AVZ 4.30

[quote=a1822;340212]1. Я имел в виду логи, формируемые 2 и 3 стандартными скриптами. Там с самого верха идут списки процессов, модулей и т. д., и только потом тот лог, который в окошке рисуется. Я хотел спросить, нельзя ли сведения о системе продублировать (для хелперов) перед этими списками, чтобы не метаться по логу туда-сюда.

3. Я опять в пользу хелперов спрашиваю. Пользователю-то понятно, что не нужно это, а на чужую машину сядешь - и начинается гадание...

4. Ясно, вопрос снимается.[/quote]

1, 2 - это все в скором времени будет доводиться хелперу в совершенно ином виде ... комплексно и с анализом.

[quote=Зайцев Олег;340218]1, 2 - это все в скором времени будет доводиться хелперу в совершенно ином виде ... комплексно и с анализом.[/quote]

Хм, я заинтригован... Значит, ждём новую версию.

Уважаемый Олег!

Скажите, пожалуйста, АВЗ находит сетевой вирус Кидо?

[quote=Sibir;340223]Уважаемый Олег!

Скажите, пожалуйста, АВЗ находит сетевой вирус Кидо?[/quote]
Находит, куда же ему деваться ... за последнее время только на VirusInfo изловредно и закарантинено 42 разновидности этого зверя. Но искать нужно вручную, по логам

Подскажите, пожалуйста, как сделать "Исследование системы" из батника? т.е. с каким параметром запустить AVZ, чтобы только создался автоматом отчет... и как можно автоматом собрать эти отчеты со всех пк в локальной сети (не бегая за каждый пк)?

[QUOTE=chas99;344437]Подскажите, пожалуйста, как сделать "Исследование системы" из батника? т.е. с каким параметром запустить AVZ, чтобы только создался автоматом отчет... и как можно автоматом собрать эти отчеты со всех пк в локальной сети (не бегая за каждый пк)?[/QUOTE]
В инструкции все расписанно:
[url]http://z-oleg.com/secur/avz_doc/script_executesyscheckex.htm[/url]
[url]http://z-oleg.com/secur/avz_doc/scr_demo7.htm[/url]

[quote=AndreyKa;344463]В инструкции все расписанно:
[URL]http://z-oleg.com/secur/avz_doc/script_executesyscheckex.htm[/URL]
[URL]http://z-oleg.com/secur/avz_doc/scr_demo7.htm[/URL][/quote]

еще вопросик =)
есть возможность вывести в отчет - все установленные на ПК программы? [I]которые выводятся в списке "Установка и удаление программ"[/I]

[quote=chas99;344583]еще вопросик =)
есть возможность вывести в отчет - все установленные на ПК программы? [I]которые выводятся в списке "Установка и удаление программ"[/I][/quote]
Такая возможность есть - для этого нужно написать тривиальный скрипт, который просканирует ключ реестра с описанием UnInstall и выведет его куда надо в удобной для анализа форме. Однако при этом нужно понимать, что списк будет априори кривым - программа может быть давно удалена, а запись от нее будет "висеть" в реестре. Есть другой путь - сканировать Program Files, это тоже тривиально делается скриптом, но там есть иные грабли - не все ПО ставится в ProgramFiles, и программа может быть деинсталлена, при этом папки от нее останутся. Т.е. для точного определения нужно еще смотреть, если в папке программы EXE файлы, запускаются ли они и т.п.

Олег, может имеет смысл добавить в заголовок html-протокола в одну из строк, дату и время/просто дату проведения исследования системы...? иногда приходится выбирать из списка логов через "открыть файл" в браузере, и не всегда бываешь уверен, тот ли лог выбран, а прокрутить вниз файл до просмотра лога сканирования далеко бывает и достаточно медленно, если смотреть лог через удаленное управление.

Подскажите пожалуйста.Ставил прогу Hamachi,после удаления остается драйвер (hamachi.sys).Его AVZ, через диспечер служб и драйверов удаляет ,но на самом деле файл остаётся не тронутым.И потом(после удаления через диспечер и перезагрузки) диспечер его не видит(не по API,не по реестру) хотя он присутствует на диске в папке drivers.Кстати этот драйвер не видит и Эверест,и ещё пару прог для просмотра драйверов.А вот поиск в АВЗ этот файл находит,и можно удалить.Это что,так себя прячет драйвер,что его ни кто не видит?И ещё,диспечер находит в неактивных драйверах sptd.sys,(хотя его на диске физически нет),тот же поиск АВЗ подтвердил.Почему так получается?Спасибо за ответ.

