Process Hacker - Suspicious Process

[BlueMe]

Te rog frumos corecteaza-ti detectia in program vis-a-vis de programul Process Hacker (<b>You have to register to ba able to see this link</b>), pt. ca m-au zapacit toti adminii incepatori/care n-au nici-o treaba.

Mereu iau ban din cauza asta pt. ca eu am programul asta activ tot timpul, il folosesc sa monitorizez PC-ul si nu numai.

Am un topic aici: free.lalegane . ro/forum/threads/759112-Unban-Process-Hacker?p=5001341 si mai e unul mai vechi pe internet in care incerc sa le explic in zadar despre conflictul dintre WG si Process Hacker.

Programul asta nu are cum sa interfereze cu CS-ul in sensul ca te-ar poate ajuta sa trisezi..
E total un program legitim, poate chiar mai legitim decat WG in sensul ca este si semnat cu o semnatura autorizata.

Problema exista atat pe Steam (<b>You have to register to ba able to see this link</b>)cat si NonSteam (<b>You have to register to ba able to see this link</b>).

Si probabil ai putea sa adaugi o nota la descarcarea programul in care sa explici ca nu toate programele detectate ca "suspicious process" inseamna neaparat ca jucatorul triseaza, indeamna-i sa-si foloseasca creierul sau altfel corecteaza detectia in program astfel incat sa detecteze doar programele de hack-uri cunoscute, daca tot vrei sa faci ceva ok.

Multumesc!

[Tiger]

De aceea are si denumirea de "Suspicious". Tot ce contine denumirea de "Suspicious" reprezinta o activitate suspecta a jucatorului (nu neaparat codata).

Nu exista niciun conflict intre wCD si Process Hacker. wCD detecteaza anumite procese, precum el de exemplu.

Detectia Process Hacker, pentru wCD, a fost pusa datorita faptului ca acest program, cu ajutorul plugin-urilor, poate fi folosit ca si un hack-tool.

Detectia Process Hacker-ului cel mai probabil va fi scoasa incepand cu urmatoarea versiune de wCD, datorita faptului ca detectia de coduri este mult mai buna.

[BlueMe]

Merci pt. raspuns.


De aceea are si denumirea de "Suspicious". Tot ce contine denumirea de "Suspicious" reprezinta o activitate suspecta a jucatorului (nu neaparat codata).
Da, dar asta crează confuzie, majoritatea adminilor interpretează asta ca o confirmare a propriilor suspiciuni.


Detectia Process Hacker, pentru wCD, a fost pusa datorita faptului ca acest program, cu ajutorul plugin-urilor, poate fi folosit ca si un hack-tool.
Poti sa faci o referire sau sa dai un exemplu, care modul poate fi folosit pt. ce ? (imi poti raspund in PM la asta)


Detectia Process Hacker-ului cel mai probabil va fi scoasa incepand cu urmatoarea versiune de wCD, datorita faptului ca detectia de coduri este mult mai buna.
Ar trebui, pt. ca asta nu e decat o bataie de cap pt. cei care folosesc PH si joaca CS.
Eu fol. PH tot timpul pt. ca imi arata ce procese/servicii pornesc/opresc si le pot manipula pe toate cand/cum vreau, e un program f. folositor pt. sysadmin si nu numai.


In alta ordine de idei, personal n-o sa mai fiu de acord cu acest test care il vad "necesar" doar daca esti vechi pe un server si ca o ultima masura ti se cere scanarea sistemului. (iar asta doar pt. servere NonSteam)
Ownerii de server ar trebui sa ceara jucatorilor un test WG doar optional si nu obligatoriu ca masura anti-cheat, atat timp cat WG nu este cineva ca Valve/Steam si/sau nu are codul sursa public.
Asta pentru ca nu ai de unde sa stii ce face programul tau de exemplu, poate tu nu ai intentii asa bune cu el sau poate scanezi mai mult decat trebuie, ceea ce ar fi o problema de securitate.

