PrepSnap logoPrepSnap
Pass

Question

1.
2.
3.
4.
Answer (Detailed Solution Below)

Option 2 : pslist walks the linked EPROCESS list that the rootkit altered; psscan scans memory for pool-tag process structures independently of the links / pslist उस लिंक्ड EPROCESS सूची पर चलता है जिसे रूटकिट ने बदला; psscan लिंक से स्वतंत्र होकर पूल-टैग प्रक्रिया संरचनाओं हेतु मेमोरी स्कैन करता है

Advertisement

Detailed Solution

सही उत्तर pslist walks the linked EPROCESS list that the rootkit altered; psscan scans memory for pool-tag process structures independently of the links / pslist उस लिंक्ड EPROCESS सूची पर चलता है जिसे रूटकिट ने बदला; psscan लिंक से स्वतंत्र होकर पूल-टैग प्रक्रिया संरचनाओं हेतु मेमोरी स्कैन करता है है।

Key Points
Helpful?
PrepSnapprepsnap.in • Part -A

Question:

A rootkit unlinks its process from the kernel's active process list (DKOM). In the memory image, the pslist plugin omits the malware but psscan finds it. Why? / एक रूटकिट अपनी प्रक्रिया को कर्नेल की सक्रिय प्रक्रिया सूची से अलग (DKOM) कर देता है। मेमोरी इमेज में pslist प्लगइन मैलवेयर छोड़ देता है पर psscan उसे खोज लेता है। क्यों?

1.
psscan reads the disk's MFT instead of memory / psscan मेमोरी के बजाय डिस्क का MFT पढ़ता है
2.
pslist walks the linked EPROCESS list that the rootkit altered; psscan scans memory for pool-tag process structures independently of the links / pslist उस लिंक्ड EPROCESS सूची पर चलता है जिसे रूटकिट ने बदला; psscan लिंक से स्वतंत्र होकर पूल-टैग प्रक्रिया संरचनाओं हेतु मेमोरी स्कैन करता है
3.
pslist only enumerates 32-bit processes / pslist केवल 32-बिट प्रक्रियाओं की गणना करता है
4.
psscan decrypts processes hidden by encryption / psscan एन्क्रिप्शन से छिपी प्रक्रियाओं को डिक्रिप्ट करता है

Correct Answer: pslist walks the linked EPROCESS list that the rootkit altered; psscan scans memory for pool-tag process structures independently of the links / pslist उस लिंक्ड EPROCESS सूची पर चलता है जिसे रूटकिट ने बदला; psscan लिंक से स्वतंत्र होकर पूल-टैग प्रक्रिया संरचनाओं हेतु मेमोरी स्कैन करता है

DKOM manipulates the doubly-linked list that pslist trusts; psscan carves EPROCESS objects by their pool tags, so unlinked-but-present processes appear in the discrepancy. Option (c) is wrong: bitness is irrelevant to the hiding technique. / DKOM उस द्वि-लिंक्ड सूची में हेरफेर करता है जिस पर pslist भरोसा करता है; psscan EPROCESS ऑब्जेक्ट को पूल टैग से निकालता है, अतः अलग की गई पर मौजूद प्रक्रियाएं विसंगति में दिखती हैं। विकल्प (c) गलत है: छिपाने की तकनीक से बिटनेस का कोई संबंध नहीं।

Downloaded from PrepSnap (prepsnap.in)