AVZ 4.30

[QUOTE]бесплатна для некоммерческого использования[/QUOTE]
тут (имхо) имеется в виду не использование АВЗ на коммерческом предприятии, а коммерческое использование самой программы - например если вы хотите ее продать...
т.е использовать АВЗ на компах в компании можно бесплатно.
вроде;)

PS: если я не прав, модераторы, удалите мой пост, просто я не слышал, что бы за использование АВЗ кто-то платил деньги

Хотелось бы тогда правообладателей услышать. Чтобы из первых рук.

[quote]
А такое не поможет?
[code] StopService('srservice');
SetServiceStart('srservice', 4);
[/code]
[/quote]
Такая последовательность всего лишь отключает сервис,
но не приводит к уничтожению точек восстановления!

Правообладатели откликнуться?
Так можно ли законно использовать AVZ на предприятии или как?

[quote=alter;273553]Правообладатели откликнуться?
Так можно ли законно использовать AVZ на предприятии или как?[/quote]
Можно и законно - AVZ бесплатная тулза для любой формы применения, равно как AVPTool - т.е. скажем админ предприятия может без проблем применять их для чистки ПК своих юзеров.

[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]

[quote=Bratez;272478]Такая последовательность всего лишь отключает сервис,
но не приводит к уничтожению точек восстановления![/quote]
Имеются в виду точки восстановления системы ? Да, не приводит - восстановление проще отключить на время лечения

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=santy;270824]Может быть, стоит поменять хронологию версий AVZ снизу вверх для более удобного чтения последних изменений программы? А вообще, приятно читать файл version.txt, в том смысле, что живо представляется история развития этой программы.[/quote]
Можно и так сделать - просто историю эту как правило никто не читает, она ведется больше для внутренней регистрации того, что сделано в той или иной версии

[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]

[quote=drongo;268828]Зайцев Олег, Желателен скрипт для отключения восстановления системы- уже порядком надоело просить отключить восстановление системы ;)[/quote]
Это частная задача и решать ее неинтересно :) Я сделаю так - в новой версии можно будет использовать подключаемые (и обновляемые) библиотеки, т.е. что-то типа
uses HelperMain;
begin
HelperMain_DisableSR;
end.

Олег, а как с пользовательской базой чистых???

[QUOTE=Зайцев Олег;273568]восстановление проще отключить на время лечения[/QUOTE]
Штатное отключение не всегда доступно, особенно в начале лечения. То кнопки Пуск нет, то вообще рабочего стола.

[QUOTE=Зайцев Олег;273568]

Это частная задача и решать ее неинтересно :) Я сделаю так - в новой версии можно будет использовать подключаемые (и обновляемые) библиотеки, т.е. что-то типа
uses HelperMain;
begin
HelperMain_DisableSR;
end.[/QUOTE]

Только чтобы и точки восстановления удалялись, а то все звери там :)

При проверке AVZ выдал сообщение:
[QUOTE][COLOR="Red"] >> Нарушение ассоциации SCR файлов[/COLOR][/QUOTE]
В системе ничего не менялось. Как это устранить?

[QUOTE=polimorf;274036]При проверке AVZ выдал сообщение:

В системе ничего не менялось. Как это устранить?[/QUOTE]AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Открываю АВЗ выбираю Сервис - Открытые порты TCP/UDP и вижу в последнем столбике "Категория" строки вида $AVZ0955.
Чтобы это значило.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Почему в менеджере расширений проводника не удаляются эти расширения?

[QUOTE=XiTri;277637]Открываю АВЗ выбираю Сервис - Открытые порты TCP/UDP и вижу в последнем столбике "Категория" строки вида $AVZ0955.
Чтобы это значило.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Почему в менеджере расширений проводника не удаляются эти расширения?[/QUOTE]

у меня такого нет. Случаем avzpm установлен?

