Sysinternals Suite для Windows
Sysinternals Suite — большой набор полезных утилит для диагностики и устранения различного рода неполадок системы от Марка Руссиновича, известного технического специалиста, сооснователя компании Winternals Software, а ныне являющегося сотрудником компании Microsoft.
В состав пакета входят следующие системные утилиты: AccessChk, AccessEnum, AdExplorer, AdRestore, Autologon, Autoruns, BgInfo, CacheSet, ClockRes, Contig, Ctrl2Cap, DebugView, DiskExt, DiskMon, DiskView, Disk Usage (DU), EFSDump, FileMon, Handle, Hex2dec, Junction, LDMDump, ListDLLs, LiveKd, LoadOrder, LogonSessions, NewSid, NTFSInfo, PageDefrag, PendMoves, PortMon, ProcessExplorer, Process Monitor, ProcFeatures, PsExec, PsFile, PsGetSid, PsInfo, PsKill, PsList, PsLoggedOn, PsLogList, PsPasswd, PsService, PsShutdown, PsSuspend, RegDelNull, RegJump, RegMon, RootkitRevealer, SDelete, ShareEnum, ShellRunas, SigCheck, Streams, Strings, Sync, TCPView, VolumeID, WhoIs, WinObj, ZoomIt.
AIDA64 Extreme Edition — незаменимое приложение для диагностики ПК с возможностью проведения.
CPU-Z — небольшая полезная программа, с помощью которой вы получите всю информацию об.
FurMark — мощный инструмент, который будет в первую очередь полезен оверклокерам, позволяющий.
GPU-Z — отличная утилита для просмотра разнообразной информации о видеокарте и ее.
CrystalDiskMark — небольшая бесплатная программа, предназначенная для сравнительного анализа.
EVEREST Ultimate Edition — одно из лучших приложений для диагностики, тестирования и анализа.
Отзывы о программе Sysinternals Suite
Алексей про Sysinternals Suite 29.07.2016 [20-12-2016]
Дмитрий про Sysinternals Suite 29.07.2016 [18-09-2016]
Отличные программы! Видно делались профессионалом своего дела. Примеры хорошо написанных системных утилит. В таких прогах русификатор и не нужен. Все описания программ есть на офф. сайте Марка и на сайте Microsoft.
4 | 4 | Ответить
BigWinClub Com про Sysinternals Suite 20.07.2015 [09-09-2015]
Я бы тоже от русика не отказался, как и от единой оболочки.
2 | 2 | Ответить
Portes про Sysinternals Suite 28.06.2012 [07-07-2012]
Автору не мешало бы сделать какую-то общую оболочку для запуска всех его программ с описаниями. А то так не очень удобно тыкать на ехе-шники его сборника и пытаться понять для чего они и что с каждым из них делать
5 | 3 | Ответить
влад про Sysinternals Suite 10.11.2011 [12-11-2011]
Какой может быть русификатор? Проги ж создал Русинович, а это уже звучит считай «по-русски».
2 | 5 | Ответить
Охота на вредоносное ПО с помощью Sysinternals Tools. Часть 1
В этой части статьи будут даны рекомендации по использованию Process Explorer для поиска и удаления вредоносного программного обеспечения.
Перевод: Владимир Вороницкий
Вступление
В последние несколько лет Марк Руссинович представляет свои презентации на ежегодном саммите MVP в Редмонде. В прошлом марте его выступление было связано с довольно интересной темой — Использование некоторых популярных системных утилит для обнаружения вредоносного ПО в системе. Утилиты можно бесплатно скачать с сайта Microsoft TechNet.
В первой части я изложу, что я извлекла из этих выступлений и покажу, как использовать некоторые из этих программ.
Автоматическая и ручная очистка вредоносного ПО
Существует множество различных программ по обнаружению и очистке от вредоносного ПО, в их число также входит антивирус, разработанный Microsoft — MSRT (Malicious Software Removal Tool). Этот антивирус можно скачать бесплатно здесь. Проблема большинства антивирусов заключается в том, что они зависят от своих сигнатур, поэтому каждый раз, когда обнаруживается новый вирус или другое вредоносное ПО поставщику антивируса требуется обновить базы данных для того, чтобы антивирусная программа смогла их опознавать. Вирусописатели ежедневно создают новое вредоносное ПО, и поэтому они всегда на один шаг опережают производителей антивирусов.
На какое-то время пользователи остаются незащищёнными от новых угроз, в зависимости от того как часто поставщики антивирусного ПО выпускают обновления. Многие пользователи ПК догадываются о том, что их антивирус работает не идеально. Часто один антивирус найдёт то, что другой не заметит. При появлении нового вредоносного ПО — ни один антивирус не сможет его обнаружить. Это основа концепции Zero Day (нулевого дня) — совершенно новое вредоносное ПО не может быть сразу обнаружено и защититься от него невозможно. В данном случае стоит применять ручную проверку. К тому же, она является более практичной, чем простой запуск антивируса с надеждой на лучшее. Если вы заметили подозрительное поведение в системе , вместо того, чтобы ждать пока выйдут обновления для антивируса, вы можете “копнуть” глубже и обнаружить его сами. Сделать это можно с помощью Process Monitor и Autorun
Ручное опознавание вредоносного ПО и его очистка.
В своих выступлениях Марк вначале выделил следующие шаги :
1. Отключить ПК от сети
2. Распознать активность вредоносного ПО в процессах и драйверах.
3. Приостановить и завершить обнаруженные процессы
4. Распознать и удалить вредоносного ПО из автозагрузки.
5. Удалить файлы с вредоносным ПО.
6.Перезагрузиться и повторить действия.
Данный процесс может быть многошаговым, так как авторы вредоносного ПО часто создают довольно сложное ПО, которое было заранее задумано, чтобы выстоять против ваших усилий по его уничтожению. Перезагрузку и повторения — осуществляйте до тех пор, пока вы не опознаете всё вредоносное ПО. Отключение от сети зараженной машины предотвращает заражение других ПК в сети и предотвращает немедленное инфицированию от соединения с клиентом после того, как оно было задействовано вашей антивирусной системой ,попытками очистки и т.п.
Но отключая зараженный ПК от сети, вы не сможете изучить активность вредоносного ПО и полностью понять, как оно работает и что делает.
Как распознать подозрительные процессы?
Марк отметил, что искать следует в тех процессах, которые не имеют иконок ,описания, цифровой подписи или неподписанными изображениями Microsoft. Также сосредоточьтесь на тех процессах, которые находятся в директориях Windows, включают в строках странные URL, имеют открытые TCP/IP соединения, процессы которые содержат подозрительные DLL или службы (скрывается как DLL в процессе). Большинство вредоносного ПО упаковывается ,сжимается или шифруется. Многие авторы сами пишут свои упаковщики, поэтому их можно обнаружить по имеющимся сигнатурам упаковщиков. Большинство вредоносного ПО имеет все или некоторые описанные выше характеристики.
Так как же нам исследовать процессы ?
Большинство IT- профессионалов начинают с простого — с изучения закладки диспетчера задач.Task Manager был улучшен в Vista и Windows 7 по сравнению с XP.
Колонка информации о процессах, используемых приложением, содержит полезную информацию. (Изображение 1).
Вы можете получить дополнительную информацию в Task Manger.В меню ВИД вы можете отобразить дополнительные колонки (Изображение 2).
Вы можете отобразить полный путь к изображению, которое используется процессом или просмотреть командную строку для отображения команды со всеми параметрами, которые были использованы для запуска проверяемого процесса.
(вредоносное ПО часто имеет странный вид в командной консоли).
Просмотрите дополнительную информацию .
Изображении 3.
