So di essere in ritardo per questa festa, ma questa domanda mi è venuta mentre stavo cercando Sec.SE in relazione a un'altra situazione con cui ho a che fare al lavoro. Penso anche che potrei fornire qualcosa di utile che non è stato ancora toccato. Anche se sono d'accordo con Rory Alsop, vorrei aggiungere anche qualcosa che sia a sostegno della sua risposta sia che fornisca un altro consiglio oltre a cancellare il computer; che consiglio vivamente di fare (probabilmente ora avete già FATTO). Infine, questo è per chiunque altro venga a questa domanda e può ottenere forse una visione completa tra entrambe le nostre risposte.
Rispondi alla mia risposta ... (e questo aggiunge solo alla risposta originale accettata, controlla sempre prima i registri e fai qualche ricerca)
Per quanto mi riguarda, sarei ugualmente preoccupato che qualunque cosa fosse in esecuzione fosse in grado di elevarsi all'Amministratore in PowerShell. Questo potrebbe (non è definito) indicare che qualunque cosa stia eseguendo ha afferrato le tue credenziali dalle credenziali memorizzate nella cache che Windows memorizza sul disco locale, o da qualche keylogger che potrebbe essere rimasto nascosto, e poi le ha usate per elevarsi e far funzionare un miriade di cose. Ci sono diversi modi in cui la password dell'amministratore (e altre password) potrebbe essere stata compromessa se effettivamente ciò accadesse. Questo mi porta sulla strada di essere paranoico e di assumere il peggio come è già stato detto, il che significa che le tue password sono state rubate (diciamo FERRO RUBATO per il contesto di questa risposta) e ora hai questo come problema. Qui ci sono due cose da fare, oltre a pulire il computer e ricominciare da capo.
- Modifica le password utilizzate su questo computer, indipendentemente dal loro scopo. Non si sa mai cosa è stato compromesso se un keylogger o un pezzo di software dannoso si è seduto sul tuo sistema senza che tu lo sappia.
- Crea un account utente normale che usi per l'uso quotidiano e un account utente amministrativo che usi solo quando qualcosa deve essere eseguito con l'autorizzazione di un account con privilegi elevati; attivare UAC (Controllo account utente) per rafforzare questa tattica ed eseguire le cose come amministratore quando necessario. In questo modo, se il tuo account normale viene compromesso, l'account dell'amministratore non verrà automaticamente compromesso e gli hacker sarebbero più difficili nel tentativo di eseguire un attacco riuscito.
- Utilizza una macchina virtuale: crea una macchina virtuale su cui lavorare in modo sensibile, privilegiato da amministratore. Usa ancora la tattica # 2 sopra quando usi questa VM e accedi con un utente normale e usa le credenziali di amministratore solo se necessario usando "Esegui come amministratore". Se la VM è compromessa, è sufficiente eliminarla e crearne una nuova da zero. Mentre la VM escape (l'atto di fuggire di nuovo dalla VM nella macchina host) non è impossibile, è molto più difficile di quanto la maggior parte delle persone capisca. Utilizza i vari strumenti di istantanea integrati nella maggior parte degli hypervisor di oggi per rendere davvero efficace questa tattica, quindi non dovrai cancellare la tua macchina principale ogni volta che succede qualcosa del genere.