AVZ 4.29

Вышла новая версия антивирусной утилиты AVZ - 4.29. Архив с утилитой содержит базу вирусов от 12.12.2007 138934 сигнатуры, 2 нейропрофиля, 55 микропрограмм лечения, 371 микропрограмма эвристики, 9 микропрограмм ИПУ, 66966 подписей безопасных файлов. Новая версия содержит ряд радикальных доработок и усовершенствований.
Основные модификации:
[+++] [B]Интерфейс на нескольких языках[/B]. Локализация интерфейса и протоколов выполняется на основе обновляемых баз, на текущий момент поддерживается русский и английский язык, выбор языка производится автоматически или вручную при помощи параметра командной строки Lang или профиля локализации
[+++] Новая подсистема - мастер поиска и устранения проблем. Осуществляет автоматический поиск проблем и их автоматическое устранение с функцией резервного копирования и возможностью отмены большинства изменений. Поиск системных проблем и ошибок включен в основную процедуру проверки, результаты выводятся в протокол, раздел номер 9. Одна из функций мастера - чистка приватных данных (протоколы, кукизы, разнообразная история и статистика). Мастер использует обновляемую базу.
[++] Расширен HTML протокол исследования, в частности добавлена таблица заподозренных файлов без повторов, добавлены интерактивные элементы для генерации команд - удаление процесса, удаление BHO, управление службами и драйверами
[++] Скриптовой язык - введены новые команды (в частности, DeleteFileMask для удаления файлов, API для анализа XML базы с результатами исследования системы, вызов исследования системы с детальной настройкой параметров)
[++] Расширен набор информации, выводимой в XML протокол
[+] Открытие ключей реестра из скриптов производится в режиме "Только чтение"
[-] Исправления в XML файле (было дублирование имени тегов для двух разных менеджеров)

Страница загрузки как обычно - [URL]http://www.z-oleg.com/secur/avz/download.php[/URL]

PS: Согласно уже установившейся традиции версии нумеруются через одну (т.е. четный суб-номер у приватной версии для альфа-тестеров, нечетный - у публичной).

А с ADS-малварами ничего нового ?

Зеркало бы не помешало, 503 сейчас выдаёт, наверно китайцы ринулись качать :D

Часовой пояс GMT +2, время: 16:42.
Ошибка 503 ...[QUOTE]Вероятнее всего, превышен лимит подключений[/QUOTE]
;) Показатель востребованности у народа.

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

[B]Surfer[/B] опередил)

AVZ 4.29 не может установить свой драйвер AVZPM или удалить прежний, если его не удалить в прежней версии AVZ.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Surfer;159806]Зеркало бы не помешало, 503 сейчас выдаёт, наверно китайцы ринулись качать :D[/QUOTE]
[url=http://www.shareonall.com/avz4_kzcf.zip]Скачать 1[/url] [url=http://delux.ifolder.ru/4531016]Скачать 2[/url]

Мастер поиска и устранения проблем- я заблокировал в политики групп изменение стратовой страницы в IE т.к. к-то аутораны с CD дисков их меняли.
Против них это не помогло (всеравно хоть изменение стартовой страницы теперь недоступно этот autorun.exe ее меняет)

Мастер поиска и устранения проблем
"Системные проблемы" или "настройки и твики броузера"
находит
"Internet Explorer - заблокирована настройка домашней страницы"
Выбираю исправить - выделяю -> исправить отмеченные проблемы => успешно исправлены
При повторном поиске "Internet Explorer - заблокирована настройка домашней страницы" опять появляется, стартовая страница IE как была так и осталась заблокированной.

[QUOTE=Surfer;159806]А с ADS-малварами ничего нового ?

Зеркало бы не помешало, 503 сейчас выдаёт, наверно китайцы ринулись качать :D[/QUOTE]

Кому удобнее брать с рапиды [url]http://rapidshare.com/files/76077085/avz4.zip[/url]

Олег,

что делать со справкой? Теперь у англоязычных юзеров вообще ничего не осталось для понимания утилиты. Я сейчас буду объявлять о билде на Geeks To Go - они меня упрашивали прийти рассказать о продукте, потому что даже с той справкой они не в состоянии были многое понять. Теперь англоязычных материалов, к примеру, по скриптам вообще [i]не существует в природе[/i]. Вы б хотя бы включили английский хелп в архив под названием avzeng.hlp - и то было бы проще.