С помощью Task Manager можно получить и более подробную информацию. Кликните правой кнопкой и выберите свойства, в результате откроются свойства процесса в диалоговом окне. Здесь вы найдёте информацию относительно типов файлов, расположение, размер ,цифровые подписи ,авторские комментарии , номер версии и т.д. (большинство вредоносного ПО не имеют информации о версии).
Всё это неплохо , однако, Task Manager, всё же, не даёт полной информации.
Обратите внимание, что процесс так же можно изучить с помощью инструмента SysInternals Process Explorer, используя Process Explorer, чтобы обнаружить вредоносное ПО.
Process Explorer бесплатное приложение размером 1.46Мб, которое может быть загружено на сайте Microsoft TechNet.
Последнюю версию 14.1 можно скачать отсюда. Его также можно запустить по этой ссылке. Как видите, на изображении 4 вид используемых процессов несколько другой.
изображение 4
В Process Explorer в левой колонке изображено дерево процессов, в котором показаны главные и дочерние процессы. Если процесс выглядит подозрительным, то связанные с ним процессы тоже могут быть таковыми. Очень полезным свойством является возможность кликнуть по процессу и сделать "поиск онлайн" для поиска информации относительно процесса, как показано на изображении 5.
Следует помнить, что некоторое вредоносное ПО будет использовать псевдо-случайно сгенерированные процессы, с целью предотвращения получения какой-либо информации при поиске. Как мы недавно отмечали, вредоносное ПО часто бывает упаковано , фиолетовый цвет индикатора в Process Explorer означает, что, возможно, файлы упакованы. Заметьте, что процессы созданные в отладочных версиях Visual Studio, выглядят как упакованные процессы.
Некоторые процессы будут вам довольно знакомы, и не вызовут подозрений (svchost.exe, rundll32, taskhost.exe и т.д.). Авторы вредоносного ПО это тоже знают, и часто за такими процессами скрывается вредоносное ПО. Злоумышленники создают свои собственные хост – службы для скрытия активности в системных процессах. При выборе DLL ,вы можете увидеть, что находится внутри процесса, изображения или данные. Так же этот вид отображает загруженные драйвера и может проверять строки и цифровые подписи. Если вы обнаружите процессы Microsoft, которые не имеют цифровой подписи, это должно вызвать подозрения, так как весь код Microsoft является подписанным.
Вы можете выборочно проверять подписи. Сделайте двойной клик по процессу и в свойствах нажмите Verify.
Вы можете увидеть окно свойств в диалоговом окне, показанное на изображении 6. 
.
Во время проверки процесса утилита вас подключит к интернету для проверки Certificate Revocation List (CRL). В Process Explorer вы можете добавить для отображения колонку "проверенные подписи"
Вид -> выделить нужные колонки -> ставим галочку “Verified Signer” как показано на изображении 7.
Заметите новую колонку с подписями, которые были проверены в индивидуальном порядке.
изображение 8.
изображение 9.
Для того, чтобы проверить все подписи, вы можете нажать на Опции и выбрать Verify image signatures. Другая утилита в SysInternal tool — Sigcheck , создана для проверки цифровых подписей. Она совместима с версиями Windows XP и выше. Последнюю версию 1.71 можно скачать отсюда. Не забывайте ,что авторы вредоносного ПО также могут получить цифровые сертификаты для своего ПО, так что существование подписи не является гарантией безопасности процесса.
Итоги
В первой части статьи, посвященной использованию SysInternal tools для ручного выявления и очистки вредоносного ПО в Windows системах, было показано, как использовать Process Explorer для поиска подозрительных процессов, которые могут указывать на нежелательное ПО.
Во второй части мы рассмотрим как использовать функционал автозагрузки для обнаружения вредоносного ПО, загружающегося при запуске ,а также, как использовать Prоcess Monitor для отслеживания активности и возможных путей по очистке системы.
10 лучших утилит Sysinternals, о которых вы должны знать
Утилиты Sysinternals — это мощный , удобный инструмент для выполнения всех видов задач по мониторингу, диагностике и администрированию Windows. Sysinternals была приобретена Microsoft в 2006 году. Теперь э ти «большие маленькие» инструменты доступны для загрузки с сайта MS. Использование live версии значительно упрощает решение возникших экстремальных ситуаций, т.к. эти средства связаны между собой, доступны из одного места. Сейчас мы рассмотрим 10 самых полезных программ, которые облегчат администрирование и обслуживание серверов и рабочих станций на базе ОС MS Windows.
1) PsList и PsKill
Эти средства перечислены вместе , потому что, как правило, используются по очереди . Суть заключается в том, что сначала просматривается список процессов и их ID с помощью PsList. З атем инструментом PsKill завершается процесс . Есть довольно много способов , чтобы прочитать информацию с PsList , плюсом является то , что она работает на локальных и удаленных компьютерах . PsKill работает аналогично PsList .
2) Process Explorer
Process Explorer является отличным инструментом для изучения и мониторинга открытых файлов , процессов и ресурсов . Пытаетесь открыть файл , но получаете уведомление, что он уже используется ? Process Explorer поможет определить, какое приложение или процесс работают с файлом . Это утилита с графическим интерфейсом может использована в качестве замены диспетчера задач . Утилита имеет две панели информации . В верхней панели отображаются активные процессы в системе , в ключает в себя информацию об имени пользователя, владеющего процессом , и загрузки процессора процесса . В нижней — информация о DLL.
3) ZoomIt
ZoomIt это утилита для более удобного управления рабочим столом, а точнее — для более наглядной демонстрации. При представлении информации , иногда бывает полезно показать определенную область экрана , обратить внимание на диалоговом окне или другом элементе .
4) PsLoggedOn
PsLoggedOn используется для сканирование реестра , раздел — HKEY_USERS и просмотра информации о загруженных профилях пользователей. Используя идентификатор пользователя ( SID) , PsLoggedOn считывает имя пользователя в SID и отображает его . Это полезно знать, кто регистрируется на ПК, какой имеет SID (для дальнейшей настройки/диагностики ПО), а также для того, чтобы отличить вход удаленных пользователей от локальных.
5) Autoruns
Все мы прекрасно знаем, как вредоносные программы любят записываться в автозагрузку. Программа Autoruns помогает просматривать все места, где может быть прописана автозагрузка ПО.
6) Contig
Позволяет оптимизировать работу дефрагментированных файлов, либо для решения проблем с дефрагментацией файлов.
7) Disk2vhd
Disk2vhd создает файл виртуального жесткого диска из физической системы для использования с Hyper-V , Windows 7 или Server 2008/2012 R2 . Disk2vhd поддерживает Windows XP SP2 и Windows Server 2003 SP1 и выше , в том числе 64 — битные версии этих систем , в том числе без остановки ОС.
Отличный способ, чтобы сделать диск резервного копирования , причем с возможность быстрого развертывания в виртуальной среде. Имеется возможность запуска из командной строки, с возможность настройки сценариев разветки VHD . Использование утилиты в этом случае позволит вам использовать планировщик заданий и Disk2vhd для создания снимков вашего ПК через заданные интервалы с без вмешательства пользователя .
8) MoveFile
Команда MOVEFILE используется для перемещения или удаления занятых процессами файлов при следующей перезагрузке Windows. Эта программа может быть полезной при удалении устойчивых и активных файлов вредоносных программ.
9) PsFile
Эта утилита показывает файлы, которые открыты на удаленной системе. Хороший способ для проверки открытых файлов на файловых серверах, когда пользователь не может открыть файл для редактирования из-за того, что он уже открыт другим пользователем и в подобных ситуациях.
10) Sync
Запись кэшированных данных на диск. Используется для повышения отказоустойчивости и сохранности систем, обрабатываемых данных.
Нашли ошибку в тексте? Выделите фрагмент текста и нажмите Ctrl+Enter