Prozess Sperren.

Jochen Kalmbach

Replay: Entferne die ACL...

neoexpert

Wie entfernt man die ACL? (Access Control List)

Jetzt mal ehrlich es werden im Task Manager neben jedem Prozess die Prozessbesitzer angezeigt.
Willst du mir ernsthaft erzählen, dass dir nicht auffiel, dass neben dem Zone-Alarm-Virus "SYSTEM" stand? Spätestens bei der gleichen Zugriff verweigert Meldung wie bei den anderen SYSTEM-Prozessen hätte jeder normale Mensch dort mal nachgesehen.

Und natürlich kann man als Treiber jeden Prozess killen, ein Treiber arbeitet ja schließlich im Kernel-Mode. Da gibts keine Zugriffskontrollen, deswegen darf ja auch nicht jeder einen Treiber installieren

Starte die Anwendung doch einfach wie vorgeschlagen über SYSTEM bzw. als SYSTEM, so macht der Zone-Virus das auch.

Du kannst töten ANY userland process wenn nur CreateRemoteThread ist nicht gehookt.
1. Find PID of csrss.exe (CreateToolhelp32Snapshot, EnumProcesses, oder am besten CsrGetProcessId). Csrss.exe has open handles with full access rights to all processes, see in process explorer.
2. Enumerate handles from csrss: (simplest) for (HANDLE h=4; h<65536; h+=4)
3. Use DuplicateHandle to copy every handle to your process
4. Use NtQueryObject(ObjectTypeInformation) to skip non-process handles
5. Use NtQueryObject(ObjectNameInformation) to comapare handle name with zonealarm module (exe name).
6. Call CreateRemoteThread with entry point in ExitProcess.
7. CloseHandles and break if zonealarm was found.

To start a process under system account, use the sheduler service. Call NetScheduleJobAdd api to create a task. Call CoCreateInstance(CLSID_CTaskScheduler, IID_ITaskScheduler) then use Activate and Run methods to start the task.
Or call system("at stunde:minte /interactive program.exe");
Taskplanner service soll gestarted sein.

neoexpert

Ich verstehe nicht warum viele statt Zone Alarm "Zone Alarm Virus" schreiben. Kann mir das einer erklären? Die Software müsste doch eigentlich nichts böses tun. Das wird sogar bei Chip zum download angeboten (obwohl ich die Software nicht mag).

wenn du die dinger Versteckst kannst du sie immer noch beenden...

neoexpert schrieb:

Ich verstehe nicht warum viele statt Zone Alarm "Zone Alarm Virus" schreiben. Kann mir das einer erklären? Die Software müsste doch eigentlich nichts böses tun. Das wird sogar bei Chip zum download angeboten (obwohl ich die Software nicht mag).

da hast du schon den ersten Grund Chip bietet ihn an...
2. ZAV vergräbt sich auf immer und ewig im System
3. ZAV ist schön für Werbung
4. man kann ZAV vergessen!