¿Cómo escondo un proceso en el Administrador de tareas en C#?

.net taskmanager

Question

Tengo un requisito para ocultar un proceso en el Administrador de tareas. Es para el escenario de Intranet. Entonces, todo es legítimo :)

Por favor, siéntase libre de compartir cualquier código que tenga (preferiblemente en C #) o cualquier otra técnica o cualquier problema al seguir esta ruta.

Actualización1 : la mayoría de los usuarios tienen privilegios de administrador para ejecutar algunas aplicaciones heredadas. Entonces, una de las sugerencias fue esconderlo en el administrador de tareas. Si hay otros enfoques para evitar que los usuarios maten el proceso, sería genial.

Actualización2 : Eliminar la referencia a rootkit. De alguna manera, hizo que esta publicación se viera negativa.

Answer 1

¿Has mirado escribir un servicio? De esta forma, el servicio se ejecuta como el sistema local, y la aplicación se ejecuta en el contexto del usuario, y el servicio puede garantizar que las cosas sigan realizándose según sea necesario y que la aplicación sea solo una interfaz para este servicio. Al matar la aplicación, el usuario no verá ningún aviso, icono de la bandeja del sistema, etc., pero el servicio todavía está haciendo su trabajo.

Answer 2

¿Qué hay de que le pidas al usuario que no mate el proceso? Cuánto tiempo pasará haciéndolo, por un comportamiento claramente infantil de los empleados de la misma empresa.

Answer 3

Alternativamente, podría escribir una pequeña utilidad de "comprobación" que verifique si la aplicación se está ejecutando, si no es así, la inicia automáticamente. A continuación, agregue código a la aplicación para verificar la utilidad "checker" que hace lo mismo. De esta forma, si uno termina, el otro lo inicia nuevamente. Parece que los virus hacen esto, y parece funcionar bastante bien.

Answer 4

Como mencioné antes, el mejor método es 2 tareas, supervisándose entre sí, entiendo que no se quiere desperdiciar CPU, así que la mejor manera es establecer un evento entre las tareas que se activarán cuando se cierre.

No estoy del todo seguro de cómo configurar el gancho, pero luego no utiliza un ciclo while que desperdicia la CPU.

Answer 5

Escribir un controlador: puede usar ObRegisterCallbacks para registrar la notificación de acceso al objeto de proceso. Devuelve STATUS_ACCESS_DENIED cuando DesiredAccess contiene derechos de acceso que no te gustan, como la terminación del proceso o la escritura en la memoria de proceso.

http://msdn.microsoft.com/en-us/library/windows/hardware/ff558692(v=vs.85).aspx

Answer 6

Espero que no puedas.

Actualización: dada la situación hipotética, creo que es mejor que lo ejecutes con una cuenta de administrador diferente. Eso puede ayudar a alertar a las personas sobre el hecho de que no deberían matar el proceso.

Answer 7

Muchas personas podrían saber cómo hacerlo, pero simplemente no lo publicarán aquí. Es muy peligroso publicar código malicioso en Internet. Quién sabe que podrías estar en peligro. Pregúntale a un ingeniero informático Aunque te daré la estructura del programa.

Simplemente inyecte el dll de su programa en explorer.exe.

Su proceso no solo aparecerá porque no se está ejecutando como un programa, sino que se está ejecutando en un programa (explorer.exe). El usuario simplemente no verá el proceso incluso si usa cualquier tipo de administrador de tareas.

Answer 8

No estoy seguro de por qué esto aún no se ha sugerido, pero esta es mi primera respuesta en este sitio. en lugar de evitar que el usuario mate un proceso. (Requiere enrutamiento de rootkits). Simplemente puede desactivar el administrador de tareas para que no se use con una entrada de registro.

public static void ToggleTaskManager(bool toggle)
{
Microsoft.Win32.RegistryKey HKCU = Microsoft.Win32.Registry.LocalMachine;
Microsoft.Win32.RegistryKey key = HKCU.CreateSubKey(@"Software/Microsoft/Windows/CurrentVersion/Policies/System");
key.SetValue("DisableTaskMgr", toggle ? 0 : 1, Microsoft.Win32.RegistryValueKind.DWord);
}

Answer 9

No hay una manera admitida de lograr esto. La lista de procesos se puede leer en cualquier nivel de privilegio. Si esperaba ocultar un proceso incluso a los Administradores, entonces esto es doblemente incompatible.