Bineinteles eu inteleg de ce ai facut programul asta si nu vad nimic rau cu el, chiar te incurajez sa-l dezvolti mai departe dar trebuie sa o faci mai curat/elegant.
In cazul de fata ai fi putut sa scanezi dupa modulul respectiv al PH si configuratia respectiva (care poate fi folosita, banuiesc, sa ascunda procese) si sa spui exact de ce este suspect (asa ai fi minimizat probabil o parte din confuzie) si nu doar sa scanezi prezenta procesului deschis... ceea ce banuiesc ca doar atat? face WG la versiunea curenta.

Daca stau sa ma gandesc mai bine, cred ca programul tau scaneaza EXE-urile hack-urilor iar PH cu ajutorul unui modul poate fi folosit in a ascunde acele procese, dar daca asta e cazul tre' sa stii ca sunt mai multe utilitare legitime pe net care iti ofera aceeasi posibilitate, acum ce-o sa faci o sa le marchezi pe toate ca fiind suspecte?
Asta nu e o politica buna, aceeasi abordare o au si marile companii de AV, iar asta nu face decat sa sperie utilizatorul degeaba si sa produca alte efecte adverse ca in cazul de fata.

Atunci cand dpdv al programarii, o faci la nivel de suprafata (ex: doar listezi procesele deschise) si nu direct la un nivel mai adanc (ex.: scanezi modificarea in memorie, unde ai acces la date mai "concrete") trebuie sa incluzi mai multe puncte de bifat pana cand sa ridici o suspiciune (ex.: listezi procesele, detectezi o versiune vulnerabila de CS, detectezi un anumit driver, o anumita configuratie, etc) iar cand ai 3/mai multe suspiciuni emiti avertismentul si chiar si atunci ar trebui sa nu presupui automat ca detectia este 100% numai daca esti sigur de asta.

In-afara de asta keep up the good work! :D

[Tiger]

Poti sa faci o referire sau sa dai un exemplu, care modul poate fi folosit pt. ce ? (imi poti raspund in PM la asta)

Sunt destule plugin-uri care sunt pe post de hack-tool-uri, tool-uri de gen injectoare / process memory editor / etc. .



Eu fol. PH tot timpul pt. ca imi arata ce procese/servicii pornesc/opresc si le pot manipula pe toate cand/cum vreau, e un program f. folositor pt. sysadmin si nu numai.

In alta ordine de idei, personal n-o sa mai fiu de acord cu acest test care il vad "necesar" doar daca esti vechi pe un server si ca o ultima masura ti se cere scanarea sistemului. (iar asta doar pt. servere NonSteam)

Ownerii de server ar trebui sa ceara jucatorilor un test WG doar optional si nu obligatoriu ca masura anti-cheat, atat timp cat WG nu este cineva ca Valve/Steam si/sau nu are codul sursa public.

Asta pentru ca nu ai de unde sa stii ce face programul tau de exemplu, poate tu nu ai intentii asa bune cu el sau poate scanezi mai mult decat trebuie, ceea ce ar fi o problema de securitate.


Nici VAC nu este disponibil public si nici nu va fi. Rata de detectie VAC este relativ mica - deci nu te poti baza pe el sa isi faca treaba in cadrul serverelor steam-only.

Cat despre suspiciune, avand in vedere ca esti si sysadmin, poti monitoriza ce analizeaza, ce scanare face, ce trimite sau ce primeste. Ai cunostiintele necesare pentru acest lucru. Ai tool-uri precum SysInternals la dispozitie si multe altele (de care nu am sa le spun din motive evidente). Versiunea actuala de wCD nu opreste/ascunde aceste activitati. AV-urile sunt un alt lucru dupa care ai putea sa te iei, ele fac analiza comportamentala asupra aplicatiei.

