-
06/07/2013
-
796
-
1.304 bài viết
Những cách mà Malware sử dụng để khởi động cùng Windows
Đã bao giờ bạn thắc mắc vì sao phần mềm độc hại có thể tự khởi động cùng Windows mỗi khi mở máy? Hay bạn muốn tìm hiểu, tự rà soát malware nhưng không biết những phương pháp mà chúng sử dụng để tự khởi động. Do đó, trong bài viết này mình sẽ giới thiệu một số cách phổ biến mà malware sử dụng để khởi động/kích hoạt cùng hệ thống.
1. Dùng Startup Folder
Đây là một thư mục có tên là Starup, khi đặt một shortcut của chương trình vào đây thì nó sẽ được chạy sau khi Windows khởi động. Một số malware lợi dụng tính năng này để có thể tự khởi động.
2. Dùng Task Scheduler
3. Ghi/thay đổi các giá trị trong registry.
Bằng cách ghi/thay đổi các giá trị trong một số key registry, mã độc có thể khởi động như những ứng dụng khác. Dưới đây là danh sách các key thường được malware ghi/thay đổi giá trị:
1. Dùng Startup Folder
Đây là một thư mục có tên là Starup, khi đặt một shortcut của chương trình vào đây thì nó sẽ được chạy sau khi Windows khởi động. Một số malware lợi dụng tính năng này để có thể tự khởi động.
3. Ghi/thay đổi các giá trị trong registry.
Bằng cách ghi/thay đổi các giá trị trong một số key registry, mã độc có thể khởi động như những ứng dụng khác. Dưới đây là danh sách các key thường được malware ghi/thay đổi giá trị:
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
- HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command
- HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command
- HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command
- HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\Shell\Open\Command
- HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command
- HKEY_CLASSES_ROOT\exefile\shell\open\command
- HKEY_CLASSES_ROOT\comfile\shell\open\command
- HKEY_CLASSES_ROOT\batfile\shell\open\command
- HKEY_CLASSES_ROOT\htafile\Shell\Open\Command
- HKEY_CLASSES_ROOT\piffile\shell\open\command
Chỉnh sửa lần cuối bởi người điều hành:
