Amaliy ish №6 Mavzu: Windows ot zararkunanda dasturiy vositalarining tahlili

Windows Registri

Windows registri o’zida OT va dasturlarning sozlanma fayllari va qatorlarini o’zida saqlaydi. U xam WinAPIga o’xshab ZD lar haqida axborot berishi mumkin. Oldin Windows OT ma’lumotlari .ini faylida saqlangan. U o’zida tarmoq sozlanmalarini, driverlarni, ishga tushirish(sturtup), foydalanuvchi ma’lumotlarini va boshqa ma’lumotlarni saqlaydi. Unda quyidagi ko’rinishda kalitlar mavjud:

Root key: u ikki turda bo’ladi – HKEY va hive;

Subkey: u subkatalogga o’xshaydi;

Key: unda aniq kataloglar va ularning qiymatlari saqlanadi;

Root Keys – unda quyidagi 5 ta root key saqlanadi:

HKEY_LOCAL_MACHINE (HKLM) kompyuterdagi global sozlanmalarni saqlaydi;

HKEY_CURRENT_USER (HKCU) mavjud foydalanuvchi ma’lumotlarini saqlaydi;

HKEY_CLASSES_ROOT root turidagi ma’lumotlarni saqlaydi;

HKEY_CURRENT_CONFIG mavjud qurilmalar haqidagi ma’lumotlarni va standart qurilmalar bilan farqlarini saqlaydi;

HKEY_USERS kompyuterdagi mavjud, dastlabki va yangi foydlanuvchi ma’lumotlarni saqlaydi.

6.1-rasm. Restrning dastlabki ko’rinishi

.reg fayllari - bu fayllar o’zida ma’lum sozlanmalarni saqlaydi va uni ishga tushirganimizda o’zining ma’lumotlarini restrga yozib qo’yadi. Uni ko’pchilik ZD lar restrda o’zining ma’lumotlarini saqlash uchun foydalanadi.

6.2-rasm. Evil.exe ni restrga yozish

Bunda ko’rinib turibdiki, [HKLM\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run] manziliga C:\Windows\evil.exe dasturini yozib qo’ydi, natijada OT yuklanishi bilan ushbu dastur avtomatik ishga tushadi.

Tarmoq APIlari

ZDlarning ko’pchiligi tarmoq xizmalaridan foydalanishadi. U ws2_32.dll kutubxonasi bilan bog’liq bo’lgan - socket, connect, bind, listen, accept, send va recv amallarini bajaradi.