P.S.Прежде чем вам написать, пробовал ставить и удалять прогу(hamachi) 3 раза результат тот же.Можете сами попробовать.Извиняюсь, может сумбурно написал,я простой юзер,но хочется разобраться.АВЗ у меня 4.30,обновление регулярное,но я так понимаю это не влияет на ситуацию.

[quote=chap;345036]Подскажите пожалуйста.Ставил прогу Hamachi,после удаления остается драйвер (hamachi.sys).Его AVZ, через диспечер служб и драйверов удаляет ,но на самом деле файл остаётся не тронутым.И потом(после удаления через диспечер и перезагрузки) диспечер его не видит(не по API,не по реестру) хотя он присутствует на диске в папке drivers.Кстати этот драйвер не видит и Эверест,и ещё пару прог для просмотра драйверов.А вот поиск в АВЗ этот файл находит,и можно удалить.Это что,так себя прячет драйвер,что его ни кто не видит?И ещё,диспечер находит в неактивных драйверах sptd.sys,(хотя его на диске физически нет),тот же поиск АВЗ подтвердил.Почему так получается?Спасибо за ответ.

P.S.Прежде чем вам написать, пробовал ставить и удалять прогу(hamachi) 3 раза результат тот же.Можете сами попробовать.Извиняюсь, может сумбурно написал,я простой юзер,но хочется разобраться.АВЗ у меня 4.30,обновление регулярное,но я так понимаю это не влияет на ситуацию.[/quote]
Стоит обратиться с этим в раздел "Помогите" - по логам можно посмотреть предметно, что это такое и как его убить

Да всё просто. Служба драйвера из реестра удалена, поэтому его никто и не видит. А файл оставили лежать на диске мёртвым трупом.
Удалите файл, и дело с концом.

Спасибо.Так и сделал.

Что можно предпринять если из за вирусов программа ABZ не запускается, а загрузить компьютер в режиме Save Mod не получается, компьютер уходит в перезагрузку.
Может, существует какая-то возможность все-таки запустить AVZ и просканировать компьютер.
Конкретная ситуация описана здесь [url]http://virusinfo.info/showthread.php?p=345665#post345665[/url]
Спасибо.

[quote=Aleksandr49;346130]Что можно предпринять если из за вирусов программа ABZ не запускается, а загрузить компьютер в режиме Save Mod не получается, компьютер уходит в перезагрузку.
Может, существует какая-то возможность все-таки запустить AVZ и просканировать компьютер.
Конкретная ситуация описана здесь [URL]http://virusinfo.info/showthread.php?p=345665#post345665[/URL]
Спасибо.[/quote]
1.удалить все антивирусы какие там установлены через панель управления
2.в нормальном режиме попробовать запустить специальную версию из моей подписи и сделать с ней логи 8)

[quote=drongo;346131]1.удалить все антивирусы какие там установлены через панель управления
2.в нормальном режиме попробовать запустить специальную версию из моей подписи и сделать с ней логи 8)[/quote]
Спасибо, буду пробовать.

[quote=drongo;346131]1.удалить все антивирусы какие там установлены через панель управления
2.в нормальном режиме попробовать запустить специальную версию из моей подписи и сделать с ней логи 8)[/quote]

Не получилось обмануть это зверье, очевидно гады почитывают информацию и делают вирус заточенный на AVZ, так как другие программы и еxe файлы работают без проблем, а вот при запуске AVZ программа открывается и буквально через 2-3 сек ее кто-то убивает. Думаю Олегу необходимо поразмыслить, как сделать так, чтобы вирусы не могли ее закрывать.

[quote=Aleksandr49;346900]Не получилось обмануть это зверье, очевидно гады почитывают информацию и делают вирус заточенный на AVZ, так как другие программы и еxe файлы работают без проблем, а вот при запуске AVZ программа открывается и буквально через 2-3 сек ее кто-то убивает. Думаю Олегу необходимо поразмыслить, как сделать так, чтобы вирусы не могли ее закрывать.[/quote]
Полиморфный AVZ из подписи drongo, переименовать в game.exe и запустить с параметром ag=y (т.е. [B]game.exe ag=y[/B]), должно помочь

[quote=Зайцев Олег;346902]Полиморфный AVZ из подписи drongo, переименовать в game.exe и запустить с параметром ag=y (т.е. [B]game.exe ag=y[/B]), должно помочь[/quote]
Буду пробовать. О результате сообщу.
Спасибо.

