Windows-Computer im Griff und die Sicherheit verifizieren Virensuche mit dem Microsoft Process Explorer

Mit dem Process Explorer von Microsoft Sysinternals können Windows-Server und -Arbeitsstationen auch auf Virenbefall untersucht werden. Neben der Auslastung des Systems lassen sich so auch Angreifer erkennen und bekämpfen.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

Der kostenlose Sysinternals Process Explorer kann die laufenden Prozesse auf Windows-Computern anzeigen und hilft bei der Analyse. Dadurch ist es auch möglich unerlaubte oder sogar gefährliche Prozesse zu erkennen sowie Malware. Der Process Explorer kann dazu einzelne Prozesse online auch auf Virenbefall untersuchen.

Der Computer muss dazu mit dem Internet verbunden sein. Für die Suche nach Viren verwendet das Microsoft-Tool den Online-Dienst Virus Total mit aktuell knapp 75 Virenscanner-Engines. Wenn der Online-Scanner einen Virus in einem Prozess findet, zeigt der Process Explorer das an, und Administratoren können Gegenmaßnahmen ergreifen.

Bildergalerie

Bildergalerie mit 8 Bildern

Vorgehensweise bei der Virensuche mit Process Explorer

Process Explorer muss nicht installiert werden. Das Tool ist daher auch mobil einsetzbar. Nach dem Download lässt sich Process Explorer direkt über seine ausführbare Datei starten. Gleich nach dem Start zeigt Process Explorer alle laufenden Prozesse auf dem jeweiligen Computer an.

Prozesse die mit dem gleichen Benutzer laufen, wie der Process Explorer zeigt das Tool in hellblau an. Prozesse, die mit einem Windows-Dienst in Verbindung stehen zeigt Process Explorer in pink an. Prozesse, die ausführbaren Code enthalten der dem Computer gefährlich werden kann zeigt das Tool in violett an. Diese Farbgebung hilft bei den ersten Schritten einer Analyse. Beim Überfahren eines Prozesses mit der Maus zeigt Process Explorer Informationen wie die ausführbaren Dateien des Prozesses und deren Speicherort an. Auch die Com-Klasse und die verwendeten DLLs sind hier zu sehen.

Malware und Systembremsen erkennen

Mit Free PC Audit Windows-PCs analysieren

Prozesse nach Viren scannen

Process Explorer kann Prozesse in Windows auch steuern. Dazu steht das Kontextmenü des Tools für die einzelnen Prozesse zur Verfügung. Über das Kontextmenü kann ein Prozess über den Menüpunkt „Check Virus Total“ nach Viren untersucht werden. Bei der ersten Verwendung müssen noch die Lizenzbedingungen bestätigt werden. Bei weiteren Untersuchungen erscheinen die Lizenzbedingungen nicht mehr.

Anschließend überträgt Process Explorer den Hashwert der Datei zu Virustotal. Der Status dazu ist in der Spalte „Virustotal“ zu finden. Erkennt Virustotal den Hashwert, zeigt Process Explorer in der Spalte „Virus Total“ an, wie viele der Scanengines den Prozess als Virus eingestuft haben. Idealerweise sollte das Ergebnis „0/74“ lauten. Mit einem Klick auf den Link des Suchergebnisses im Process Explorer öffnet sich die Virus Total Webseite mit dem Ergebnis der einzelnen Suchengines. Mit dem Icon oben rechts untersucht Virustotal die Dateien erneut.

Wenn Process Explorer einen Virus in einem Prozess findet, sollte der Prozess nicht Hals über Kopf beendet werden. In den meisten Fällen verfügt Malware über weitere Möglichkeiten und Prozesse. Erkennt Malware, dass man ihr auf die Spur kommt, startet sie unter Umständen Aktionen, um auf dem System zu bleiben. Dazu gehört es zum Beispiel einen neuen Prozess mit neuem Namen zu starten. Sinnvoll ist es zunächst mit „Suspend“ über das Kontextmenü den Prozess anzuhalten. Danach sollte der Computer gründlich auf Viren untersucht werden.

Bildergalerie

Bildergalerie mit 8 Bildern

Alle Prozesse eines Computers untersuchen

Es ist mit Process Explorer auch möglich alle Prozesse eines Computers mit Virustotal auf Viren zu untersuchen. Durch einen Klick auf „Options\VirusTotal.com\Check VirusTotal.com“ scannt Process Explorer alle laufenden Prozesse automatisch nach Viren.

Auch hier ist das Ergebnis wieder in der Spalte VirusTotal zu finden. Bei der Aktivierung dieser Funktion scannt Process Explorer automatisch nach jedem Start alle laufenden Prozesse auf Viren und zeigt das Ergebnis in der Spalte an. Das funktioniert natürlich nur, wenn auf dem Server eine Verbindung zum Internet aufgebaut werden kann.

Zusätzlich steht hier auch die die Option „Submit Unknown Executables“ zur Verfügung. Bei diesem Vorgang lädt Process Explorer die komplette ausführbare Datei zu VirusTotal und überträgt nicht nur den Hashwert.

Weitere Informationen für Prozesse in die Untersuchung einbinden

Über den Menüpunkt „Detail“ auf der VirusTotal-Seite zeigt der Antivirendienst ausführlichere Informationen zur Datei an. Diese sind nicht nur aus Sicherheitsgründen interessant, sondern können auch darüber aufklären von wem der Prozess stammt und welche Aufgabe er hat. Mit dem Menüpunkt „Community“ stehen Benutzerkommentare anderer Benutzer von VirusTotal zur Verfügung, die dabei einzuschätzen helfen, um was es sich bei dem Prozess handelt und im Falle eines Virusbefalles, wie der Virus entfernt werden kann.

Parallel zum Verwenden von VirusTotal kann mit Process Explorer auch nach dem Prozess in einer Suchmaschine gesucht werden. Das geht natürlich auch ohne Process Explorer, ist mit dem Tool aber über das Kontextmenü und der Auswahl von „Search Online“ einfach. Auch dadurch lassen sich umfangreiche Informationen gewinnen. In den Eigenschaften eines Prozesses, die ebenfalls über das Kontextmenü im Process Explorer zur Verfügung stehen, sind auf der Registerkarte „Image“, im Feld „VirusTotal“ ebenfalls Informationen zu sehen. Auch hier kann der Prozess über die Schaltfläche „Submit“ erneut zu ViorusTotal übertragen werden.

Mit der Schaltfläche „Verifiy“ kann sichergestellt werden, ob ein Prozess auch von dem Hersteller stammt, der als Entwickler und Hersteller hinterlegt ist. Oft verstecken sich Viren hinter bekannten Herstellernamen, die natürlich gefälscht sind.

(ID:47645420)