发现防病毒未检测到新的恶意软件。如何评估威胁？

在运行最新防病毒套件（卡巴斯基）的Windows 7工作站上，我发现了几个可疑进程。为了查看流程活动，我使用了SysInternals的优秀ProcessMonitor。

其中一个有可执行文件名 wauctla.exe 位于 C:\Windows。 更新： 这个名字可能是故意选择与之混淆的 wuauclt.exe - Windows Update代理控制实用程序。

此过程作为系统服务运行。使用管理控制台服务管理单元，我能够将此过程的启动设置从“自动”更改为“已禁用”。但是我无法通过MMC管理单元停止运行过程。

我仍然设法停止了这个过程 taskkill /f /PID 命令。我重新启动了操作系统，进程列表中不再显示该进程。

有一个优秀的线程在超级用户上执行从运行Windows的计算机中删除通用恶意软件所需的过程。当可疑进程已停止并且其可执行文件移动到远离可执行搜索路径的安全位置时，我想了解有关新恶意软件的更多信息。

这个文件有什么样的威胁？是否有可以检测到这种病毒的防病毒软件？它是如何传播的，我应该检查在该工作站被感染后由同一用户访问的其他计算机吗？

更新2： 关于virustotal的答案，这里是一条链接对这一恶意软件的总结。

— Dmitri Chubarov
source

wauctla.exe 不是恶意的。 wauctla.exe 用于 Windows更新 。

— Ramhound

那是 wuauclt.exe 我相信。

— Lieven Keersmaekers

wauctla.exe 是恶意软件，它被Avast检测到。

— Adi

当你甚至没有发现它时，你问我们这个威胁会起什么作用？这是否意味着您不知道如何识别它或它不是已知的威胁？

— Jason

@AndréDaniel不同之处在于灰色阴影 - 世界并非黑白分明。病毒不是病毒。如果你从Downloads.com获得了一些东西，点击接受并获得Vosteran Toolbar Awesomifier !!! ...你得到了mal / ad / spy-ware - 而不是病毒/木马。这是“奖金软件”，你点击接受让它不再“未经授权”。应该AV卸载/删除吗？也许，也许不是。 en.wikipedia.org/wiki/Malware#Grayware - 这就是为什么MB / SpyBot /等与它们一样普遍。

— WernerCD

Answers:

不要使用Process Monitor。使用像@DavidPostill建议的VirusTotal但不需要手动发送文件。 Process Explorer 来自SysInternals的内置VirusTotal功能。去吧 选项 - ＆gt; VirusTotal.com - ＆gt;检查VirusTotal.com 并将出现一个标题为VirusTotal的列。几秒钟后，您将获得每个可执行文件的VirusTotal评级。

enter image description here

在Process Explorer中，您可以直接终止恶意进程或查找Windows服务启动此进程并停止和禁用此服务。这是一种很好的方法，如果您终止进程，底层服务可能会立即重新创建恶意进程。要查找进程的服务，请双击该进程并转到“服务”选项卡。

— Robert Niestroj
source

@AndréDaniel仅限Process Explorer 发送哈希它自动扫描的进程数。要发送整个文件进行分析，您必须通过手动启动扫描来完成此操作处理要么 DLL 详细信息窗口（请参阅“服务条款”对话框，如图所示这里）。

— Twisty Impersonator

@Twisty好吧没关系，也不知道。

那么，你在正确方面的观点仍然有效，因为它可以提交整个文件，而不是自动提交。

— Twisty Impersonator

如何评估恶意软件造成的威胁？

您可以将文件提交给 VirusTotal 用于在线分析。

VirusTotal使用40多种防病毒解决方案检查文件。
这至少会告诉您是否有任何防病毒软件能够检测到它。
如果您获得了肯定的身份证明，那么您可以搜索病毒的名称，以了解有关其如何运作以及它带来的威胁的更多信息。

什么是VirusTotal

VirusTotal是谷歌的子公司，是一个免费的在线服务分析文件和URL 能够识别病毒，蠕虫，特洛伊木马和其他恶意内容 由防病毒软件检测到引擎和网站扫描仪。同时，它可以用作意味着检测误报，即检测到的无害资源一个或多个扫描仪恶意攻击。

资源 VirusTotal

— DavidPostill
source