"Запуск от имени администратора" и вирус. - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
WindowsXP

"Запуск от имени администратора" и вирус.

Recommended Posts

WindowsXP

Повседневно я работаю в обычной учетной записи (член группы Пользователи). Мне надо установить программу от имени администратора. Допустим, вирус заразил мою неадминистраторскую учетную запись и ждёт пока я запущу в чтонибудь от имени администратора чтобы узнать пароль адмнистратора и завладеть системой. Получается, что для того чтобы вирус обломался с паролем администратора, мне невкоем разе нельзя светить в зараженном сеансе пароль администратора. Я незапускаю какое попало ПО, работает по жесткой схеме SRP, но вирус мог пробраться через документ Word, например.

Получается, для того чтобы всё было максимально красиво и безопасно, надо ОБЯЗАТЕЛЬНО перелогиниваться, а не запускать от имени администратора?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Б.К.

Думаю, что это не факт. Если Вы перелогинитесь, то кейлоггер все равно может украсть пароль админа - он запускается как служба. Варианты: 1). использовать какой-нибудь хранитель паролей, который кинет парольв соответствующее поле сам или отправит его в буфер обмена; 2). использовать для набора пароля виртуальную клавиатуру и мышь (виртуальная клавиатура есть, например, на Яндексе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
WindowsXP

Нет нет, допустим что никакого кейлогера в систем нет. Только учетая запись пользователя (члена группы Пользователи) и учетная запись администратора со стойким паролем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

WindowsXP, у вас в рассуждениях логическая ошибка. Если вам ПК уже заражен, то зачем вредоносу ваш пароль админа? Он уже в системе и права у него нужные должны быть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla
Он уже в системе и права у него нужные должны быть.

А если нет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
WindowsXP

Вирус заразил профиль пользователя члена группы Пользователи.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
Вирус заразил профиль пользователя члена группы Пользователи.

Что значит заразил профиль пользователя?

И вообще, какая ОС у вас?

А в чем, проблема перезалогиниться?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А если нет?

Сложно представить такой вариант. Это надо чтобы вредонос запустился, не стал закрепляться в системе, а стал ждать пока юзер админский пароль укажет. Как думаете, какова вероятность успешности такой атаки в пределах одной сессии?

Что значит заразил профиль пользователя?

Вот я тоже этого момента не понял. Вредонос или встал в системе или не встал. Ему как бы это сказать ... на профили пофиг.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
WindowsXP

XPSP3. Поясняю. Есть вредоносы которые могут жить ограниченной учётке. Вредонос небыл запущен с правами администратора. Заражен только НЕАДМИНСКИЙ профиль. Повторяю - заражен только профиль пользователя который является членом группы Пользователи. Админский профиль и система в целом - незаражены.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Если вредонос может жить под ограниченной учеткой, значит ему ей достаточно. Значит он будет тырить пароли из этой учетной записи, значит будет рассылать спам из нее. Ему поднятие прав просто незачем. Конечно, если ПО заражено классическим вирусом, и тут его запускают от админа, то будут заражены еще и системные файлы. Хотя классических вирусов сейчас почти нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
WindowsXP

Вопрос был совсем другой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zzkk

WindowsXP, во-первых, все зависит от функционала малвары. Но, например, если малвара закрепилась в системе с неполными правами, то сможет дождаться, когда Вы залогонитесь под админом и доделает все, что не доделала с ограниченными правами.

Поэтому тут невозможно однозначно выбрать "более безопасный" вариант (из двух предложенных). Можно порекомендовать перед установкой чего-то (то есть перехода в админские права) запускать on-demand сканер по оперативке и системным папкам (хотя бы). И лучше делать это CureIt'ом в безопасном режиме.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Проблема оказалась в редакции windows, для home нужно дополнительно прописывать флаг в реестр, в RC4 теперь это делается автоматически.
        Добавил функцию для образов.

      ---------------------------------------------------------
       5.0.RC4
      ---------------------------------------------------------
      o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
        Теперь при включении отслеживания в лог печатается статус этой опции.

      o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
        если образ сделан при активном отслеживании процессов.

      o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).

       
    • santy
      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
    • demkd
      Да, с этим файлом проблема, починю.
    • PR55.RP55
      В настройках добавить: Отправлять лог применения\выполнения скрипта на сервер\адресату. Уникальный идентификатор прописывается в скрипт при его генерации. т.е. Оператор не запрашивает результат выполнения скрипта у пользователя.    
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.2.14.
×