Para que esto funcione, tendría que escribir un rootkit en modo kernel para interceptar llamadas a NtQuerySystemInformation para que la clase de información SystemProcessInformation no pueda listar su proceso oculto.

La interceptación de las llamadas al sistema es muy difícil de realizar de forma segura, y los kernels de 64 bits de Windows se esfuerzan para evitar que esto sea posible: tratar de modificar los resultados de la tabla syscall en una pantalla azul instantánea. Va a ser muy difícil en esas plataformas

Here hay un ejemplo de un rootkit que intenta hacer algo similar (y tiene varios problemas serios).

Answer 10

No hay una manera fácil o compatible para hacer esto. Incluso si escribió un rootkit para hacerlo, eso podría romperse fácilmente con una actualización futura que se hizo para tapar ese agujero. Volvería a examinar si eso es algo que quieres hacer.

Answer 11

No trates de evitar que te maten; no lo vas a manejar. En su lugar, haz que regularmente llame a casa a un servicio web. Cuando el servicio web nota que un cliente "está en silencio", puede hacer ping a la máquina para ver si se trata de un problema de reinicio, y enviar un correo electrónico a un administrador (o quien sea) para disciplinar a quien haya matado el proceso.

Answer 12

Sé que esta pregunta es antigua, pero hace un tiempo respondí una pregunta duplicada que contiene alguna buena información que no está aquí, así que pensé en vincularla. Ver mi respuesta a la pregunta duplicada. Además, si su verdadero objetivo es evitar que los usuarios maten el proceso, entonces lo que sé que solía funcionar muy fácilmente, aunque es un poco hackish y no sé si esto todavía funciona, es simplemente nombrar su aplicación lsass.exe y el administrador de tareas no permitirá que incluso un usuario administrador cierre el proceso. para este método, no importa qué usuario inició el proceso o dónde reside el ejecutable en el sistema de archivos, parece que Windows simplemente verifica si el proceso recibe el nombre y no permite que finalice.

Actualización: Acabo de intentar hacer el truco lsass.exe en Windows 7 y parece que se ha corregido, pero supongo que todavía funciona en Windows XP y tal vez incluso los paquetes de servicios anteriores de las versiones más allá de XP. Aunque esto ya no funciona en el momento de escribir este artículo, pensé que lo incluiría de todos modos como un hecho divertido.

Answer 13

Si desea evitar que los usuarios eliminen el proceso del administrador de tareas, puede usar un descriptor de seguridad en el proceso para denegar el acceso a todos. Los administradores técnicamente aún pueden matar el proceso asumiendo la propiedad del proceso y reiniciando el DACL, pero no existe una interfaz para hacer cualquiera de estas cosas desde el Administrador de tareas. Sin embargo, Process Explorer puede tener una interfaz.

Cuando se inicia el proceso, use SetKernelObjectSecurity con DACL_SECURITY_INFORMATION con el identificador de proceso actual. Establezca una DACL con cero ACL. Esto negará todo acceso a todos, incluidos los que intentan finalizar su proceso con el administrador de tareas.

Aquí hay un ejemplo que también cambia el propietario del proceso:

SECURITY_DESCRIPTOR sd;
ACL dacl;
SID_IDENTIFIER_AUTHORITY ntauth = SECURITY_NT_AUTHORITY;
PSID owner;
assert(InitializeAcl(&dacl, sizeof dacl, ACL_REVISION));
assert(AllocateAndInitializeSid(&ntauth, 1, SECURITY_LOCAL_SYSTEM_RID, 0,0,0,0,0,0,0, &owner));
assert(InitializeSecurityDescriptor(&sd, SECURITY_DESCRIPTOR_REVISION));
assert(SetSecurityDescriptorDacl(&sd, TRUE, &dacl, FALSE));
assert(SetSecurityDescriptorOwner(&sd, owner, FALSE));
assert(SetKernelObjectSecurity(GetCurrentProcess(), DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION, &sd));
assert(FreeSid(owner) == NULL);

Desafortunadamente, no parece ser efectivo. Todavía puedo cerrar el proceso (aunque no como usuario limitado). ¿Tal vez el Administrador de tareas toma posesión o invoca algún otro privilegio para matar el proceso? Me parece recordar que esto funcionaba en versiones anteriores de Windows (estaba probando 2003), pero podría estar equivocado.