Ну и, естественно, меня совершенно не радует тот факт, что часть новых компонентов локализации почему-то по-прежнему проходит мимо меня. На том же Geeks To Go я говорю, что являюсь переводчиком утилиты, что вряд ли можно назвать ложью. Соответственно на меня автоматически ложится ответственность за то, чего я, собственно, не переводил. От ряда фраз я, честно, задумчиво зеленею. Ладно Search for disk files, хотя я несколько раз правил локализацию и в целях единообразия с двумя другими search'aми писал File Search. Но что такое Calk file MD5 hash? Слово calk - специально лезу в 1500-страничный словарь - означает "подковывать". Иногда еще "смолить" и "калькировать". Откуда оно у вас? Я понимаю, хотелось сказать calculate или compute, не хотелось или не успелось побеспокоить меня относительно одной фразы. Но люди-то думают, что переводил я, и делают выводы о [i]моей[/i] компетенции.

В логе нашел:

Thaw-maut end of services is outside of admissible values

Я не переводил такого... У меня мозг заклинивает при попытке понять, что имелось в виду.
Смотрю русский вариант.

Таймаут завершения служб находится за пределами допустимых значений

Это переводил ПРОМТ?

Откуда-то вновь всплыло старое название первого стандартного скрипта. Тоже не понимаю... я вроде исправлял...

Я не пытаюсь придраться, но, как уже сказано выше, время от времени всплывают такие огрехи, которые мешают продвигать продукт за рубежом.

Что касается собственно функционала, то, безусловно, сделано несколько важных шагов вперед; по крайней мере, у англичан есть теперь последняя версия движка утилиты.

Кстати неплохо бы сделать меню или диалог вибора языка, который бы добавлял нужный .loc файл.

У меня плагин для Бата с новым АВЗ почему-то пишет:
[QUOTE]
Настройки загружены. Путь к AV базам: "C:\Program Files\avz4\BASE\"
Загрузка AV базы. Путь к базе = "C:\Program Files\avz4\BASE\"
Ошибка загрузки баз. Дополнительная информация:
[/QUOTE]
И всё...
Хотя упомянутая директория существует и там есть база.
Может большие буквы отличаются от маленьких?

Небольшое замечания - свежий UPX с ключем --brute упаковывает AVZ.exe на 10% лучше что слегка уменьшит дистрибутив.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Nick222;159850]У меня плагин для Бата с новым АВЗ почему-то пишет:
Может большие буквы отличаются от маленьких?[/QUOTE]
В новой версии новый формат баз, возможно из-за этого.

[quote=RiC;159854]Небольшое замечания - свежий UPX с ключем --brute упаковывает AVZ.exe на 10% лучше что слегка уменьшит дистрибутив.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]


В новой версии новый формат баз, возможно из-за этого.[/quote]
новую версию так и запакую (сборку дистрибутива делает автоматика, там вызывается какой-то UPX, я даже версию его не помню ...
Насчет плагина - да, он работать не будет, нужно качать новый плагин и заменять им старый (на страничке загрузки я про это написал).

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

[quote=Muffler;159842]Кстати неплохо бы сделать меню или диалог вибора языка, который бы добавлял нужный .loc файл.[/quote]
В меню это сделать нельзя - ядро начинает использовать локализацию с момента инициализации, поэтому налету поменять язык сложно.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=NickGolovko;159840]Олег,
что делать со справкой?
....
Ну и, естественно, меня совершенно не радует тот факт, что часть новых компонентов локализации почему-то по-прежнему проходит мимо меня.
...
Что касается собственно функционала, то, безусловно, сделано несколько важных шагов вперед; по крайней мере, у англичан есть теперь последняя версия движка утилиты.[/quote]
База там здоровенная, я поэтому и выкладывал альфу, чтобы отловить все ляпы. Я завтра я пришлю базы локализатора на выверку, кое что там действительно добавлялось "на коленке" ... но это не проблема - база локализации обновляется вместе с сигнатурной, а через недельку выйдет 4.29.xxxx - исправленный и доработанный билд 4.29. заодно и хелп английский туда поместим

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Mad Scientist;159815]Мастер поиска и устранения проблем- я заблокировал в политики групп изменение стратовой страницы в IE т.к. к-то аутораны с CD дисков их меняли.
Против них это не помогло (всеравно хоть изменение стартовой страницы теперь недоступно этот autorun.exe ее меняет)