AVZPM он же драйвер расширенног мониторинга процессов установлен.
Все перечисленное стабильно наблюдается на многих машинах (WinXP, Server2003)
Машины чистые.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

А вот вообше замечания по интерфейсу принимаются?
Т.е. надо это подмечать и сюда складывать или работает и пусть работает.

Удалить через интерфейс авз и перегрузиться. Если не поможет, логи сделать. Олег тоже посмотрит (надеюсь)

[quote=XiTri;277637]Открываю АВЗ выбираю Сервис - Открытые порты TCP/UDP и вижу в последнем столбике "Категория" строки вида $AVZ0955.
Чтобы это значило.[/quote]
Угу, это ошибка в lang_ru.avz Эти строки превращаются в осмысленный текст через языковые базы (lang*.avz)

Уку, даже если удалить lang_ru.avz и запустить как "avz.exe lang=en"
$AVZ0955 остается

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Даже если все lang*.avz удалить
$AVZ0955 остается, но добраться в пункт меню можно только наощупь :)

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

Попробовал на примере UnlockerCOM.dll удалить расширение проводника.
Не удаляется и не отключается.
UnlockerCOM.dll выглядит черным значит нет в базе должен прибить без вопросов.
Через реестр удалилось и востановилось на ура.

Может я нетак делаю, но помойму кнопка "Удалить элемент" не работает.
Впрочем как и заблокировать.

[quote=XiTri;278324]Уку, даже если удалить lang_ru.avz и запустить как "avz.exe lang=en"
$AVZ0955 остается[/quote]
Значит оно не прописано в обоих языковых файлах.

Олег, заметил такую вещь: АВЗ в менеджере автозагрузки (в Win9.8.) показывает файл kernel.dll (если он размером 0 байт после лечения) как безопасный, хотя этот файл из набора Wukill, а файл системы kernel32.dll.

[quote=santy;281518]Олег, заметил такую вещь: АВЗ в менеджере автозагрузки (в Win9.8.) показывает файл kernel.dll (если он размером 0 байт после лечения) как безопасный, хотя этот файл из набора Wukill, а файл системы kernel32.dll.[/quote]
Это нормальная реакция - какой может быть вред от DLL нулевого размера ?! :) Сделано это было нарочно - иногда таким образом админы давят зверей, если антивирус не спасает от эпидемии. Приведу пример: консультировал я одну контору, с лицензионной W2K на сотне ПК и защищенные одним антивирусом. Туда залез сетевой зверь, KAV и WEB его ловят, применяемый антивирь - нет, русский саппорт его гордо молчит в ответ на мольбы админов помочь. Они обратились ко мне, я внес семпл зверя в AVZ, а затем изучил его, и оказалось, что заражает ПК через эксплоит он всегда создает свое тело с статическим именем скажем c:\windows\trojan.exe. Решение оказалось простое - отключить ПК от сети, пролечить его, а затем создать пустой c:\windows\trojan.exe нулевой длинны и через привилегии отобрать у всех на него доступ. И получаем "эффект вакцинации" ...

[QUOTE=Зайцев Олег;281533]Это нормальная реакция - какой может быть вред от DLL нулевого размера ?! :) Сделано это было нарочно - иногда таким образом админы давят зверей, если антивирус не спасает от эпидемии...[/QUOTE]

Да, нестандартное решение. То, что безопасный - понятно. Привыкаешь к тому, что файл выделенный как "безопасный", по инерции считаешь еще и "лицензионно чистым". Может, как то отметить для пользователя в менеджере автозагрузки, что это файл нулевого размера? Или реализовать в контекстном меню через нажатие мыши просмотр свойств файла.

[QUOTE=santy;281596]Да, нестандартное решение. То, что безопасный - понятно. Привыкаешь к тому, что файл выделенный как "безопасный", по инерции считаешь еще и "лицензионно чистым". Может, как то отметить для пользователя в менеджере автозагрузки, что это файл нулевого размера? Или реализовать в контекстном меню через нажатие мыши просмотр свойств файла.[/QUOTE]

Присоединяюсь к просьбе, даже наверное лучше двойным щелчком по строчке открывать окошко со свойствами, из которого (окошка) можно было бы копировать в буфер обмена имя файла, полный путь, имя раздела или папки автозапуска и пр.