Answer 14

Si simplemente necesita ocultar el proceso y no ocultarlo por completo, puede cambiarle el nombre winlogon.exe o svchost.exe y es probable que los usuarios lo ignoren. Pero como mencionó Sergio, eso es seguridad por oscuridad y tiene una mala reputación por una razón.

Evitar que los usuarios maten un proceso es otra dificultad si tienen los privilegios adecuados. El único método que conozco es tener múltiples procesos que se miran unos a otros y reiniciar cualquier proceso observado que muera. De nuevo, esto va por un camino sombreado.

Answer 15

Vi a @Chris Smith responder y decidí convertirlo a C #.

Aquí está el código, tomado de here , para una simple aplicación Winform:
Variación C #:

 using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Data;
using System.Drawing;
using System.Linq;
using System.Runtime.InteropServices;
using System.Security.AccessControl;
using System.Security.Principal;
using System.Text;
using System.Threading.Tasks;
using System.Windows.Forms;
namespace Hide2
{
public partial class Form1 : Form
{
[DllImport("advapi32.dll", SetLastError = true)]
static extern bool GetKernelObjectSecurity(IntPtr Handle, int securityInformation, [Out] byte[] pSecurityDescriptor,
uint nLength, out uint lpnLengthNeeded);
public static RawSecurityDescriptor GetProcessSecurityDescriptor(IntPtr processHandle)
{
const int DACL_SECURITY_INFORMATION = 0x00000004;
byte[] psd = new byte[0];
uint bufSizeNeeded;
// Call with 0 size to obtain the actual size needed in bufSizeNeeded
GetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION, psd, 0, out bufSizeNeeded);
if (bufSizeNeeded < 0 || bufSizeNeeded > short.MaxValue)
throw new Win32Exception();
// Allocate the required bytes and obtain the DACL
if (!GetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION,
psd = new byte[bufSizeNeeded], bufSizeNeeded, out bufSizeNeeded))
throw new Win32Exception();
// Use the RawSecurityDescriptor class from System.Security.AccessControl to parse the bytes:
return new RawSecurityDescriptor(psd, 0);
}
[DllImport("advapi32.dll", SetLastError = true)]
static extern bool SetKernelObjectSecurity(IntPtr Handle, int securityInformation, [In] byte[] pSecurityDescriptor);
[DllImport("kernel32.dll")]
public static extern IntPtr GetCurrentProcess();
[Flags]
public enum ProcessAccessRights
{
PROCESS_CREATE_PROCESS = 0x0080, // Required to create a process.
PROCESS_CREATE_THREAD = 0x0002, // Required to create a thread.
PROCESS_DUP_HANDLE = 0x0040, // Required to duplicate a handle using DuplicateHandle.
PROCESS_QUERY_INFORMATION = 0x0400, // Required to retrieve certain information about a process, such as its token, exit code, and priority class (see OpenProcessToken, GetExitCodeProcess, GetPriorityClass, and IsProcessInJob).
PROCESS_QUERY_LIMITED_INFORMATION = 0x1000, // Required to retrieve certain information about a process (see QueryFullProcessImageName). A handle that has the PROCESS_QUERY_INFORMATION access right is automatically granted PROCESS_QUERY_LIMITED_INFORMATION. Windows Server 2003 and Windows XP/2000: This access right is not supported.
PROCESS_SET_INFORMATION = 0x0200, // Required to set certain information about a process, such as its priority class (see SetPriorityClass).
PROCESS_SET_QUOTA = 0x0100, // Required to set memory limits using SetProcessWorkingSetSize.
PROCESS_SUSPEND_RESUME = 0x0800, // Required to suspend or resume a process.
PROCESS_TERMINATE = 0x0001, // Required to terminate a process using TerminateProcess.
PROCESS_VM_OPERATION = 0x0008, // Required to perform an operation on the address space of a process (see VirtualProtectEx and WriteProcessMemory).
PROCESS_VM_READ = 0x0010, // Required to read memory in a process using ReadProcessMemory.
PROCESS_VM_WRITE = 0x0020, // Required to write to memory in a process using WriteProcessMemory.
DELETE = 0x00010000, // Required to delete the object.
READ_CONTROL = 0x00020000, // Required to read information in the security descriptor for the object, not including the information in the SACL. To read or write the SACL, you must request the ACCESS_SYSTEM_SECURITY access right. For more information, see SACL Access Right.
SYNCHRONIZE = 0x00100000, // The right to use the object for synchronization. This enables a thread to wait until the object is in the signaled state.
WRITE_DAC = 0x00040000, // Required to modify the DACL in the security descriptor for the object.
WRITE_OWNER = 0x00080000, // Required to change the owner in the security descriptor for the object.
STANDARD_RIGHTS_REQUIRED = 0x000f0000,
PROCESS_ALL_ACCESS = (STANDARD_RIGHTS_REQUIRED | SYNCHRONIZE | 0xFFF),// All possible access rights for a process object.
}
public static void SetProcessSecurityDescriptor(IntPtr processHandle, RawSecurityDescriptor dacl)
{
const int DACL_SECURITY_INFORMATION = 0x00000004;
byte[] rawsd = new byte[dacl.BinaryLength];
dacl.GetBinaryForm(rawsd, 0);
if (!SetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION, rawsd))
throw new Win32Exception();
}
public Form1()
{
InitializeComponent();
// Get the current process handle
IntPtr hProcess = GetCurrentProcess();
// Read the DACL
var dacl = GetProcessSecurityDescriptor(hProcess);
// Insert the new ACE
dacl.DiscretionaryAcl.InsertAce(
0,
new CommonAce(
AceFlags.None,
AceQualifier.AccessDenied,
(int)ProcessAccessRights.PROCESS_ALL_ACCESS,
new SecurityIdentifier(WellKnownSidType.WorldSid, null),
false,
null)
);
// Save the DACL
SetProcessSecurityDescriptor(hProcess, dacl);
}
}
}

