknout do našich počítačů. Touto utilitou je RootkitRevealer, jenž umožňuje uživatelům skenování počítače za účelem vyhledání tohoto zrádného softwaru.
Typ škodlivých programů, který je v oblasti zabývající se zabezpečením počítačových systémů známý jako rootkit, lze vysvětlit jako používání malwaru virů nebo trojských koní, které se dokáží samy v systému schovat. Rootkity rovněž hackerům pomáhají získat daleko větší kontrolu nad systémem, do něhož pronikly.
Rootkity jsou daleko častější ve světě Linuxu a UNIXových systémů. Jejich název vychází z toho, že pomáhají hackerovi získat přístup do systému jako root (nejvyšší práva na úrovni administrátora systému). V nedávné době se objevily i rootkity pro systémy Windows. Existuje tendence spojovat rootkity s nejnebezpečnějšími druhy malwaru jako jsou např. keyloggery, které zjišťují přístupová hesla uživatelů ke službám, jež využívají (elektronická pošta, internetové služby apod.).

Silné a slabé stránky
Rootkity jsou ve své podstatě pouze prostředkem k dosažení cíle, jímž je pro hackera ovládnutí cizího počítače. Např. tím, že skryje aplikaci typu trojského koně, zabrání tomu, aby byl detekován obvyklými antiviry. RootkitRevealer dokáže detekovat přítomnost několika obvyklejších rootkitů na počítačích se systémy Windows NT, 2000 či XP. Bohužel nefunguje ve Windows 95, 98 nebo ME.
RootkitRevealer má však i svoje omezení. Abyste jej mohli opravdu účinně využívat, potřebujete porozumět tomu, jak interpretovat výsledky jeho skenování.
Program rovněž neumožňuje rootkity odstranit nebo dát do karantény a rovněž vám nedokáže říci, zda soubor, který nalezl, je skutečně rootkitem. Pokud se však objeví nějaký objekt, který by na daném místě být neměl a antivirus jej nedokáže odstranit, pak jedinou cestou, jak se zbavit takové nákazy, je kompletní přeinstalování systému zformátování disku, smazání všech dat a reinstalace Windows.

První skenování systému
Jak již bylo uvedeno výše, RootkitRevealer lze najít na našem CD, popřípadě na internetových stránkách firmy Sysinternals. Program není nutno instalovat, stačí pouze rozbalit soubor archivu a spustit EXE soubor. Než začnete systém skenovat, máme pro vás několik upozornění. Jakmile program spustíte, pak do chvíle, než skenování skončí, na počítači nic nedělejte. Doporučujeme rovněž před spuštěním kontroly systému vypnout všechny aplikace, které by se mohly během skenování aktivovat například spořič obrazovky, antivirus či jakýkoliv jiný program. Pokud během skenování začne nějaká utilita vyvíjet činnost, počítač se sice nezhroutí, nicméně výsledky skenování systému mohou být nepřesné nebo zavádějící.

Vyhodnocení výsledků
Prakticky už po chvíli, kdy spustíte skenování, se začnou v okně aplikace objevovat nějaké výsledky. Jakmile se prohlídka systému dokončí (to poznáte podle tlačítka Scan, které se v průběhu skenování změní na Abort a po skončení skenování opět na Scan), uvidíte ve spodní části okna počet nalezených položek. Celá řada z nich je fakticky neškodných. Například prvních 10 až 20 výsledků bude vypadat jako klíče registru a bude u nich nápis Access denied. Tyto údaje jsou normální a objevují se na každém počítači. V žádném případě neukazují na nic podezřelého.
Níže pak uvidíte položky, které vypadají jako názvy složek ve Windows a jejich jména začínají znakem dolaru ($). Tyto soubory jsou metasoubory souborového systému NTFS a jsou opět standardní součástí tohoto systému souborů. Jejich počet se liší systém od systému. Tento seznam se na vašem počítači vytváří zvlášť pro každý diskový oddíl.
Pokud uvidíte další soubory, u nichž bude popis Hidden from Windows API, tak zde je nutno zbystřit. Tyto soubory mohou být umístěny ve složkách pro dočasné soubory, ve složce Windows, popřípadě kdekoliv na pevném disku. Pokud tyto soubory objevíte, spusťte Průzkumníka a zkuste, zda jsou tyto soubory vidět i v tomto programu. Pokud vidět nebudou, mohlo by to indikovat přítomnost skrytých souborů, ale jisté to není.
Pokud během skenování systému kupříkladu spustíte Internet Explorer a budete prohlížet nějakou internetovou stránku, pak RootkitRevealer soubory této stránky označí jako podezřelé, což ale ve skutečnosti pravda není.
Dále jde také o to, že i celá řada legitimních programů používá techniky skrývání souborů typickým programem je Kaspersky Antivirus.
Asi nejproblematičtějšími výsledky jsou programy, jejichž soubory mají jména sestavena z dlouhé řady náhodně zvolených písmen a číslic. Objeví-li se takové soubory ve vašem systému, doporučuje se aktualizovat antivirový systém a provést co možná nejpodrobnější analýzu vašeho systému.
RootkitRevealer je v současné době teprve v rané fázi a může, jako ostatně každý program, obsahovat chyby. Pokud si nejste jisti, zda nějaký soubor náhodou není nějakým způsobem spojen s rootkitem, dříve, než začnete podnikat nějaké radikální kroky, prohledejte nejprve internet, popřípadě Usenet.