Conoce tus procesos con Process Explorer 14.1

Muchas veces me hacen la difícil pregunta de cómo saber si tienes un malware instalado en tu máquina y he de decir que me ponen en un brete. No es fácil hoy en día detectar que tienes un malware si éste es de los "pata negra". Por supuesto,hay mecanismos para detectar que tienes mucho tipo de malware, así que siempre acabo contestando cosas bastante evidentes ante esa pregunta para no meterme en un jardín del que me sea después complicado escapar.

Sin embargo, yo también me hago muchas veces esa pregunta como usuario de una máquina, e intento respondérmela lo mejor que puedo. Para ello suelo seguir muchos de los consejos de Mark Russinovich, que tras años de solucionar los problemas de la computadora de su esprosa, sacó muchos buenos trucos mirando los autoruns, los accesos a ficheros o inspeccionando los procesos cargados en el equipo.

Yo de vez en cuando suelo revisar todos los procesos y ver las propiedades, donde compruebo cosas evidentes como la ruta desde la que se cargó la imagen del proceso o una interesante utilidad de verificación de la firma digital del fichero que está cargado en memoria en este momento

Para ello, basta con abrir Process Explorer, que fue actualizado a la versión 14.1 el mismo día el pasado martes, e ir seleccionando aquellos procesos que tengan más cara de sospechoso. Yo suelo tirar por todos los que tienen "algo raruno" o me parecen nuevos desde el último análisis. Eso puede ser mismamente porque el nombre llame la atención, tenga un alto consumo de CPU en un instante de tiempo o alguna característica distinta, como no tener activados DEP o ASLR en los tiempos que corren, como en este ejemplo con el proceso de Gtalk de Google.


Figura 1: Procesos vistos con Process Explorer
Con Process Explorer clicando sobre el proceso con el botón derecho puedes acceder a las propieades y ver todo esto, la ruta desde la que se cargó, el usuario con que está corriendo en la máquina, puedes directamente buscar este nombre de archivo en Internet para sacar más información o verificar la firma del mismo.


Figura 2: Propiedades del proceso de Google Talk
Algunos como este Gtalk me tiene extrañado, porque el proceso viene sin firmar o no se puede verificar la firma, así que lo desinstalé, lo volví a descargar, lo volví a instalar y nada, no se puede verificar la firma.


Figura 3: No se puede verificar la firma
Sin embargo, cuando te descargas el instalador, éste sí viene firmado, pero luego el ejecutable no está firmado, lo que hace que sea un buen candidato a ser reemplazado por un ejecutable troyanizado.

En otros, directamente con Process Explorer obtienes la comprobación de la firma de la imagen verificada, como en este caso con Secunia.


Figura 4: Proceso de Secunia verificado
A día de hoy el malware ha evolucionado mucho, tanto que llegan a meter malware en los drivers firmados de terceros, tal y como sucedió hace poco con un troyano que descubrió el equipo de ESET en las actualizaciones de un driver de Microsoft, pero revisar periódicamente y conocer los procesos de tu equipo es una buena idea. Es tu equipo, son tus procesos, así que intenta conocerlo como la palma de tu mano.

Saludos Malignos!