Антивирусная утилита AVZ - 4.22 + AVZGuard/AVZPM

[B]Вышла новая версия антивирусной утилиты AVZ - 4.22 + AVZGuard/AVZPM[/B]
Архив с утилитой содержит базу вирусов [B]от 12.12.2006 69173 сигнатуры, 2 нейропрофиля, 55 микропрограмм лечения, 364 микропрограммы эвристики, 54310 подписей безопасных файлов[/B]
[B][U]Список доработок и модификаций: [/U][/B] ([url]http://www.z-oleg.com/secur/avz/download.php[/url])
[++] Новая подсистема AVZPM - мониторинг процессов и драйверов из KernelMode для поиска искажений в системых структурах
[++] AVZ доработан для совместимости в Windows Vista, в частности обновлены все KernelMode компоненты
[++] Скрипты - новые команды для работы с драйверами и службами, управления AVZPM, вызов стандартных скриптов и
скриптов восстановления системы, копирование и переименование файлов. Новые функции описаны в справке,
в справку добавлен ряд типовых примеров скриптов
[++] Проведена дефрагментация AV базы и оптимизация движка с целью повышения его производительности.
[+] Переделан менеджер процессов - к нему подключена система AVZPM
[+] Переделан менеджер модулей пространства ядра - к нему подключена система AVZPM,
введена сортировка по всем столбцам, добавлен отдельный столбец с именем драйвера
[+] Усовершенствовано автообновления - если AVZPM активен в момент обновления, то его драйвер
автоматические обновляется при необходимости
[+] Менеджер модулей пространства ядра - добавлена функция дампирование драйвера,
сортировка по всем полям, раздельные поля для имени драйвера и полного имени драйвера
[+] Поддежка распаковки и сканирования файлов в MIME формате (формат распознается по содержимому)
[+] Опция закрытия сеанса и файлы в менеджере сетевых сеансов
[+] Исследование системы - в конце HTML отчета добавляется код, упрощающий сборку скрипта за
счет автоподстановки типовых команд
[+] Скрипты - усовершенствована функция QuarantineFile - в случае указания имени файла без пути
производится поиск файла по системному алгоритму
[+] Менеджер автозапуска - доработан анализ и модификация AppInit_DLLs
[+] Менеджер общих ресурсов и сетевых сеансов - добавлена функция закрытия сеанса или
открытого по сети файла
[+] Введена шифровка пароля прокси в INI файле
[-] Скрипты - исправлена ошибка в работе функции AutoLSPFix;

Немного подробнее про AVZPM. Это Boot драйвер, задачей которого является слежение за запуском/остановом процессов и загрузкой драйверов. Этот драйвер накапливает информацию, что позволяет в дальнейшем обнаруживать маскируемые процессы/драйверы и детектировать модификации системных структур, выполняемые DKOM руткитами. AVZPM подключен к диспетчеру процессов, диспетчеру модулей пространства ядра и антируткиту. После первого включения AVZPM рекомендуется перезагрузиться, чтобы драйвер собрал информацию о запускающихся процессах. Драйвер можно оставить в системе, так как он практически не потребляет ресурсов и не влияет на быстродействие ПК. В дальнейшем этот драйвер станет прототипом монитора AVZ для проверки процессов в момен их запуска.

[quote][++] Новая подсистема AVZPM - мониторинг процессов и драйверов из KernelMode для поиска искажений в системых структурах
[/quote] A можно поподробнее?
[quote][++] Проведена дефрагментация AV базы и оптимизация движка с целью повышения его производительности. [/quote]
Со старыми базами как поступать?

[QUOTE=DimaT;87425]A можно поподробнее?

Со старыми базами как поступать?[/QUOTE]
Старые базы можно выкидывать - в архиве с новой версией новая база. Про AVZPM более подробно есть в справке (раздел 8 [url]http://www.z-oleg.com/secur/avz_doc/)[/url], и я еще тут немного позже напишу более расширенное описание.

Друзья тестеры, хелперы и пользователи!

Английская версия 4.22 вышла с [B]частично[/B] моей версией перевода. По всем вопросам, связанным с качеством перевода, просьба пинать меня :) Думаю, можно сказать, что я теперь являюсь официально ответственным за перевод :)

[QUOTE][+] Исследование системы - в конце HTML отчета добавляется код, упрощающий сборку скрипта за
счет автоподстановки типовых команд[/QUOTE]
Это очень хорошая модификация=))

[QUOTE][-] Скрипты - исправлена ошибка в работе функции AutoLSPFix;[/QUOTE]
Это означает что NewDoNet теперь нормально лечиться?

