به گزارش تفسیری ممتاز نیوز iبه نقل از ایتنا در تاریخ ۴شنبه ۱۰م آبان ۹۱،
| آزمایشگاه تحلیل بدافزار ایمن – امروزه بدافزارها برای آلوده‌کردن سیستم‌ها و رسیدن iبه اهداف خود از روش‌های مختلفی iبهره می‌برند می‌توان گفت نحوه اجرا شدن بدافزار بعد از نصب بر روی سیستم مسئله مهمی است که باید مورد توجه کاربران قرار گیرد.یکی از بنیادی‌ترین این روش‌ها اجرای بدافزار iبه محض بالا آمدن سیستم عامل است در این روش بدافزار از قابلیت راه‌اندازی خودکار توسط ویندوز استفاده می‌کند. به برنامه‌هایی که با بالا آمدن ویندوز بصورت خودکار آغاز iبه کار می‌کنند Autostart می‌گویند. ویندوز حاوی قابلیت Autostart می‌باشد، اغلب بدافزارها iبه صورت مخفیانه نصب می‌شوند که با هر بار اجرای ویندوز کاملا خودکار اجرا می‌شوند. بنابراین لازم است iبه طور منظم مکان‌هایی که جاسوس‌افزارها و برنامه‌های مخرب سبب تغییر آنها می‌شود بررسی گردند. نقاط ورود Autostart در ویندوز شامل رجیستری، فولدر Startup، Win.iniو System.ini می‌باشد، ویروس‌ها در تلاش می باشند که با استفاده از این نقاط سیستم قربانی را آلوده سازند.یک کاربر آگاه می‌تواند در هنگام انجام فعالیت‌های مشکوک موارد زیر را مورد بررسی قرار داده و از اجرا شدن خودکار بد افزارها جلوگیری نمایید. درک این کلیدها و چگونگی استفاده از آنها در تجزیه و تحلیل و نحوه iبه کارگیری آنها در بدافزارها بسیار اهمیت دارد. ابتدا iبه کلیدهایی که در رجیستری این قابلیت را دارند می پردازیم : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunOnceEx HKEY_CURRENT_USER\ Software\Microsoft\Windows\CurrentVersion\RunOnceEx HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKEY_LOCAL_USER\Software\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\legalnoticecaption HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\legalnoticetext در رجیستری کلیدهای دیگری نیز وجود دارند که با تغییر در مقادیر آنها می‌توان iبه قابلیتی همانند Autostart دست یافت، بعضی از این کلیدها عبارتند از: HKEY_CLASSES_ROOT\exefile\shell\open\command HKEY_CLASSES_ROOT\batfile\shell\open\command HKEY_CLASSES_ROOT\Piffile\shell\open\command HKEY_CLASSES_ROOT\Comfile\shell\open\command HKEY_CLASSES_ROOT\Scrfile\shell\open\command HKEY_CLASSES_ROOT\htafile\Shell\Open\command HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\Shell\Open\command HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command قسمت دوم ویندوز که قابلیت Autostart دارد فولدر Startup است. می‌توان گفت راحت‌ترین راه برای اجرای یک برنامه در هنگام آغاز ویندوز این است که یک میانبر از آن را در داخل این فولدر قرار دهیم تا ویندوز در هنگام آغاز آن را اجرا کند. مسیر این فولدر iبه شرح زیر است: %All Users%\Start Menu\Startup %Current User%\Start Menu\Programs\Startup %Default User%\Start Menu\Programs\Startup قسمت سوم Autostart فایل Win.ini می‌باشد. فایل Win.ini برای بارگذاری برنامه‌های کاربردی و پیکربندی تنظیمات در هنگام راه‌اندازی مورد استفاده قرار می‌گیرد. این فایل در مسیر %WinDir% قرار گرفته است و حاوی بخش‌های مختلفی مانند windows، font، files ، mail ، extensions، MCI Extensions.BAK، SciCalc و … می‌باشد. برای مثال در بخش Windows از عبارت Run یا load برای اجرا شدن برنامه‌ها در هنگام راه‌اندازی ویندوز استفاده می‌شود. در بخش Windows از عبارت Run یا load برای اجرا شدن برنامه‌ها در هنگام راه‌اندازی ویندوز استفاده می‌شود. [windows] run=%Windows%\Sample.exe آخرین قسمت، فایل System.ini می‌باشد. این فایل نیز همانند Win.ini در مسیر %Windows% قرار دارد و حاوی بخش‌هایی همچون Boot، drivers، mci، driver۳۲ و … می‌باشد. [Boot] Shell = Sample.exe برای دیدن فایل‌های Win.ini و System.ini و کلیدهای رجیستری Run می‌توانید از دستور “MsConfig” در Run استفاده نمایید. می‌توانید با بررسی متناوب قسمت‌های ذکر شده فوق در هنگام بررسی فعالیت مشکوک سیستم، مانع از اجرای بدافزارهای حاوی قابلیت Autostart و بروز خسارت‌های ناشی از اجرای بدافزار شوید. عدم آگاهی از این موضوع و عدم بررسی این نقاط در ویندوز می‌تواند آثار مخرب غیر قابل جبرانی برای کاربران در بر داشته باشد.شاید بررسی این ۴ قسمت بیش از چند دقیقه وقت نیاز نداشته باشد اما در مواقعی که بدافزار iبه سیستم آسیب می‌زند و راهی جز تعویض سیستم عامل وجود ندارد چندین برابر این وقت باید صرف این موضوع گردد.توجه داشته باشید که انجام این موارد iبه ظاهر ساده در امنیت سیستم از اهمیت بسیاری برخوردار است. |  |
ایتنا – آخرین عناوین