[quote=mike2100;281737]Присоединяюсь к просьбе, даже наверное лучше двойным щелчком по строчке открывать окошко со свойствами, из которого (окошка) можно было бы копировать в буфер обмена имя файла, полный путь, имя раздела или папки автозапуска и пр.[/quote]
Такая идея давно витает, раз нужно - реализую. Это будет единообразное окно с данными о файле - атрибуты, имя, копирайты, размер и т.п. - с копированием всех полей в буфер обмена. Плюс может оперативный анализ файла (является ли он EXE файлом например, данные из заголовка и т.п).

[QUOTE=Зайцев Олег;281761]...Плюс может оперативный анализ файла (является ли он EXE файлом например, данные из заголовка и т.п).[/QUOTE]

+инфо о CRC-32, MD5, SHA-1, атрибуты файла, даты создания, изменения... примерно как на General- главной вкладке FileAlizer.

В последнее время часто на флэшках распространяются опасные VBS-файлы. Такой файл содержит шестнадцатеричные коды в текстовом виде, которые vbs-операторами преобразуются в другой набор vbs-команд и запускаются на исполнение. Также есть двоичные куски, являются ли они исполняемым exe-кодом, не знаю, но они явно нацелены на работу с реестром - попадаются символы HKLM.
Предлагаю дополнение к эвристическому анализатору - если в vbs-файле есть слово [B]execute[/B], причем не [B].execute[/B] , то давать предупреждение - "возможен самомодифицирующийся исполняемый код". Строка [B]execute[/B] (без точки впереди) - команда запуска vbs-кода, содержащегося в строковом параметре, а строка [B].execute[/B] - вызов метода для запуска внешних программ.
P.S. Для отделения самой команды execute от идентификаторов, которые могут оканчиваться на такое слово, можно искать в файле такие строки:
1. " execute" - с пробелом впереди
2. :execute - с двоеточием впереди
3. execute в самом начале строки или после знаков перехода на новую строку

Спасибо Олегу Зайцеву за его утилиту.
На работе у меня на моём компьютере нет прав администратора, стоит Каспер 5, который не обновлялся 2 года, по интернету файлы в виде *.ехе не скачиваются, сайты типа *.сом не открываются, бесплатные антивирусные онлайн-сканнеры не могут запуститься. Это единственная бесплатная антивирусная программа, которая может работать без установки и с обновлением баз на таком компьютере. Хотя отсутствие прав администратора не даёт возможности запустить AVZGuard и AVZPM, но сканирование получается.

У меня вопросы:
1 может ли AVZ заменить обычный антивирус?
2 на AVZ стоит отметка (с) Лаборатория Касперского что это означает? Означает ли это что базы AVZ и антивируса Касперского одинаковы?

[quote=Vneo;288119]Спасибо Олегу Зайцеву за его утилиту.
На работе у меня на моём компьютере нет прав администратора, стоит Каспер 5, который не обновлялся 2 года, по интернету файлы в виде *.ехе не скачиваются, сайты типа *.сом не открываются, бесплатные антивирусные онлайн-сканнеры не могут запуститься. Это единственная бесплатная антивирусная программа, которая может работать без установки и с обновлением баз на таком компьютере. Хотя отсутствие прав администратора не даёт возможности запустить AVZGuard и AVZPM, но сканирование получается.