Олег ещё вопросик, или к знающим вот примерно такие ключи
HKLM\System\CCS\Services\Tcpip\
HKLM\System\CCS\Services\Tcpip\
HKLM\System\CS1\Services\Tcpip\
за что отвечают или что означают..
Заранее спасибо за ответ!

Олег, добрый день! Что-то непонятно с логикой исследования системы? Говорится: "Вы хотите посмотреть протокол?" Да, а просмотр протокола не запускается. :).

2 Ego1st: Сейчас посмотрю. ;) Tiny Firewall - Run Administration Center - System Protection - Registry. Ага. Вот оно, мое правило на HKLM/System/CurrentControlSet/Services/Tcpip. А называется оно... ну-ка... Hosts file branch. ;)

Это ветка, определяющая параметры одноименного протокола. В том числе там хранится размещение Hosts файла. Это очень опасная ветка, потому что можно ее изменить и засунуть Hosts файл неведомо куда, в то время как старый файл будет мирно лежать на месте, вводя в заблуждение юзеров и некоторые не совсем умные антишпионы :)

[QUOTE=santy;87464]Олег, добрый день! Что-то непонятно с логикой исследования системы? Говорится: "Вы хотите посмотреть протокол?" Да, а просмотр протокола не запускается. :).[/QUOTE]
А файл на диске сохраняется ? Дело в том, что далее делается попытка отрыть сохраненный файл дефолтной программой ... если таковой программы нет или нарушена ассоциация с файлом htm, то он не откроется.

[QUOTE=NickGolovko;87465]2 Ego1st: Сейчас посмотрю. ;) Tiny Firewall - Run Administration Center - System Protection - Registry. Ага. Вот оно, мое правило на HKLM/System/CurrentControlSet/Services/Tcpip. А называется оно... ну-ка... Hosts file branch. ;)

Это ветка, определяющая параметры одноименного протокола. В том числе там хранится размещение Hosts файла. Это очень опасная ветка, потому что можно ее изменить и засунуть Hosts файл неведомо куда, в то время как старый файл будет мирно лежать на месте, вводя в заблуждение юзеров и некоторые не совсем умные антишпионы :)[/QUOTE]
Хм... А АВЗ достаточно умный?

Пару месяцев назад я спрашивал Олега, как AVZ определяет местоположение этого файла. :) В общем, к этому моменту AVZ должен уже быть достаточно умным ;) Можете сами проверить :)

[QUOTE=NickGolovko;87483]Пару месяцев назад я спрашивал Олега, как AVZ определяет местоположение этого файла. :) В общем, к этому моменту AVZ должен уже быть достаточно умным ;) Можете сами проверить :)[/QUOTE]
Не факт кстати - я не помню, как оно там определяется ... сколько я помню, моя идеалогия была проверять hosts на стандартном месте + подымать тревогу при перемещении файла при помощи правки ключика в реестре.

А как можно узнать нформацию о кол-ве вирусных сигнатур, не начиная проверки ПК? Может поместить ее куда-нить в "Справка -> О программе"..

Уважаемый Олег Зайцев, с вашего сайта по ссылке качается версия 4.21. А по ссылке на Рапиде выдает ошибку 406.
А вообще Спасибо за Вашу работу!

С сайта ещё вчера качалась 4.22.

[QUOTE=pig;87501]С сайта ещё вчера качалась 4.22.[/QUOTE]

А сейчас, к сожалению, не качается - именно с сайта автора! Вернее я Скачала ( по ссылке, справа от описания обновлений в версии 4.22), но при запуске и контрольной попытке обновления баз, программа просит обновиться до версии 4.22(а это, говорит, версия 4.21!)

[QUOTE=Irisa;87496]Уважаемый Олег Зайцев, с вашего сайта по ссылке качается версия 4.21. А по ссылке на Рапиде выдает ошибку 406.
А вообще Спасибо за Вашу работу![/QUOTE]
судя по всему выход в Инет идет через прокси и он кеширует где-то файлы и блокирует операции. На всякий случай я перезарядил файлы на rapidshare - но вые ссылки на страничке загрузки AVZ.

На 2003 сервере включил AVZPM, система ушла в синий экран. Драйвер ядра uz-чего-то-там.sys ля-ля-ля-ля. Активен НОД32 2.70.16. С чем конфликт?

Тоже W2k3. антивирь - Симантек. Все работает (в смысле АВЗ 4.22) со вчера и до теперь. А с НОДом я и раньше при проверках АВЗ нарывался на BSOD...