1. По многочисленным просьбам пользователей обновлен архив с AVZ. Сам AVZ не изменился, я стараюсь по возможности все делать через обновляемые базы, но возникает неприятный эффект - после загрузки AVZ приходится обновлять базы, и первое обновление получается очень внушительное по размеру. Поэтому принято решение обновлять архивы с AVZ раз в месяц, чтобы минимизировать размер первого обновления
2. [URL]http://www.z-oleg.com/secur/news/news1347.php[/URL] - есть просьба при наличии времени и желания помочь с пополнением базы чистых AVZ. Это улучшит качество работы AVZ, упростит работу хелперам VirusInfo и отсечет возможные ложняки (пополняющий базы AVZ автомат сравнивает все зловредные семплы с известными легитимными объектами, чтобы минимизировать вероятноть ложного срабатывания). Теперь семплы обрабатывает CyberHelper (а он, как следует из его профиля, работает в режиме 24*7*365 без выходных и перекуров), причем система эта полностью автономна, работает на полном автомате - как следствие задержка между отправкой карантина и попаданием легитимных в базу минимизирована до предела ... Отчеты с данными первичного анализа публикуются в теме [URL]http://virusinfo.info/showthread.php?t=3519[/URL]

[QUOTE]занесены в базу безопасных AVZ: 42
[/QUOTE]
[QUOTE]Файлы обрабатывает кибернетическая самообучающаяся система[/QUOTE]

если это не секретная инфа, то как киберхелпер выносит вердит о том, что файл абсолютно безопасен и его нужно вносить в базу чистых? он подсоединен к анализатору пе-файлов? и уже основываясь на его данных выносит вердикт?

[quote=priv8v;346988]если это не секретная инфа, то как киберхелпер выносит вердит о том, что файл абсолютно безопасен и его нужно вносить в базу чистых? он подсоединен к анализатору пе-файлов? и уже основываясь на его данных выносит вердикт?[/quote]
Ну, информация это конечно секретная :) Могу сказать только, что конечно там есть анализаторы PE, причем крайне мощные - но они являются только одной из множества имеющихся там подсистем анализа ...

иными словами все сложно - Ваши кибер-системы ковыряют файл разными методами и исходя из полученных результатов выносят вердикт о том, можно или нет его добавлять в базу безопасных - вот суть. А остальное - секрет фирмы - это и понятно. Просто, я это спросил, что бы быть точно уверенным в том, что там все круто:)

[quote=priv8v;347009]иными словами все сложно - Ваши кибер-системы ковыряют файл разными методами и исходя из полученных результатов выносят вердикт о том, можно или нет его добавлять в базу безопасных - вот суть. А остальное - секрет фирмы - это и понятно. Просто, я это спросил, что бы быть точно уверенным в том, что там все круто:)[/quote]
И при этом ковыряя новый файл система опирается но опыт ковыряния похожих, и получается цепная реакция - система учится :)

когда Ваша система восстанет и начнет орать "моя логика неоспорима" и будет пытаться уничтожить половину человечества во благо второй половины - Вы предупредите (создайте тему и прикрепите, если не сложно) о том, что нужно делать, что бы попасть в ту половину, которую машина не будет уничтожать:)

ЗЫ: ок. будем помогать машинке. покидаю ей архивов как-нибудь:)

Круто что заработала обратная связь. Спасибо Олегу. Можно узнать по какому принципу пломбируются файлы для занесения в базу. Скажем пришло 100 файлов а заноситься 10-70.
Можно прикрутить к "загружен 09.02.2009" ешё и час.мин. ?
А можно вирусные карантины системе кормит с клиентских машин? Интересно глянуть не рассылая всем через virustotal. Есля и понял система заносит новых зверей в базу.

[quote=Биомеханик;347020]Круто что заработала обратная связь. Спасибо Олегу. Можно узнать по какому принципу пломбируются файлы для занесения в базу. Скажем пришло 100 файлов а заноситься 10-70.
Можно прикрутить к "загружен 09.02.2009" ешё и час.мин. ?
А можно вирусные карантины системе кормит с клиентских машин? Интересно глянуть не рассылая всем через virustotal. Есля и понял система заносит новых зверей в базу.[/quote]
Именно так - звери идут в базу зверей с высоким приоритетом, явно чистые - в базу чистых с высшим приоритетом, чистые - как выйдет, сомнительные - на доп. анализ. Главное условие - файлы должны быть закарантинены AVZ, в карантине есть данные о имени файла, его реальной дате, причине карантина - если эти данные есть, то файл получае "зеленую волну". Если это не карантин AVZ - то приоритет обработки самый низкий... Отображение даты в отчете кибера я добавил

Я уже спрашивал но всё же. Как я понял:
1. Система знает архивы зип, рар, 7зип.
2. Пробует пароли virus и infected на запароленные архивы.
3. Понимает вложенные папки.
4. Система поймёт не только avz******.dta + ini но и обычный файл, ну скажем я его другим способом откопал, или есть подозрения.
5. Система сама загружает карантины из "Помогите".