Viitoarea versiune de wCD va avea un strat de securitate serios, am chiar de gand sa bag elemente de anti-virtualizare si anti-debug cu riscul ca AV-urile il va detecta in mod false-positive ca pe un malware la o scanare simpla. Detectia false-positive a AV-urilor se va poate rezolva cu un tichet vendor-ilor pentru a se analiza aplicatia.


In cazul de fata ai fi putut sa scanezi dupa modulul respectiv al PH si configuratia respectiva (care poate fi folosita, banuiesc, sa ascunda procese) si sa spui exact de ce este suspect (asa ai fi minimizat probabil o parte din confuzie) si nu doar sa scanezi prezenta procesului deschis... ceea ce banuiesc ca doar atat? face WG la versiunea curenta. Daca stau sa ma gandesc mai bine, cred ca programul tau scaneaza EXE-urile hack-urilor iar PH cu ajutorul unui modul poate fi folosit in a ascunde acele procese, dar daca asta e cazul tre' sa stii ca sunt mai multe utilitare legitime pe net care iti ofera aceeasi posibilitate, acum ce-o sa faci o sa le marchezi pe toate ca fiind suspecte?

Asta nu e o politica buna, aceeasi abordare o au si marile companii de AV, iar asta nu face decat sa sperie utilizatorul degeaba si sa produca alte efecte adverse ca in cazul de fata.

Atunci cand dpdv al programarii, o faci la nivel de suprafata (ex: doar listezi procesele deschise) si nu direct la un nivel mai adanc (ex.: scanezi modificarea in memorie, unde ai acces la date mai "concrete") trebuie sa incluzi mai multe puncte de bifat pana cand sa ridici o suspiciune (ex.: listezi procesele, detectezi o versiune vulnerabila de CS, detectezi un anumit driver, o anumita configuratie, etc) iar cand ai 3/mai multe suspiciuni emiti avertismentul si chiar si atunci ar trebui sa nu presupui automat ca detectia este 100% numai daca esti sigur de asta.



Momentan se verifica doar daca procesul este activ. Nu ai cum sa urmaresti in mod automat activitatea tuturor aplicatiilor si a tuturor versiuniilor acestora, deoarece nu exista un API ce sa ti se ofere astfel de informatii. Vorbind strict despre Process Hacker si a programelor asemanatoare, wCD tinteste cele mai utilizate programe de genul acesta. Target-ul a fost setat la nivelul de a scana programele gen Process Hacker pentru a prinde codatii care au un nivel de cunostinte joase, sau zero, despre cum functioneaza sistemul de operare - acest target fiind cel mai des intalnit. Cei care au un nivel abordabil de cunostiinte in domeniu, vor putea trece linistit peste orice program de detectie, gen VAC sau chiar si peste wCD - in momentul de fata - avand in vdere ca wCD nu persista in sistemul jucatorului cu scanarea si este doar folosit pentru o singura data.

Cheat-urile in ziua de azi folosesc tehnici pe care le poti vedea doar in malware. Devin din ce in ce mai greu de detectat de indata ce sunt deja "instalate" intr-o gazda a unui proces. Orice detectie/suspiciune ar trebui raportata.

Ultima versiune de wCD a fost lansata in 2014, care nu aducea nimic nou decat niste bug-fix-uri. De atunci nu s-a mai actualizat aplicatia, deoarece nu am mai avut timp. Au trecut aproape 3 ani de atunci. Un nou update va veni in curand, nu pot spune exact cand, deoarece era stabilit ca pentru decembrie 2016 sa fie lansata o noua versiune dar nu a fost sa fie din lipsa timpului disponibil.

Noua versiune de wCD ar urma sa aduca:
- suport multi-game
- suport multiple limbi
- noi mecanisme de detectie a cheat-urilor - mecanisme ce ar mari rata de detectie cu foarte mult si ar scurta durata timpului de scanare
- mecanisme de securitate
- o noua interfata web
- etc.

Aplicatia desktop este aproape finalizata, mai am de facut doar interfata web.