सक्रिय संक्रमण का पता लगाने के लिए म्यूटेक्स का उपयोग करना

एक सिस्टम संक्रमण का प्रदर्शन करते समय, विमेकर को हमेशा यह निर्धारित करने के कार्य के साथ सामना किया जाता है कि क्या एक दिया गया सिस्टम पहले से संक्रमित है। अन्यथा, कुछ मामलों में बार-बार संक्रमण तंत्र के कार्यान्वयन से ट्रोजन का विघटन या पूरे सिस्टम की अस्थिरता हो सकती है। दोनों अवांछनीय हैं।

इस घटना को रोकने के लिए तंत्र में से एक विशिष्ट म्यूटेक्स का निर्माण है, जिसकी उपस्थिति सक्रिय संक्रमण की उपस्थिति के बारे में एक निष्कर्ष बनाती है। इसी समय, म्यूटेक्स किसी भी तरह से छिपा नहीं रहे हैं, और इसलिए एक निश्चित संक्रमण की उपस्थिति के लिए एक विश्वसनीय संकेत हो सकता है।

सिस्टम में खुले सभी म्यूटेक्स के हैंडल की सूची का निष्पादन मार्क रोसिनोविच से हैंडल उपयोगिता का उपयोग करके किया जा सकता है। यह एक साधारण आदेश के साथ किया जाता है:
handle.exe -a > log.txt

सूची को पार्स करके, आप न केवल इस बारे में जानकारी प्राप्त कर सकते हैं कि क्या सिस्टम में कोई संक्रमण है, बल्कि कुछ मामलों में यह भी जानकारी मिलती है कि कौन सी फ़ाइल संभावित रूप से संक्रमित है।

यह देखते हुए कि बहुत व्यस्त मशीन पर भी लॉग का एक पूरा संग्रह कई सेकंड लेता है, यह म्यूटेक्स की ब्लैक-एंड-व्हाइट सूची बनाने का वादा करता है जो संक्रमण का तेजी से आकलन करने की अनुमति देता है। उदाहरण के लिए, यह सर्वविदित है कि:

_AVIRA_ [अक्षर] या __SYSTEM __ [अक्षर] - ZBot मार्कर
svchost_test_started - TDL3 टोकन
फ्लेमेडोस - बिफ्रोस्ट मार्कर
__b4ng__b4ng__38 - टाइगर मार्कर
Jo1ezdsl - मार्कर Bankpatch.C
Op1mutx9 या Ap1mutx7 - और हमेशा * exeM_ * - सालिटी मार्कर के साथ संयोजन में
Jhadheddfffffhjk5trh - अलाप मार्कर
1337bot - Spybot मार्कर
रूटज़ - Sdbot मार्कर

यह ध्यान दिया जाना चाहिए कि विशिष्ट म्यूटेक्स की उपस्थिति को अस्थिरता के लिए म्यूटेंटस्कैन प्लगइन एंड्रियास स्कस्टर का उपयोग करके संक्रमित सिस्टम की पूरी मेमोरी डंप से भी पता लगाया जा सकता है।

बेशक, यह विधि बाद के उपचार के पूर्ण तंत्र पर 100% जानकारी प्रदान नहीं करती है, इसके अतिरिक्त, निर्धारक कोड में कुछ बदलावों के साथ निर्दिष्ट "पता लगाने" को हटा सकता है, लेकिन दूसरी ओर, डेटाबेस को बनाए रखने की अभिव्यक्ति और सहजता एक प्लस है।