Vor und nach Installation eines verdächtigens Programms. Was tun? Wie kontrolle durchführen?

[Jedec]

Guten Tag,

auf einem PC, auf dem nur auf Steam gespielt wird, browsing nur mit unwichtigen Accounts betrieben wird, möchte ich eine Software installieren, die vllt. Schädlinge einschleusen könnte. Wenn es passiert, ist es nicht schlimm aber ich würde es gerne entdecken.

Kann ich eine Art Abbildung von RAM/Prozessen machen und nach der Installation ein Vergleich anstellen?
Welche Programme könnt Ihr für ein Scan empfehlen?

Ich habe gerade angefangen mich darüber zu informieren und arbeite mich in das Programm Autoruns von Windows durch.

Danke.

 

[Redundanz]

empfehlenswert für sowas ist ein abbild des testsystems in eine vm zu packen -> virtualbox bspw.

 

[CoMo]

Was ist das für ein Programm? Warum nicht einfach in der Windows Sandbox ausführen?

 

[Jedec]

Ich würde das Programm eine Zeit lang auf dem betroffenen PC laufen.

 

[aluis]

Schau dir mal den Windows-Sandbox Mode an. So konnte ich mal ein Programm nutzen, was definitiv mit Malware verseucht war.

 

[Ltcrusher]

Finde ich recht mutig. Oder werden auf dem Steam Account nur kostenfreie Spiele gezockt? Je nachdem was es für ein Tool ist - wahrscheinlich Cheat Tool oder für irgendwelche Mods, wird ggf. der Steam Account gehackt oder der Rechner bekommt sogar einen Hardware Bann.

Testen würde ich das mit irgendeiner alten Festplatte (HDD oder ausgesonderten SSD), die danach eh weggedonnert werden soll und in einer virtuellen Maschine.

 

[andy_m4]

Kann ich eine Art Abbildung von RAM/Prozessen machen und nach der Installation ein Vergleich anstellen?

Im Prinzip schon. Man könnte sich z.B: eine Liste der laufenden Prozesse ausgeben lassen und die vergleicht man später. Die Liste sollte natürlich sortiert sein, damit eine etwaig andere Reihenfolge nicht gleich zu einem "Alert" führt.
Es gibt aber zwei grundsätzliche Probleme. Erstens ist nicht immer klar, welche Prozesse laufen (sollen) und welche nicht. Es lässt sich schwer zwei mal den gleichen Zustand replizieren. Man hat also potentiell gute Chance auf Fehlalarme.
Zweitens: Ein Schadprogramm was aktiv ist (was es ja ist, wenns ein laufender Prozess ist), hat ganz gute Möglichkeiten sich zu verstecken. Die Aussagekraft ist also im Zweifel eher dünn.

Insofern würde ich auch eher auf die Lösung mit dem Containment zurückgreifen. Das muss nicht zwangsläufig gleich eine VM sein. Ein einfacher Sandbox-Mechnismus ist ja im Prinzip, wenn man sich ein unprivilegierten User anlegt und das Programm darunter laufen lässt. Spätestens wenn Du den User-Account und seine Verzeichnisse löschst, hast Du ja alles weg, was sich dort einnisten könnte.

Schau dir mal den Windows-Sandbox Mode an

Meinst Du sowas hier?
https://learn.microsoft.com/en-us/w...tion/windows-sandbox/windows-sandbox-overview
setzt aber anscheinend mindestens Windows Pro voraus.