У меня вопросы:
1 может ли AVZ заменить обычный антивирус?
2 на AVZ стоит отметка (с) Лаборатория Касперского что это означает? Означает ли это что базы AVZ и антивируса Касперского одинаковы?[/quote]
0. Если KAV5 не обновлялся 2 года, то есть он, нет его ... - не важно, так как во первых версия древняя (уже KIS 2009 вышла больше месяца как, а в каждой новой версии продуктов ЛК появляется ного новых фич), современные вирусы он не поймает из-за старых баз
1. AVZ не может заменить антивирус, функции у него другие. AVZ конечно может ловить известных ему зловредов и опознавать известные ему файлы, но делается это в первую очередь для упрощения и автоматизации лечения ПК
2. Это значит, что права на утилиту и все имеющиеся там технологии принадлежат ЛК (я сотрудник ЛК со всеми вытекающими). Базы там резко различны, равно как сканирующий движок. Базы идентичны у другой подобной утилиты производства ЛК - AVPTool, там сканирующий движок от ЛК, а анализ системы и срипты - от AVZ.
Однако толку от AVZ/AVPtool и т.п. будет немного, без прав администратора тот-же AVZ запустится, но не сможет практически ничего сделать в системе, потеряв 90% функционала - он сможет только сканировать файлы, доступные ему по правам на чтение

Сегодня Менеджер расширений проводника вдруг стал выдавать окошко:
Invalid data type for "
Что случилось?
(WinXP)

Это специально сделано или бага?:

Если у AVZ нет прав писать в папку баз то он в пункте "О программе" не выводит "Дату сборки файлов"

[quote=tar;290485]Сегодня Менеджер расширений проводника вдруг стал выдавать окошко:
Invalid data type for "
Что случилось?
(WinXP)[/quote]
1) У меня работает (XP/SP3)
2) Случилось скорее всего очередное обновление баз. Там же не только сигнатуры, но и скрипты.

[quote=Jef239;290567]1) У меня работает (XP/SP3)
2) Случилось скорее всего очередное обновление баз. Там же не только сигнатуры, но и скрипты.[/quote]
1. Вроде никто не жалуется массово на такую проблему, возможно глюка какой-то ...
2. Менеджер расширения проводника не использует программный код из баз, только базу чистых (а косяк с ней сказался бы на всем AVZ)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=zerocorporated;290566]Это специально сделано или бага?:

Если у AVZ нет прав писать в папку баз то он в пункте "О программе" не выводит "Дату сборки файлов"[/quote]
Скорее всего файлы при анализе открываются с полным доступом, а не в режиме "только чтение" - это приводит к ошибке, и соответственно дата не определяется

[B]Бага (4.30)[/B]
Создаем профиль и отменяем ограничение на размер проверяемых архивов (не проверять архивы более...).
Сохраняем.
Выходим из программы
Загружаем этот новый профиль.
Отметка о ограничении вновь активна.

PS разработка программы продолжается? или программа больше не будет развиваться?

[quote=polimorf;290758][B]Бага (4.30)[/B]
Создаем профиль и отменяем ограничение на размер проверяемых архивов (не проверять архивы более...).
Сохраняем.
Выходим из программы
Загружаем этот новый профиль.
Отметка о ограничении вновь активна.

PS разработка программы продолжается? или программа больше не будет развиваться?[/quote]
Это известный баг, будет закрыт в 4.31.
Развивается ли ? ну кто его знает ... судя по счетчикам баз - да :) В идеале вообще вся логика должна быть в базах (как сейчас в разных визардах, восстановлении системы, эвристических проверках и т.п.), чтобы обновления версий были только при радикальных изменениях, скажем раз в год. Такого пока нет, поэтому версии обновляются чаще, в среднем раз в квартал - раз в полгода, когда набирается список новых фич, недостижимых через базы

Хотелось чтобы avz мог отображать кол-во записей в базах и список обнаруживаемых угроз.

[quote=polimorf;290988]Хотелось чтобы avz мог отображать кол-во записей в базах и список обнаруживаемых угроз.[/quote]
Количество записей отображается в логе, в начале + на моем сайте в виде вставочки справа главной страницы. Список угроз в теории отобразить можно, но он будет километровый по длинне.