Мастер поиска и устранения проблем
"Системные проблемы" или "настройки и твики броузера"
находит
"Internet Explorer - заблокирована настройка домашней страницы"
Выбираю исправить - выделяю -> исправить отмеченные проблемы => успешно исправлены
При повторном поиске "Internet Explorer - заблокирована настройка домашней страницы" опять появляется, стартовая страница IE как была так и осталась заблокированной.[/quote]
Политика в HKLM или HKCU прописана ? Визард в HKCU проверял и фиксил, HKLM не трогал. Я ввел контроль HKLM в этой проверке, завтра в апдейт он попадет

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=Surfer;159806]А с ADS-малварами ничего нового ?

Зеркало бы не помешало, 503 сейчас выдаёт, наверно китайцы ринулись качать :D[/quote]
ADS вроде фиксил, если недофиксил - в сборке 4.29.xxxx точно добью. Сайт действительно временами залипает, народу много набежало за релизом :)

[QUOTE]Насчет плагина - да, он работать не будет, нужно качать новый плагин и заменять им старый (на страничке загрузки я про это написал).[/QUOTE]
Я качал недавно, там прежняя версия плагина и редактор тоже старый.

[quote=SuperBrat;159810]AVZ 4.29 не может установить свой драйвер AVZPM или удалить прежний, если его не удалить в прежней версии AVZ.[/quote]
Олег, а нельзя это зафиксить? Ну повезло мне, что старую версию AVZ не удалил. Но что сейчас, к юзерам ещё на всякий случай возить с собой старый AVZ?
А у юзеров интернет может быть и модемный....

Олег, хоть на сайте напиши крупными буквами, что нужно удалять старый драйвер перед установкой новой AVZ.

Кстати, скажи имя драйвера, чтобы можно было его руками из реестра вычистить.

[size="1"][color="#666686"][B][I]Добавлено через 27 минут[/I][/B][/color][/size]

[quote=Mad Scientist;159815]
Мастер поиска и устранения проблем
"Системные проблемы" или "настройки и твики броузера"
находит
"Internet Explorer - заблокирована настройка домашней страницы"
Выбираю исправить - выделяю -> исправить отмеченные проблемы => успешно исправлены
При повторном поиске "Internet Explorer - заблокирована настройка домашней страницы" опять появляется, стартовая страница IE как была так и осталась заблокированной.[/quote]
Аналогичная проблема с ошибкой "Таймаут завершения служб находится за пределами допустимых значений". Тоже не устраняется.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[quote=Зайцев Олег;159857]
Политика в HKLM или HKCU прописана ? Визард в HKCU проверял и фиксил, HKLM не трогал. Я ввел контроль HKLM в этой проверке, завтра в апдейт он попадет
[/quote]

А может тем же путём и проблема с "Таймаут завершения служб находится за пределами допустимых значений" пофиксится? Кстати, а нельзя как-то (в хинтах, логе или где) показывать путь в реестре к изменяемому ключу?
Потому как мне путь к рестру даст возможность поискать в инете, что это за проблема и надо ли лично мне её фиксить. А вот название ни о чём не говорит.

[size="1"][color="#666686"][B][I]Добавлено через 46 минут[/I][/B][/color][/size]

F:\Jef\Misc\Foto\Женька_фото.rar - PE файл с нестандартным расширением(степень опасности 5%)

Гм, а сложно научить AVZ понимать автораспаковываемые RAR и ZIP архивы? То ест сообщение верное, но я бы добавил, что это автораспаковываемый RAR-архив.

W2k/sp4 rus
Стандартные скрипты - №2
После выдачи сообщения:
Проверка завершена
Просканировано файлов: 293, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 13.12.2007 8:40:54
Сканирование длилось 00:00:33
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - [url]http://virusinfo.info[/url]

Окно с ошибкой: Invalid variant type

Логи не создаются

Имя драйвера уникально для каждого ПК, поэтому есть скрипт для удаления всех драйверов:
[FONT='Courier New'][B]begin[/B][/FONT]
[FONT='Courier New'] ExecuteStdScr(6);[/FONT]
[FONT='Courier New'][B]end[/B][/FONT][FONT='Courier New'].[/FONT]
Этот скрипт можно вызвать из меню "Файл/Стандартные скрипты", номер 6. Этот скрипт зачистит все "хвосты" от текущей или предыдущей версии AVZ.
С таймаутом завершения служб сейчас разберусь (путь в реестре показать невозможно, т.к. скрипт с GUI взаимодействует только на уровне "проискать проблему", "пофиксить проблему", "откатить изменения".
С архивами - AVZ распознает SFX архив и проверяет его, но у него есть две независимых проверки. Одна поймет, что это архив - и проверит его. А вторая поймет, что EXE файлу по непонятной причине дано расширения RAR - и напишет об этом в логе

