هر برنامه کامپیوتری ( چه مفید و چه مضر ) یک پردازش ( Process ) در سیستم عامل ایجاد میکند . این پردازش که از سوی فایل اصلی برنامه در جریان میباشد ، مسئول برقراری ارتباط برنامه با سیستم عامل است . پردازش مربوط به هر برنامه ، درخواست های خود را به سیستم عامل میدهد و سیستم عامل هم موارد درخواست شده را اختیار برنامه خواهد میگذارد . پس تا اینجا متوجه شدیم که یکی از مهمترین بخش های پایه ای یک برنامه کامپیوتری ، پردازش آن میباشد . اگر به هر نحوی این پردازش از کار انداخته شود و یا خللی در ارتباط آن با سیستم عامل به وجود بیاید ، برنامه مورد نظر دیگر قادر به پاسخگویی به کاربر نخواهد بود . در اینجاست که برنامه یا به صورت کامل بسته شده و غیر فعال میشود .                                     

همانطور که میدانید ، بدافزارها هم یک برنامه کامپیوتری هستند و پردازشی برای خود دارند . اگر به هر نحوی بتوان آن ها را از کار انداخت ، میتوان امیدوار به پاک سازی کامل آن بود . 

در این مطلب سعی داریم تا روش هایی به منظور پیدا کردن و از کار انداختن پردازش های خطرناک را مورد بررسی قرار دهیم . پس با گویا آی تی همراه باشید ……….

نکته : قبل از اینکه ادامه مطلب را بخوانید ، بایستی چند برنامه کاربردی که حجم کمی هم دارند را دریافت کنید . این برنامه ها پیش نیازیهای کار هستند و استفاده از آنها ضروری خواهد بود .

ابتدا بسته نرم افزاری Sysinternal Suite که شامل تعداد زیادی برنامه کاربردی میباشد و توسط شرکت مایکروسافت عرضه میشود را از آخر همین مطلب دانلود کنید .

مرحله اول ، پیدا کردن پردازش های مشکوک و خطرناک :

قبل از اینکه کار را شروع کنیم ، ابتدا باید وضعیت خود را مشخص کنید . اگر به صورت واضح علائم آلودگی را مشاهده میکنید ( مثل از کار افتادن Task Manager ، رجیستری ، کاهش محسوس سرعت سیستم و …. ) ، باید گفت که در وضعیت خوبی قرار ندارید . اما باز هم ممکن است راه هایی باقی مانده باشد . پس نا امید نشوید و مراحل زیر را امتحان کنید .

اگر همانطور که در بالا گفته شد ، تسک منیجر شما از کار افتاده و نمیتوانید لیست پردازش ها را مشاهده کنید ، بایستی از برنامه های جایگزین آن که به مراتب بهتر نیز هستند ، استفاده کنید . یکی از این برنامه ها ، برنامه Process Explorer میباشد که در بسته نرم افزاری Sysinternal Suite وجود دارد ( نام فایل برنامه در این بسته ، procexp.exe میباشد ) . 

هنگامی که این برنامه را اجرا کنید با لیستی از پردازش های جاری سیستم مواجه خواهید شد . اکنون باید به دنبال نشانه هایی باشیم که ما را به پردازش های مشکوک نزدیک تر میکنند . این علائم به چند دسته تقسیم میشوند .

1- علائم تاثیر گذار بر کارایی سیستم : این دسته از علائم باعث تاثیر گذاری بر روند بازدهی سیستم میشوند. به عنوان مثال دسته ای از بدافزارها به دلیل فعالیت زیادی که دارند ، سرعت سیستم را به شدت کاهش میدهند و همین موضوع میتواند به ما کمک کند تا متوجه شویم که یک پردازش مشکوک است .

این برنامه دارای ستون هایی میباشد که اطلاعاتی در مورد هر یک از پردازش های به ما میدهند . در اینجا ما میخواهیم میزان تاثیر گذاری هر پردازش بر عملکرد سیستم را متوجه شویم . ستون CPU دقیقا همان چیزی است که ما به دنبالش هستیم . در این ستون میتوانید میزان استفاده هر پردازش از CPU را بر حسب درصد مشاهده کنید . میزان استفاده ی یک پردازش از CPU در حالت عادی نباید بالاتر از 20 % برود . مگر اینکه آن برنامه در حال اجرای عملیات بسیار سنگینی باشد ( مثلا پردازش های گرافیکی که معمولا توان زیادی از سیستم درخواست میکنند ) که این میزان ممکن است تا 50 الی 60 % هم برسد . اما برای اینکه بتوانیم درصد خطای شناسایی را پایین تر بیاوریم ، باید قبل از شروع هر کاری ، اقداماتی را انجام دهیم . اول از همه اینکه همه برنامه ها را ببندید . حتی اگر میدانید که برنامه ای در پس زمینه سیستم عامل در حال انجام کاری میباشد ، آن را نیز متوقف کنید . آنتی ویروس ها در مواقعی که سیستم بیکار هستند معمولا شروع به اسکن کردن سیستم میکنند . آنتی ویروستان را طوری تنظیم کنید که این کار را انجام ندهد .

نکته : نام پردازش هایی که در تصاویر میبیند یا به آنها اشاره میشود ، صرفا جهت مثال است و این پردازش ها آلوده نیستند .

حالا در برنامه Process Explorer به ستون CPU دقت کنید . لیست را پایین آورده و ستون CPU را تحت نظر بگیرید .

اگر موردی را دیدید که چیزی بیشتر از 20 الی 30 درصد از توان پردازنده را مصرف میکند ، لازم است که به آن مشکوک شوید . البته باید در اینجا دو نکته مهم را ذکر کنیم .