[QUOTE=Alvares;87505]На 2003 сервере включил AVZPM, система ушла в синий экран. Драйвер ядра uz-чего-то-там.sys ля-ля-ля-ля. Активен НОД32 2.70.16. С чем конфликт?[/QUOTE]
Возможно, NOD пытается как-то вмешаться в работу драйверов AVZ и делает это не совсем корректно - у меня в драйвера кругом понаставлены обработчики ошибок, поэтому BSOD без стороннего вмешательства маловероятен.

Я предлагаю при запуске сканирования программы авз,добавления монитора -> предупреждать пользователя , что следует отключиться от интернета , и отключить активные компоненты защиты системы (антивирусы ...)во избежания конфликтов , да и сканирование намного быстрее проходит , когда другие антивирусы не мешают .

[QUOTE=drongo;87517]Я предлагаю при запуске сканирования программы авз,добавления монитора -> предупреждать пользователя , что следует отключиться от интернета , и отключить активные компоненты защиты системы (антивирусы ...)во избежания конфликтов , да и сканирование намного быстрее проходит , когда другие антивирусы не мешают .[/QUOTE]
Я об этом думал ... но
1. AVZ PM может прекрасно уживаться с антивирусами и FW, не мешает их работе и не подтормаживает компьютер. Другое дело AVZ Guard - но там в инструкции сказано, что рекомендуется вообще закрыть все программы, кроме AVZ
2. Отключение мониторов антивирей на время сканирования действительно резко повышает скорость сканирования, но возникает опасность, в пользователь забудет потом включить монитор.

2.ну так можно сделать поп-ап с большими красными буквами после завершения сканирования , включить антивирус :)
Из раздела фантастики, можно научить авз опознавать антивирусы и фаэрволы , тогда АВЗ сможет , если пользователь того захочет , останавливать службы антивиров автоматом , а после сканирования сам включать .

[QUOTE=drongo;87520]2.ну так можно сделать поп-ап с большими красными буквами после завершения сканирования , включить антивирус :)
Из раздела фантастики, можно научить авз опознавать антивирусы и фаэрволы , тогда АВЗ сможет , если пользователь того захочет , останавливать службы антивиров автоматом , а после сканирования сам включать .[/QUOTE]
NOD32 просто так у меня не получалось останавливать. Только после перезагрузки возможно. Кстати, еще вопрос: kist.sys (Касперский)считается перехватчиком ядра. АВЗ его вроде обрубает. А вот НОДовский перехватчик не может. Кстати и не видит. Хотелось бы добиться совместимости. Чтоб не пересекались. Все-таки хороший антивирь, привык я к нему :)

[QUOTE=Зайцев Олег;87504]судя по всему выход в Инет идет через прокси и он кеширует где-то файлы и блокирует операции. На всякий случай я перезарядил файлы на rapidshare - но вые ссылки на страничке загрузки AVZ.[/QUOTE]

Попробовала еще несколько раз через IE и Opera - оба выдают ту же ошибку (пардон, не 406) 403 - Forbidden... И чего мне теперь делать, как скачать Вашу программку? :( Самое обидное, что через Рапиду.de только что без проблем скачались 2 файла...

[QUOTE=Irisa;87524]Попробовала еще несколько раз через IE и Opera - оба выдают ту же ошибку (пардон, не 406) 403 - Forbidden... И чего мне теперь делать, как скачать Вашу программку? :( Самое обидное, что через Рапиду.de только что без проблем скачались 2 файла...[/QUOTE]
Это очень странно, нужно разбираться с тем, как производится выход в Инет и каковы настройки. Вот для разнообразия на другом сервере - [url]http://rapidshare.com/files/7305302/avz4.zip[/url] Просто я перезерядил в обед файлы на rapidshare.ru, по новой ссылке за пошедние два часа avz4.zip скачали 30 раз - значит, файл качается.

[QUOTE=Зайцев Олег;87526]Это очень странно, нужно разбираться с тем, как производится выход в Инет и каковы настройки. Вот для разнообразия на другом сервере - [url]http://rapidshare.com/files/7305302/avz4.zip[/url] Просто я перезерядил в обед файлы на rapidshare.ru, по новой ссылке за пошедние два часа avz4.zip скачали 30 раз - значит, файл качается.[/QUOTE]

Спасибо, через 30 минут отпишусь о результате... А интернет у меня кабельный и возможно именно из за , как вы и сказали, настроек у меня и выдает эту ошибку.

Всеее, получилось с Рапиды.de!
Спасибо огромное! Буду и дальше пользовать Вашу программку.