ну Вы разве-что исходные коды не попросили)))

Я вот поражаюсь разумности машины и полнейшей неразумности пользователей ... сказано же ведь, что присылать карантины, созданные при помощи автокарантина AVZ на чистых системах в формате ZIP. Так ведь нет же, обязательно найдется кто-то, кто возьмет кусок от "знаменитого архива на 100 вирусов", пожмет его вручную RAR и сунет туда туда, по принципу "а что будет" :) ... заверяю, не будет ничего :) - так как машина в отличие от человека умеет читать правила, и в отличие от составителей этих мегаархивов (если верить логу 090209_215914_100_vir_49907d024195a.rar) понимает, что как минимум 4 файла из присланных точно безопасны :)

ага) я только-что хотел спросить у КиберХелпера сильно ли он обрадовался увидев коллекцию старых зловредов)))

[quote=Биомеханик;347037]Я уже спрашивал но всё же. Как я понял:
1. Система знает архивы зип, рар, 7зип.
2. Пробует пароли virus и infected на запароленные архивы.
3. Понимает вложенные папки.
4. Система поймёт не только avz******.dta + ini но и обычный файл, ну скажем я его другим способом откопал, или есть подозрения.
5. Система сама загружает карантины из "Помогите".[/quote]
Систем понимает только арихивы ZIP, созданные самим AVZ по правилам, изложенным вот тут [URL]http://www.z-oleg.com/secur/news/news1347.php[/URL]

Если по поводу
[QUOTE]\\mpr\\mprsetup.exe: HEUR:Trojan.Win32.Generic
\\mpr_portable\\mpr.exe: Trojan-PSW.Win32.LdPinch.adrl[/QUOTE]
Это моё. Был интересен вердикт.
Значит понимает и RAR, и не только по правилам.

[quote=priv8v;347044]ага) я только-что хотел спросить у КиберХелпера сильно ли он обрадовался увидев коллекцию старых зловредов)))[/quote]
Восторг системы трудно описать словами :) Это распроклятый "архив на 100 вирусов", даже машину уже скоро будет тошнить от одного названия

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=Биомеханик;347049]Если по поводу

Это моё. Был интересен вердикт.
Значит понимает и RAR, и не только по правилам.[/quote]
Мне уже доложили :) Эта штука много что понимает, но это не означает, что это что-то туда нужно пихать ... первичная задача то проста - пополнение базы чистых AVZ

сегодня видел в магазине диск продавался - там вроде 3.700 (или 37 тыс - уже не помню) зловредов + антивирусы))
тоже неплохо отчебучили...
[QUOTE]Значит понимает и RAR, и не только по правилам.[/QUOTE]
можно рар архив еще запаролить под шестизначный циферный пароль и смотреть будет или нет его кибер-система брутить:)
можно фильм залить (Матрицу, к примеру) и посмотреть правда ли она (кибер-система) самообучающаяся, как говорит Олег :)
Правда стоит учитывать, что с одного просмотра одного фильма ИИ может и не согласиться с доводами, поэтому нужно киберхелпера познакомить еще с "Терминатором" (желательно со всеми тремя частами) + "Я робот" :)

[quote=priv8v;347056]
можно рар архив еще запаролить под шестизначный циферный пароль и смотреть будет или нет его кибер-система брутить:)[/quote]
... или она вспомнит о своем статусе модератора :)

Я даже знаю откуда эту коллекцию скачали.
А брутить не будет, просто файл сотрёт.
Я вообще для экономии времени денег и облегчения процесса выливаю файлы на локальный FTP (бесплатный, скоростной), а потом сервером качаю сюда. Бывает за день насобираеш десяток пачек, потом кинул на фтп, запустил закачку и порядок. Скорость доходит до 300 кб/сек. и выше. Пачки в 50 мег проходят, но Олег просил резать по меньше. Могут сои быть и пр. Коме нужен скрипт в личку.

Сегодня просканировал диск программой Kaspersky Virus Removal Tool, которая нашла 11 зараженных объектов, а затем решил просканировать этот же диск программой AVZ к моему удивлению AVZ не нашел ни одного объекта. База данный AVZ самая свежая.
Как можно это объяснить ?

Вот приведу лог фал вирусов, которые обнаружил AVP Tool

Во-первых это AVP Tool включает в себя AVZ, а не наоборот.
Во-вторых найденные объекты были удалены.

сегодня попал в ситуацию... в AVZ запустил Ревизор и получил снимок системы, потом обновил КАВ с флешки на которой были базы от 08.02.09 и получил сообщение о зараженном svchost.exe выбрал пропустить! запустил Ревизор и запустил сравнение в результате AVZ выдал что svchost.exe изменился - вопрос почему?