Después de ejecutarlo como usuario limitado, no puedo eliminarlo del administrador de tareas, solo como administrador.
Dejé el botón X para poder cerrarlo sin un administrador pero también es posible eliminarlo.

El resultado:

Variación Powershell:

$source = @"
using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Runtime.InteropServices;
using System.Security.AccessControl;
using System.Security.Principal;
namespace Hide2
{
public class myForm
{
[DllImport("advapi32.dll", SetLastError = true)]
static extern bool GetKernelObjectSecurity(IntPtr Handle, int securityInformation, [Out] byte[] pSecurityDescriptor,
uint nLength, out uint lpnLengthNeeded);
public static RawSecurityDescriptor GetProcessSecurityDescriptor(IntPtr processHandle)
{
const int DACL_SECURITY_INFORMATION = 0x00000004;
byte[] psd = new byte[0];
uint bufSizeNeeded;
// Call with 0 size to obtain the actual size needed in bufSizeNeeded
GetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION, psd, 0, out bufSizeNeeded);
if (bufSizeNeeded < 0 || bufSizeNeeded > short.MaxValue)
throw new Win32Exception();
// Allocate the required bytes and obtain the DACL
if (!GetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION,
psd = new byte[bufSizeNeeded], bufSizeNeeded, out bufSizeNeeded))
throw new Win32Exception();
// Use the RawSecurityDescriptor class from System.Security.AccessControl to parse the bytes:
return new RawSecurityDescriptor(psd, 0);
}
[DllImport("advapi32.dll", SetLastError = true)]
static extern bool SetKernelObjectSecurity(IntPtr Handle, int securityInformation, [In] byte[] pSecurityDescriptor);
[DllImport("kernel32.dll")]
public static extern IntPtr GetCurrentProcess();
[Flags]
public enum ProcessAccessRights
{
PROCESS_CREATE_PROCESS = 0x0080, // Required to create a process.
PROCESS_CREATE_THREAD = 0x0002, // Required to create a thread.
PROCESS_DUP_HANDLE = 0x0040, // Required to duplicate a handle using DuplicateHandle.
PROCESS_QUERY_INFORMATION = 0x0400, // Required to retrieve certain information about a process, such as its token, exit code, and priority class (see OpenProcessToken, GetExitCodeProcess, GetPriorityClass, and IsProcessInJob).
PROCESS_QUERY_LIMITED_INFORMATION = 0x1000, // Required to retrieve certain information about a process (see QueryFullProcessImageName). A handle that has the PROCESS_QUERY_INFORMATION access right is automatically granted PROCESS_QUERY_LIMITED_INFORMATION. Windows Server 2003 and Windows XP/2000: This access right is not supported.
PROCESS_SET_INFORMATION = 0x0200, // Required to set certain information about a process, such as its priority class (see SetPriorityClass).
PROCESS_SET_QUOTA = 0x0100, // Required to set memory limits using SetProcessWorkingSetSize.
PROCESS_SUSPEND_RESUME = 0x0800, // Required to suspend or resume a process.
PROCESS_TERMINATE = 0x0001, // Required to terminate a process using TerminateProcess.
PROCESS_VM_OPERATION = 0x0008, // Required to perform an operation on the address space of a process (see VirtualProtectEx and WriteProcessMemory).