[quote=Зайцев Олег;160006]Имя драйвера уникально для каждого ПК, поэтому есть скрипт для удаления всех драйверов:
[FONT=Courier New][B]begin[/B][/FONT]
[FONT=Courier New] ExecuteStdScr(6);[/FONT]
[FONT=Courier New][B]end[/B][/FONT][FONT=Courier New].
[/FONT]Этот скрипт можно вызвать из меню "Файл/Стандартные скрипты", номер 6. Этот скрипт зачистит все "хвосты" от текущей или предыдущей версии AVZ.[/quote]
Олег, отпиши [url]http://www.z-oleg.com/secur/avz/download.php[/url] что это НУЖНО сделать при установке новой версии поверх предыдущей.
[quote=Зайцев Олег;160006] С таймаутом завершения служб сейчас разберусь (путь в реестре показать невозможно, т.к. скрипт с GUI взаимодействует только на уровне "проискать проблему", "пофиксить проблему", "откатить изменения".[/quote]
Есть ещё одно взаимодействие - на уровне "Название проблемы". Вот там (или в хелпе) хотелось бы иметь информацию о проверяемых ключах. Гм, а в лог у тебя сам скрипт не пишет? Просто ещё лучший канал для взаимодействия - это запись в лог.
[quote=Зайцев Олег;160006] С архивами - AVZ распознает SFX архив и проверяет его, но у него есть две независимых проверки. Одна поймет, что это архив - и проверит его. А вторая поймет, что EXE файлу по непонятной причине дано расширения RAR - и напишет об этом в логе[/quote]
А вторая проверка не может взять информацию от первой?

[I] >> Опасно ! Обнаружена маскировка процессов
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка в работе антируткита [Failed to set data for 'DisplayName'], шаг [14]
[/I]
Это я запустил нейратлизацию перехватов в UserMode. А без него - всё работает:

[I]Проверено функций: 248, перехвачено: 34, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
[/I]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=AStr;160005]W2k/sp4 rus
Стандартные скрипты - №2
После выдачи сообщения:
Проверка завершена
Просканировано файлов: 293, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 13.12.2007 8:40:54
Сканирование длилось 00:00:33
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - [URL]http://virusinfo.info[/URL]

Окно с ошибкой: Invalid variant type

Логи не создаются[/quote]

ПОДТВЕРЖДАЮ. Тоже W2k/sp4 rus

Олег, добрый день. Второй раз сталкиваюсь с ситуацией когда скрипт отложенного удаления с включенным AVzGuard и антируткитом не срабатывает при удалении ntos.exe. Возможно, потому что прописаны атрибуты файла: для чтения. В первый раз проблема решилась изменением имени ntos.exe_ в строке реестра... в этот раз не помогло, запись ntos.exe восстанавливалась ...ntos.exe_, ...ntos.exe и т.д. удалить ntos.exe возможно было только: включив AVZGuard, в regedit убрать в реестре загрузку ntos.exe. После перезагрузки с включенным AVZGuard ntos.exe становится виден в system32 с атрибутом для чтения.

[quote=santy;160016]Олег, добрый день. Второй раз сталкиваюсь с ситуацией когда скрипт отложенного удаления с включенным AVzGuard и антируткитом не срабатывает при удалении ntos.exe. Возможно, потому что прописаны атрибуты файла: для чтения. В первый раз проблема решилась изменением имени ntos.exe_ в строке реестра... в этот раз не помогло, запись ntos.exe восстанавливалась ...ntos.exe_, ...ntos.exe и т.д. удалить ntos.exe возможно было только: включив AVZGuard, в regedit убрать в реестре загрузку ntos.exe. После перезагрузки с включенным AVZGuard ntos.exe становится виден в system32 с атрибутом для чтения.[/quote]
1. В AVZ 4.29 есть фича убивания процесса (есть в HTML логе)
2. Для удаления ntos.exe следует применять BootCleaner, а не отложенное удаление

Олег, огромное спасибо за новую версию! :)

Наконец скачал плагин для Бата.
Единственная просьба - нельзя ли внутри в плагине поставить текущий номер версии, а то на сайте написано 4.29, а внутри в инфе плагина всё ещё 4.23 :)

Спасибо ещё раз!

