AVZ 4.29

По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт[CODE]begin
DeleteService('iPod Service');
SetServiceStart('iPod Service', 4);
StopService('iPod Service');
end.[/CODE]Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.

Олег хотелось бы услышать ответ на вот этот вопрос..
[url]http://virusinfo.info/showpost.php?p=147063&postcount=276[/url]
это у меня кривые руки или в базах непорядок был..

[QUOTE=Maxim;160032]По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт[CODE]begin
DeleteService('iPod Service');
SetServiceStart('iPod Service', 4);
StopService('iPod Service');
end.[/CODE]Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.[/QUOTE]
Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.

[QUOTE=Geser;160035]Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.[/QUOTE]Практика показывает, что при использовании вначале остановки\выгрузки службы\драйвера лучше удаляется. Я не могу доказать свою правоту, но на практике я часто это наблюдаю. Тоже касается удаление через BC, Олег говорит, что нет разницы между скриптами, но последний работает эффективнее[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[CODE]begin
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

В логах добавить кнопочку удаления для DPF , аналогично той что добавили для BHO ;)[code]O16 - DPF: {11111111-1111-1111-1111-222222222222} - [/code]

Также добавить, если сам файл отсутствует в компьютере -> (file missing) Это организовано в hijack this, очень удобно.

какая-то ерунда с ревизором.
Например:
$AVZ0288
$AVZ0072 13.12.2007 8:57:59
$AVZ0249
$AVZ0121
c:\windows\123.exe = $AVZ1124
$AVZ1046

[quote=Maxim;160032]
...Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный...[/quote]
Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.

Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:
* Исправлен баг с выводом в лог сообщений ревизора
* Исправлена ошибка в работе визардов - исправление проблемы не отрабатывало как положено
* В HTML лог добавлен интерактив для генерации строк скрипта, удаляющих DPF

Если кому нужно на рапиде [url]http://rapidshare.com/files/76278583/avz429.zip[/url]

[quote=Bratez;160109]Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.[/quote]


Верно, очень не хватает.
:rolleyes:

[quote=Geser;160121]Если кому нужно на рапиде [URL]http://rapidshare.com/files/76278583/avz429.zip[/URL][/quote]
Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=drongo;160124]Верно, очень не хватает.
:rolleyes:[/quote]
Не хватает - приделаю. Тем более что релиз однозначно обновится, когда [B]NickGolovko[/B] выверит перевод.

[QUOTE=Зайцев Олег;160125]Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

[/QUOTE]

Так даже лучше. Нет проблем с кешированием. Кстати, у меня с .ру не всегда качается. Так что лучше делать две копии. Одну на ру вторую на ком

Говоря о переводе...До сих пор написано File-> "Cleat the log" - Что это за "Cleat" остаётся загадкой...Должно быть Clear
Страница с объяснениями на русском про скрипты- умерла смертью храбрых, нужно вернуть и также на английский перевести .
версия английского генератора скриптов была бы полезна ;)

[quote=Зайцев Олег;160114]Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:[/quote]
Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.

Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?

[quote=Jef239;160140]Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.[/quote]
А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Maxim;160156]Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?[/quote]
Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.

[QUOTE=Зайцев Олег;160160]Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.[/QUOTE]Карантин чистых файлов - это не опасно, удаление куда страшнее.

[quote=Зайцев Олег;160160]А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?[/quote]
Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?

[quote=Jef239;160165]Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?[/quote]
Ну, трояны и outpost я немментировать не буду (так как не этично), но дам подсказку - запуск TFT/TFTP скорее всего следствие эксплоита, следовательно или outpost по непонятной причине пропускает пакеты с эксплоитом на компьютер (нарушена его работа, правила корявые и т.п.), или он вообще толком не работает (правила, повреждение трояном).

теперь ревизор совсем накрылся - не проверяет файлы по таблицам