PROCESS_VM_READ = 0x0010, // Required to read memory in a process using ReadProcessMemory.
PROCESS_VM_WRITE = 0x0020, // Required to write to memory in a process using WriteProcessMemory.
DELETE = 0x00010000, // Required to delete the object.
READ_CONTROL = 0x00020000, // Required to read information in the security descriptor for the object, not including the information in the SACL. To read or write the SACL, you must request the ACCESS_SYSTEM_SECURITY access right. For more information, see SACL Access Right.
SYNCHRONIZE = 0x00100000, // The right to use the object for synchronization. This enables a thread to wait until the object is in the signaled state.
WRITE_DAC = 0x00040000, // Required to modify the DACL in the security descriptor for the object.
WRITE_OWNER = 0x00080000, // Required to change the owner in the security descriptor for the object.
STANDARD_RIGHTS_REQUIRED = 0x000f0000,
PROCESS_ALL_ACCESS = (STANDARD_RIGHTS_REQUIRED | SYNCHRONIZE | 0xFFF),// All possible access rights for a process object.
}
public static void SetProcessSecurityDescriptor(IntPtr processHandle, RawSecurityDescriptor dacl)
{
const int DACL_SECURITY_INFORMATION = 0x00000004;
byte[] rawsd = new byte[dacl.BinaryLength];
dacl.GetBinaryForm(rawsd, 0);
if (!SetKernelObjectSecurity(processHandle, DACL_SECURITY_INFORMATION, rawsd))
throw new Win32Exception();
}
public static void ProtectMyProcess()
{
// Get the current process handle
IntPtr hProcess = GetCurrentProcess();
// Read the DACL
var dacl = GetProcessSecurityDescriptor(hProcess);
// Insert the new ACE
dacl.DiscretionaryAcl.InsertAce(
0,
new CommonAce(
AceFlags.None,
AceQualifier.AccessDenied,
(int)ProcessAccessRights.PROCESS_ALL_ACCESS,
new SecurityIdentifier(WellKnownSidType.WorldSid, null),
false,
null)
);
// Save the DACL
SetProcessSecurityDescriptor(hProcess, dacl);
}
}
}
"@
Add-Type -TypeDefinition $Source -Language CSharp
[ScriptBlock]$scriptNewForm = {
Add-Type -AssemblyName System.Windows.Forms
$Form = New-Object system.Windows.Forms.Form
$Form.Text = "PowerShell form"
$Form.TopMost = $true
$Form.Width = 303
$Form.Height = 274
[void]$Form.ShowDialog()
$Form.Dispose()
}
$SleepTimer = 200
$MaxResultTime = 120
$MaxThreads = 3
$ISS = [system.management.automation.runspaces.initialsessionstate]::CreateDefault()
$RunspacePool = [runspacefactory]::CreateRunspacePool(1, $MaxThreads, $ISS, $Host)
$RunspacePool.Open()
$Jobs = @()
$PowershellThread = [powershell]::Create().AddScript($scriptNewForm)
$PowershellThread.RunspacePool = $RunspacePool
$Handle = $PowershellThread.BeginInvoke()
$Job = "" | Select-Object Handle, Thread, object
$Job.Handle = $Handle
$Job.Thread = $PowershellThread
$Job.Object = $computer
$Jobs += $Job
[Hide2.myForm]::ProtectMyProcess()
<#
ForEach ($Job in $Jobs){
$Job.Thread.EndInvoke($Job.Handle)
$Job.Thread.Dispose()
$Job.Thread = $Null
$Job.Handle = $Null
}
#>

Answer 16

para evitar que el proceso se mate permanentemente, haga que lo primero que haga el proceso sea llamar a ''atexit ()'' y haga que la función atexit () inicie el proceso