[QUOTE]2. Для удаления ntos.exe следует применять BootCleaner, а не отложенное удаление[/QUOTE]

на 4.27 не срабатывал BootCleaner при удалении ntos.exe проверял на 3 машинах..

По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт[CODE]begin
DeleteService('iPod Service');
SetServiceStart('iPod Service', 4);
StopService('iPod Service');
end.[/CODE]Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.

Олег хотелось бы услышать ответ на вот этот вопрос..
[url]http://virusinfo.info/showpost.php?p=147063&postcount=276[/url]
это у меня кривые руки или в базах непорядок был..

[QUOTE=Maxim;160032]По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт[CODE]begin
DeleteService('iPod Service');
SetServiceStart('iPod Service', 4);
StopService('iPod Service');
end.[/CODE]Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.[/QUOTE]
Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.

[QUOTE=Geser;160035]Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.[/QUOTE]Практика показывает, что при использовании вначале остановки\выгрузки службы\драйвера лучше удаляется. Я не могу доказать свою правоту, но на практике я часто это наблюдаю. Тоже касается удаление через BC, Олег говорит, что нет разницы между скриптами, но последний работает эффективнее[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[CODE]begin
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

В логах добавить кнопочку удаления для DPF , аналогично той что добавили для BHO ;)[code]O16 - DPF: {11111111-1111-1111-1111-222222222222} - [/code]

Также добавить, если сам файл отсутствует в компьютере -> (file missing) Это организовано в hijack this, очень удобно.

какая-то ерунда с ревизором.
Например:
$AVZ0288
$AVZ0072 13.12.2007 8:57:59
$AVZ0249
$AVZ0121
c:\windows\123.exe = $AVZ1124
$AVZ1046

[quote=Maxim;160032]
...Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный...[/quote]
Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.

Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:
* Исправлен баг с выводом в лог сообщений ревизора
* Исправлена ошибка в работе визардов - исправление проблемы не отрабатывало как положено
* В HTML лог добавлен интерактив для генерации строк скрипта, удаляющих DPF

Если кому нужно на рапиде [url]http://rapidshare.com/files/76278583/avz429.zip[/url]

[quote=Bratez;160109]Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.[/quote]


Верно, очень не хватает.
:rolleyes:

[quote=Geser;160121]Если кому нужно на рапиде [URL]http://rapidshare.com/files/76278583/avz429.zip[/URL][/quote]
Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=drongo;160124]Верно, очень не хватает.
:rolleyes:[/quote]
Не хватает - приделаю. Тем более что релиз однозначно обновится, когда [B]NickGolovko[/B] выверит перевод.

[QUOTE=Зайцев Олег;160125]Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

[/QUOTE]

Так даже лучше. Нет проблем с кешированием. Кстати, у меня с .ру не всегда качается. Так что лучше делать две копии. Одну на ру вторую на ком

Говоря о переводе...До сих пор написано File-> "Cleat the log" - Что это за "Cleat" остаётся загадкой...Должно быть Clear
Страница с объяснениями на русском про скрипты- умерла смертью храбрых, нужно вернуть и также на английский перевести .
версия английского генератора скриптов была бы полезна ;)

[quote=Зайцев Олег;160114]Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:[/quote]
Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.

Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?

[quote=Jef239;160140]Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.[/quote]
А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Maxim;160156]Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?[/quote]
Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.

[QUOTE=Зайцев Олег;160160]Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.[/QUOTE]Карантин чистых файлов - это не опасно, удаление куда страшнее.

[quote=Зайцев Олег;160160]А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?[/quote]
Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?

[quote=Jef239;160165]Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?[/quote]
Ну, трояны и outpost я немментировать не буду (так как не этично), но дам подсказку - запуск TFT/TFTP скорее всего следствие эксплоита, следовательно или outpost по непонятной причине пропускает пакеты с эксплоитом на компьютер (нарушена его работа, правила корявые и т.п.), или он вообще толком не работает (правила, повреждение трояном).

теперь ревизор совсем накрылся - не проверяет файлы по таблицам