Eliminación de malware: preparación para la eliminación
Los malware se adhieren a los programas y se transmiten a otros programas haciendo uso de algunos eventos. Necesitan que estos eventos sucedan porque no pueden comenzar por sí mismos, transmitirse mediante el uso de archivos no ejecutables e infectar otras redes o una computadora.
Para prepararnos para la fase de eliminación, primero debemos comprender cuáles son todos los procesos informáticos que utiliza el malware para eliminarlos. ¿Qué puertos de tráfico están utilizando para bloquearlos? ¿Cuáles son los archivos relacionados con estos malwares, para que podamos tener la oportunidad de repararlos o eliminarlos? Todo esto incluye un montón de herramientas que nos ayudarán a recopilar esta información.
Proceso de investigación
De las conclusiones mencionadas anteriormente, debemos saber que cuando algunos procesos o servicios inusuales se ejecutan por sí mismos, debemos investigar más a fondo su relación con un posible virus. El proceso de investigación es el siguiente:
Para investigar los procesos, debemos comenzar utilizando las siguientes herramientas:
- fport.exe
- pslist.exe
- handle.exe
- netstat.exe
los Listdll.exe muestra todos los dll filesque se están utilizando. losnetstat.execon sus variables muestra todos los procesos que se ejecutan con sus respectivos puertos. El siguiente ejemplo muestra cómo un proceso deKaspersky Antivirusse asigna a un comando netstat-ano para ver los números de proceso. Para comprobar a qué número de proceso pertenece, usaremos el administrador de tareas.
Para Listdll.exe, lo hemos descargado del siguiente enlace: https://technet.microsoft.com/en-us/sysinternals/bb896656.aspx y podemos ejecutarlo para comprobar qué procesos están conectados con la DLL que se está utilizando.
Abrimos CMD y vamos a la ruta de Listdll.exe como se muestra en la siguiente captura de pantalla, luego lo ejecutamos.
Obtendremos el resultado como se muestra en la siguiente captura de pantalla.
Por ejemplo, el PID 16320 está siendo utilizado por dllhost.exe, que tiene una descripción COM Surrogateya la izquierda. Ha mostrado toda la DLL mostrada por este proceso, que podemos buscar en Google y verificar.
Ahora usaremos el Fport, que se puede descargar desde el siguiente enlace - https://www.mcafee.com/hk/downloads/free-tools/fport.aspx# para mapear los servicios y PID con los puertos.
Otra herramienta para monitorear los servicios y ver cuántos recursos están consumiendo se llama "Process Explorer", que se puede descargar desde el siguiente enlace: https://download.sysinternals.com/files/ProcessExplorer.zip y después de descargarlo, debe ejecutar el archivo exe y verá el siguiente resultado:
