Найти и разобрать вирус

[Bush_Kape]

Всем доброго времени суток!
Есть жесткий диск с вирусом точно известно, данный вредитель унёс важную информацию.
Задача:
1)Как его найти не повредив?
2)Как его разобрать и вынести из него ценную информацию(куда унёс или отправил файлы)?
Буду признателен за любую информацию, если задаю банальные вопросы и есть ответы в актуальных статьях, буду любезен за предоставленную информацию ссылками.
Заранее спасибо!

 

[am29f010b]

Если я правильно понял, тогда
1) Сканирование ПК (например тулзой drweb) - отметив в настройках "в карантин все отправлять"
2) Найденный вирус загрузить для анализа (разбора) на сайт того же drweb-парсера
3) Если с парсером запутаешься, обратиться в тех.поддержку drweb.

 

[Debug]

Чтобы узнать куда вирус передал инфу(любые байты) можно его найти любым средством AV, затем либо декомпилировать и найти IP сервера либо на виртуальной машине(VirtualBox & WMare) запустить и проверить сетевую активность(Process Hacker).
Хорошо было, если был бы дамп памяти(Тогда можно более все детально узнать)

Как снять дамп памяти?

Дамп нужен того времени когда вирус атаковал(отправлял данные)

 

[Bush_Kape]

Чтобы узнать куда вирус передал инфу(любые байты) можно его найти любым средством AV, затем либо декомпилировать и найти IP сервера либо на виртуальной машине(VirtualBox & WMare) запустить и проверить сетевую активность(Process Hacker).
Хорошо было, если был бы дамп памяти(Тогда можно более все детально узнать)

Как снять дамп памяти?

Дамп нужен того времени когда вирус атаковал(отправлял данные)

Точное время известно, их с логов системы снять? Стоит windows 7

 

[lameruser]

Как снять дамп памяти?

1. Открыть Диспетчер задач Windows (например, нажав Ctrl + Shift + Esc).
2. Перейти на вкладку "Процессы", если у вас Windows Vista/7. Перейти на вкладку "Подробности", если у вас Windows 8/8.1/10. В Windows XP снять дамп памяти процесса через Диспетчер задач невозможно.
3. Нажать кнопку "Отображать процессы всех пользователей".
4. Найти процесс с необходимым PID. Если PID не отображается в списке, используейте "Вид -> Выбрать столбцы... -> ИД процесса (PID)".
5. Кликнуть правой кнопкой на интересующем процессе и выбрать пункт "Создать файл дампа памяти". После завершения сбора дампа вам отобразиться окно с указанием пути расположения самого дампа.

 

[arsof]

Прошу прощения , а снифером если перезапустить вирус никак нельзя узнать?

 

[Debug]

Прошу прощения , а снифером если перезапустить вирус никак нельзя узнать?

Конечно можно)

 

[pr0phet]

Всем доброго времени суток!
Есть жесткий диск с вирусом точно известно, данный вредитель унёс важную информацию.
Задача:
1)Как его найти не повредив?
2)Как его разобрать и вынести из него ценную информацию(куда унёс или отправил файлы)?
Буду признателен за любую информацию, если задаю банальные вопросы и есть ответы в актуальных статьях, буду любезен за предоставленную информацию ссылками.
Заранее спасибо!

Что вам даст информация о том, куда он что-либо отправил? Ну будет там IP центра управления в банановой республике. Что дальше?

По поводу расследования инцидента тут вы найдете массу материалов:
Компьютерная криминалистика (форензика): каталог статей "list of articles".
Точечно можете задать вопрос @Sunnych - он модератор раздела "форензика". Является экспертом в данной области

 

[Bush_Kape]

Что вам даст информация о том, куда он что-либо отправил? Ну будет там IP центра управления в банановой республике. Что дальше?

По поводу расследования инцидента тут вы найдете массу материалов:
Компьютерная криминалистика (форензика): каталог статей "list of articles".
Точечно можете задать вопрос @Sunnych - он модератор раздела "форензика". Является экспертом в данной области

Если работал не профи, и использовал статический ip адрес, так как я уже установил что был обычный рат.

 

[pr0phet]

Если работал не профи, и использовал статический ip адрес, так как я уже установил что был обычный рат.

IP то явно статический, но дедика или впс, купленный за битки. Надо быть на всю голову отстреленным, чтобы делать такое с реального ип.

 

[Bush_Kape]

IP то явно статический, но дедика или впс, купленный за битки. Надо быть на всю голову отстреленным, чтобы делать такое с реального ип.

Видимо как раз этот чел наголову отстреленый