Есть предложение, для реализации которого судя по всему изменений в базах недостаточно:

А что если при сканировании файлов применять такие "эвристические записи" как короткие сигнатуры.
Например цепочка команд, сбрасывающих WP бит в CR0 (что делают многие руткитоподобные), или имена файлов, в которых программы хранят пароли..

Эти "сигнатуры" не прерывают сканирование файла,
но при их срабатывании в лог сканирования добавляется запись о наличии кода,
характерного для вредоносов.

[quote=Kuzz;291270]Есть предложение, для реализации которого судя по всему изменений в базах недостаточно:

А что если при сканировании файлов применять такие "эвристические записи" как короткие сигнатуры.
Например цепочка команд, сбрасывающих WP бит в CR0 (что делают многие руткитоподобные), или имена файлов, в которых программы хранят пароли..

Эти "сигнатуры" не прерывают сканирование файла,
но при их срабатывании в лог сканирования добавляется запись о наличии кода,
характерного для вредоносов.[/quote]
Не выйдет ... так как:
1. руткитоподобное трудно увидеть и прибить, а уже увидев обычно классифицировать можно без проблем
2. Для поиска подобных сигратур сканер должен уметь "раскручивать" все пакеры и криптеры, применяемые в зверях - а это крайне сложная задача.

[QUOTE=Kuzz;291270]Например цепочка команд, сбрасывающих WP бит в CR0 (что делают многие руткитоподобные)[/QUOTE]
Кроме того, что сказал Олег, есть ещё одно замечание- увеличение количества ложных срабатываний на вполне легитимных драйверах, использующих такие техники в своей работе.

[quote=rav;291322]Кроме того, что сказал Олег, есть ещё одно замечание- увеличение количества ложных срабатываний на вполне легитимных драйверах, использующих такие техники в своей работе.[/quote]
Вот именно. Но хуже другое - если берется короткая сигнатура и ищется не по статично заданному смещению (скажем от начала/конца файла, точки входа и т.п.), то количество фолсов может быть огромным.

Предложение: выносить результаты (backup, reg файлы) выполнения небезопасных операций восстановления для некоторых ОС, таких как ExecuteRepair 6, 10, 14, 15, 18, в отдельные подкаталоги (напр. в каталоге backup\gg-mm-dd\repair6\) или добавить функционал восстановления после таких операций (как в мастере поиска и удаления проблем). Не первый раз встречаю случаи, когда на win2k3 у пользователей (невнимательно читают док. или не читают совсем) появляются проблемы после выполнения одной или нескольких таких операций. Второй способ - проверять ОС (всё равно это делается) и блокировать выполнение таких операций для некоторых ОС, в т.ч. если операции делаются из терминальной сессии (имхо 1-ый способ предпочтительнее)

[quote=Pili;292228]Предложение: выносить результаты (backup, reg файлы) выполнения небезопасных операций восстановления для некоторых ОС, таких как ExecuteRepair 6, 10, 14, 15, 18, в отдельные подкаталоги (напр. в каталоге backup\gg-mm-dd\repair6\) или добавить функционал восстановления после таких операций (как в мастере поиска и удаления проблем). Не первый раз встречаю случаи, когда на win2k3 у пользователей (невнимательно читают док. или не читают совсем) появляются проблемы после выполнения одной или нескольких таких операций. Второй способ - проверять ОС (всё равно это делается) и блокировать выполнение таких операций для некоторых ОС, в т.ч. если операции делаются из терминальной сессии (имхо 1-ый способ предпочтительнее)[/quote]
Блокировку операций сделать не сложно - скрипт "знает" версию ОС. Бекап описанным методом в ExecuteRepair невозможно сделать по той причине, что он там уже есть. Бекапит он в папку Backup, раскладывая бекапы по датам, времени и типу, например для восстановления номер 18 создается файл типа
C:\avz4\Backup\2008-10-03\LSP_Restore_20081003-150506.reg
где имя каталога = дате, а в имени файла присутствует дата и время, т.е. при повторных запусках в пределах дня бекапы не затирают друг друга