[quote=Зайцев Олег;87519] Другое дело AVZ Guard ...[/quote]
С Guard-ом вообще ничего (синих экр.) не отображается. Мгновенная перезагрузка, но об этом предупреждают (В пункте AVZ Guard - в справке). Действительно, интересно почему не находится драйвер защиты НОДа (как руткит-подобный компонент...).

[QUOTE=Kuzz;87531]С Guard-ом вообще ничего (синих экр.) не отображается. Мгновенная перезагрузка, но об этом предупреждают (В пункте AVZ Guard - в справке). Действительно, интересно почему не находится драйвер защиты НОДа (как руткит-подобный компонент...).[/QUOTE]
А в папке windows\minidump формируются минидампы ? Если да, то пришлите пожалуйста пару штук. Просто очень странно, почему идет такое вылетание - особых причин для конфликта с NOD вроде бы нет.

Дампов нет, т.к. переставил систему.
Ребут получался при попытке запустить/завершить любую программу.
Система: W2k Pro SP4, CPU:AthlonXP, chipset:VIA KT400 :'-( ...

День добрый Олег.
Не успели вы пофиксить мои предыдущие файлы , как я уже с новыми :)
[url]http://up-file.com/download/e93c70796206/--New.rar.html[/url]
Всё на макс. эверистике.

С уважением.

[quote=Alvares;87505]На 2003 сервере включил AVZPM, система ушла в синий экран. Драйвер ядра uz-чего-то-там.sys ля-ля-ля-ля. Активен НОД32 2.70.16. С чем конфликт?[/quote]
Еще одна система - как раз Вынь2к3, никаких проблем, а о НОДе уже был мой месс.

FP - [url]http://virusinfo.info/showthread.php?t=7127[/url]

Сегодня AVZ запускал, вот чтo мне выдалo. До этого пользовался уже несколько раз, подчистил гадость, что была:). Счас вроде всё нормал, только в Kernel Mode неясно, не было вроде нового ничего( а прошлых логов нет, не сохранил)...[br] Олег, спасибо, прога :good: ;)

[QUOTE=RiC;87584]FP - [url]http://virusinfo.info/showthread.php?t=7127[/url][/QUOTE]
Ага - ее еще VBA детектирует как Backdoor.Win32.SnooperYB.c ... Я подправил базу, спасибо. Эта DLL, насколько я помню, "проходила по делу" как подозрение на руткит - в теле функции есть код, весьма похожий на руткитный (функции MoveFileWithProgressW, GetVolumeNameForVolumeMountPointW, GetVolumePathNameW, GetLongPathNameW).

Добрый день всем. Сегодня тоже сталкнулся на тестовой машинке Win 2003 server с проблемой AVZPM при установке драйвера машинка себя вела нормально! После попросилась перегрузиться и усе... ;) Перегружаеться непрерывно, в безопасный режим пускает . Также активно установить драйвер AVZPM, удалить драйвер не активно. Хотя судя по всему драйвер установился!

[QUOTE=Jolly Rojer;87624]Добрый день всем. Сегодня тоже сталкнулся на тестовой машинке Win 2003 server с проблемой AVZPM при установке драйвера машинка себя вела нормально! После попросилась перегрузиться и усе... ;) Перегружаеться непрерывно, в безопасный режим пускает . Также активно установить драйвер AVZPM, удалить драйвер не активно. Хотя судя по всему драйвер установился![/QUOTE]
А минидампы при этом создаются ? Если да, то один из них поможет определить возможные причины

[QUOTE=Зайцев Олег;87625]А минидампы при этом создаются ? Если да, то один из них поможет определить возможные причины[/QUOTE]

Нет Олег к сожалению минидампа не создалось... Вообще создаються когда есть ошибки,но за сегодняшнее число минидампа нет.

По идее не плохо бы было добавить к AVZ возможность отката(поиск,удаление и подчистка всех хвостов) установки драйвера AVZPM для машин c win 9х и для машин с отключенной системой востановления системы. Думаю это будет достаточно актуально.

[QUOTE=Jolly Rojer;87641]По идее не плохо бы было добавить к AVZ возможность отката(поиск,удаление и подчистка всех хвостов) установки драйвера AVZPM для машин c win 9х и для машин с отключенной системой востановления системы. Думаю это будет достаточно актуально.[/QUOTE]
Функцию отката я сделаю - появится сегодня в стандартных скриптах. А вот драйвер под 9x наверное никогда не появится - XP уже собираются снять с поддержки, а 9x - тем более - количество ПК под этой системой стремительно сокращается.