Как проверять винду

Просмотр запуска exe файлов за последний месяц >> Пкм по значку интернета >> Открыть «Параметры сети и интернета» >> Использование данных >> Если вы заметили какой-то неизвестный exe файл, то можно навестись на его название и увидеть путь к нему

Поиск в файлах

Перед проверкой файлов >> Проводник >> Вид >> Параметры >> Вид >>

выкл >> Скрывать защищенные системные файлы.

выкл >> Скрывать пустые диски.

вкл >> Показывать скрытые файлы, папки и диски.

Далее вводим в win + r >> file: >> тянем за уголок и смотрим какие там файлы

Также в win + r >> recent(если не работает shell:recent)

regedit >>

Компьютер\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RADAR\HeapLeakDetection\DiagnosedApplications

Компьютер\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store

Компьютер\HKEY_CLASSES_ROOT\Local Settings\Software\Microsoft\Windows\Shell\MuiCache

Если вы нашли что-то в регедите, то не спешите банить, т.к. это могут быть остатки читов. Проверьте дату использования через RegScanner

Далее смотрим такие папки как >>

Загрузки
Документы
Быстрый доступ(последние 20 файлов)
Видео
Корзину

Фишка как проверить когда изменялась/очищалась корзина >> Заходим на диск C >> $Recycle.Bin >> Смотрим на дату изменения если очищали за 3-5 минут до проверки - бан)

Everything

Программы

Заходим в shellbag analyzer >> нажимаем "Анализ" >> один раз нажимаем на посещение и ищем удаленные папки от читов

Everything >> (так же нажимаем на стрелочку в панели задач, пкм по иконке Everything, после заходим настройки(settings) и смотрим исключения(excludes), если там есть директории, удаляем/убираем галочку с использования списка исключений, и начинаем смотреть результаты сайзов)

JournalTrace >>

Drive >> select >> Проверяем каждый диск, начиная с C; Drive >> scan >> Layout >> действуем по ситуации>>

Удаление лоадеров .jar, .exe | Data Grid | .jar, .exe, .dll, .mp3, .png, .jpg (в зависимости от ситуации ) name, нажимаем 2 раза по дате, чтобы стрелочка была вниз

Перемещение мода и папки mods | Data Grid | Путь до папки, меняем name на directory

Очистка папок и директорий | Data Grid | Вставляем путь к папке, либо директории там где name меняем на directory

Если вы не умеете пользоваться Directory Tree или у подозреваемого чищенные директории, то дальше нет смысла смотреть

Очистка диска | Directory Tree | C:\

Очистка корзины | Directory Tree| C:\Recycle Bin

RegScanner >> Ставим галочку на Display only values with the following types и выбираем там все >> Scan the following base keys тоже выбираем все >> В строке find string вводим найденное в regedit

ProcessHacker2 >>

ProcessHacker2 для ProstoLauncher >> [Клик]

В процесс хакере можно посмотреть уже заинжекченные ранее .dll файлы, для этого пкм по процессу майнкрафта javaw.exe >> Miscellaneous >> Inject dll, и по стрелочке смотрим какие файлы были заинжекчены ранее.

Далее нужно посмотреть выгруженные модули javaw.exe >> Miscellaneous >> Unloaded modules >> инородные dll имеют другой базовый адрес(дллки от майнкрафта и винды начинаются на 0x7)

Strings

В ProcessHacker2 пкм по процессу javaw.exe(тот, который потребляет больше всего оперативной памяти) >> Properties >> Memory>> Убираем галочку с Hide free regions >> Strings >> Minimum length: 4 >> Ставим все галочки >> Filter >> Contains (case insensitive) >> Вписываем туда по одной строке(писать через | нельзя)

Strings

(Cortex) > | 71KD | -LLdd5522 | HNtXxl | exitsave ///(8,9,18)| Stubborn.website | 2;Lnet/minecraft/entity/Entity;)V /// (33)| .]+5+]5 ///(Legit) | 5+]5]]q ///(Legit) | 10^]^]]]!!46 ///(Legit) | ?10_^]]]]_]]]]]]]^]]]]]]% | 99?_]10]]]]]]]]]] | _q]q]]q]+++++ | _]_]_]_]_]10]]]]]]] | .]+5+]5 | ]]]+4]

| hLit/unimi/dsi/fastutil/objects/Object2DoubleMap<Lnet/minecraft/tags/ITag<Lnet/minecraft/fluid/Fluid;>;>; |

(Expensive) > | expensive |

(ZenWare) > | ldldld.java |

(NoRules Legit) > | [__xz^[[yza[_a |

(Troxill) > | :|: | OnlyInt | oldSlot | k5u8q | getpremultiplyaplha | exitsave || fkernel32.dll (должен быть в «unload modules») ||

(DreamPool) > | D:\a\_work\1\s\\binaries\amd64ret\bin\amd64\\vcruntime140.amd64.pdb | readStructs |

| %Lmagictheinjecting/MagicTheInjecting; | ;(Ljava/lang/Object;)Lnet/minecraft/util/math/AxisAlignedBB; |

| ?(Ljava/lang/Object;Ljava/lang/Object;)Ljava/lang/StringBuilder; |

(Celestial) > | Celka | Celestial |

(Nursultan) > | nurik | nursultan |

(Akrien) > | akrien |

(WexSide) > | wexside | wex |

После, не забудьте посмотреть LastActivityView/ExecutedProgramList, UsbDriveLog, Shellbag

Page updated

Google Sites

Report abuse