Editar: supongamos que Windows 7 y potencialmente Windows Server 2003/2008.
En mi humilde opinión, cualquier máquina que tenga malware debe volver a crear imágenes / formatearse / reinstalarse el sistema operativo antes de volver a implementarse en el entorno. Sin embargo, esto no siempre es práctico. Si el tipo de malware puede ser identificado y potencialmente eliminado, a veces la empresa dicta que una máquina está remediada. Entonces, mi pregunta asume que la administración insiste en que una máquina está remediada y ha aceptado el riesgo de hacerlo. Además, suponga que todo el análisis de la causa raíz de la infección ya se ha completado. Me gustaría construir una lista de verificación de cosas para ver con el objetivo de revertir cualquier cambio que el malware haya hecho en un sistema.
Editar: Debido a la amplia naturaleza de esto, tal vez aquellos que están familiarizados con el análisis de malware pueden comentar sobre las cosas más comunes que ven el cambio de malware en un sistema que está relacionado con el mantenimiento de la persistencia, incluso si el malware está deshabilitado / eliminado. (por ejemplo, cree una cuenta u otra puerta trasera que permita el acceso remoto a un sistema). Obviamente, hay libros enteros y cursos sobre este tema. Esto no pretende ser exhaustivo. Más bien, es una lista de verificación de cosas comunes para verificar / corregir una situación en la que reinstalar el sistema operativo no es una opción y se cree que el malware ya se ha eliminado.
Aquí hay algunos ejemplos:
*review all autostart locations and verify persistence mechanisms are removed
*multiple virus/malware scans of the drive slaved to another system (using multiple tools)
*all local/network account passwords changed
*local accounts/groups reviewed for issues (e.g., new accounts)
*etc/hosts file reviewed
*sfc /scannow
*review firewall configuration
*review MBR
*review and file/folders created/modified at the time of compromise.
*review $MFT for timestomping (assumes NTFS)
Aunque estoy de acuerdo en que una nueva imagen es mucho más simple y una mejor solución, pensé que sería una buena idea desarrollar una mejor práctica para intentar verificar que una máquina haya sido remediada. Muchos de estos pasos también entran en la categoría de detección de malware.
Revisé las siguientes publicaciones relacionadas:
Recuperación de malware en el registro
está haciendo una instalación limpia lo suficiente como para ¿Eliminar malware potencial?
¿Cómo trato con un servidor comprometido?
Gracias.