1- پردازشی به نام System Idle Process یک پردازش سیستمی و بی خطر است که میزان بیکاری سیستم را نمایش میدهد . این عدد معمولا در حدود 98 یا 99% است . اتفاقا هر چه این عدد بیشتر باشد نشانه بهتری خواهد بود .

2- بعضی از پردازش ها به صورت لحظه ای ( در حدود 1 الی 2 ثانیه ) درصد زیادی از توان CPU را مصرف میکنند که مشکلی نخواهد داشت و در اکثر مواقع این پردازش ها بی خطر هستند .

اکنون فرض را بر این میگیریم که پردازشی را پیدا کرده اید که مشکوک به نظر میرسد و توان زیادی از سیستم میگیرد . قبل از اینکه هر کاری به منظور مقابله با آن انجام دهید ، بهتر است راجع به آن اطلاعاتی کسب کنید . ابتدا بهتر است به مسیری که فایل اصلی مربوط به آن پردازش در آن قرار دارد ، بروید . برای پیدا کردن مسیر فایل اصلی پردازش کافیست نشانگر موس را روی آن پردازش نگه دارید تا در یک tooltip ، آدرس فایل به شما نشان داده شود .

به آدرس نشان داده شده بروید . ابتدا ببینید که این آدرس آیا مربوط به یک برنامه است و یا جایی دورافتاده در بین فایل ها سیستم . اگر مربوط به یک برنامه باشد ، بیشتر میتوان به آن اعتماد کرد . مخصوصا اگر آن برنامه مربوط به یک شرکت معتبر باشد . ولی باز هم نمیتوان مطمئن بود .

حالا کافیست نام این فایل را به همراه پسوندش ( که معمولا EXE میباشد ) در یک موتور جستجوی اینترنتی مثل گوگل ، جستجو کنید . اگر این فایل آلوده باشد ، به احتمال 90 % کاربران زیادی قبل از شما در این مورد بحث کرده اند و شما میتوانید با مطالعه اطلاعات مربوط به این فایل ، خود را به ماهیت اصلی آن نزدیک تر کنید .

گام بعدی که میتواند مدارک بیشتر مبنی بر آلوده بودن فایل را به ما بدهد ، استفاده از برنامه های امنیتی مثل آنتی ویروس هاست . اگر یک آنتی ویروس آپدیت شده دارید ، سریعا فایل را اسکن کنید . در صورتی که به نتایجی که آنتی ویروستان نشان میدهد زیاد اطمینان ندارید ، میتوانید از سرویس های بسیار کارآمد و مفیدی مثل Virustotal استفاده کنید . کافیست به این سایت بروید و فایل مورد نظر خود را توسط بیش از 40 آنتی ویروس ( در زمان نوشته شدن این مطلب ) مورد بررسی قرار دهید . مطمئنا این روش به شما کمک شایانی خواهد کرد .

2- ارتباطات اینترنتی مشکوک : این مورد اصلا چیز جالبی نیست و باید خیلی سریع تصمیم خود را اتخاذ کرده و وارد عمل شوید . از این به بعد شاید بهتر باشد که ارتباطات اینترنتی خود را چک کنید . به عنوان مثال چه برنامه هایی با اینترنت در ارتباط هستند . به منظور انجام اینکار میتوانید از برنامه های مانیتورینگ شبکه و اینترنت استفاده کنید . این برنامه ها معمولا لیست تمامی برنامه هایی که با اینترنت در ارتباط بوده اند و یا در حال حاضر هستند را در اختیار شما میگذارد . پس از اینکه لیست برنامه ها را مشاهده کردید و احیانا مورد مشکوکی را دیدید ، کافیست مانند روش بالا شروع به تحقیق در مورد برنامه ی مورد نظرتان کنید . در اینترنت جستجو کنید . راجع به خود فایل اطلاعات کسب کنید .

اگر پس از تحقیقاتی که انجام دادید ، متوجه شدید که این پردازش یک پردازش مشکوک و خطرناک است که در حال خرابکاری و یا سرقت اطلاعات شماست ، میتوانید عملیاتی در جهت مقابله با آن انجام دهید .

ابتدا باید ارتباط این سری پردازش ها را با سیستم قطع کنید . کافیست در پنجره Process Explorer روی پردازش مشکوک راست کلیک کرده و گزینه Kill Process را انتخاب کنید . پیغامی نیز ظاهر خواهد شد که باید دکمه OK را بزنید .

مرحله بعدی اینست که اجازه اجرای مجدد را به آنها ندهید . اجرای مجدد را میتوان با چند روش محدود کرد . اگر اجرا مجدد در هنگام راه اندازی مجدد سیستم در نظر بگیریم ، باید آن فایل را از لیست autorun ها حذف کنیم . شما میتوانید در بسته Sysinternal ، برنامه autoruns را اجرا کنید . لیستی بسیار کاملی در اختیار شما قرار خواهد گرفت و میتوانید تمامی برنامه هایی که در هنگام راه اندازی مجدد سیستم عامل اجرا میشوند را مشاهده کنید . به دنبال همان فایل یا فایل های مشکوک بگردید و آن را از لیست حذف کنید .

اما اگر میخواهید مانع از اجرای مجدد آن پردازش در هر شرایطی شوید ، باید آن را به اصطلاح به لیست سیاه اضافه کنید . معمولا بیشتر برنامه های امنیتی مثل آنتی ویروس ها و فایروال ها چنین امکانی را به شما میدهند . کافیست فایل مورد نظر خود را به لیست سیاه اضافه کنید تا در هر شرایطی مانع از انجام اجرای مجدد آن شوید .