Printable View
[quote=UFANych;212981]Вот как раз попался перехватчик IRP. И не снялся... А я подумал, что будет...Пошто так? Почему нельзя снять такие перехваты?[/quote]
Сныть все можно ... у меня давно есть рабочий код снятия IRP перехватов, но это весьма опасно - а если это дравер крипто-диска к примеру, что будет ?! А будет все просто - каюк данным ...
Все, разобрался.
Это все от C:\WINDOWS\system32\Drivers\sptd.sys
SCSI Pass Through Direct - драйвер от Duplex Secure Ltd
который устанавливается вместе с алкоголем или даемон тулз
\driver\disk[IRP_MJ_READ] и т.д. тоже от него.
Выключил в non PlugAndPlay sptd, перезагрузился - перехваты исчезли.
Как я понял понимаю, узнать что именно поставило перехват - не тривиальная задача...
К примеру \FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 89D7C0E8-> перехватчик не определен
89D7C0E8 - это адрес перехватчика?
Помню, AVZ и не у не всех юзермод перехватчиков показывает имена файлов.
К примеру:
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtQuerySystemInformation (263) перехвачена, метод APICodeHijack.PushAndRet
Функция ntdll.dll:RtlGetNativeSystemInformation (609) перехвачена, метод APICodeHijack.PushAndRet
Функция ntdll.dll: ZwQuerySystemInformation (1072) перехвачена, метод APICodeHijack.PushAndRet, а кто перехватывает - это оставляется как дополнительное задание пользователю. :)
Конечно, мне легко говорить в той области, где я не разбираюсь:):)
[QUOTE=Зайцев Олег;212997]Сныть все можно ... у меня давно есть рабочий код снятия IRP перехватов, но это весьма опасно - а если это дравер крипто-диска к примеру, что будет ?! А будет все просто - каюк данным ...[/QUOTE]
:( прискорбно конечно, но без этого снятия я сегодня :censored: лечить от драйвера... и крипто-дисков точно не было ... да даже если и были бы - размонтировать и все дела. Может, всё же сделать ??? :blush: пожааалуйста...
Олег же ответил вам,что это очень опасно.
[QUOTE=Гриша;213015]Олег же ответил вам,что это очень опасно.[/QUOTE]
[B][SIZE="3"]А можно, я сам буду в каждом конкретном случае определять опасно это или нет, без Вашей помощи? [/SIZE][/B]
Особенно, если сидит [B]только один[/B] драйвер и защищает сам себя и немного троянов. И прямое чтение диска у AVZ сквозь эту защиту не пробивается? А?
Да, есть драйвер SPTD, который стал такое перехватывать. Но когда надо вылечить, тут не до эмуляторов CD.
Ещё раз прошу, Олег, пожалуйста, можно будет добавить снятие IRP хука конкретного драйвера или они обязательно снимаются только пачкой?
[quote=UFANych;213019][B][SIZE=3]А можно, я сам буду в каждом конкретном случае определять опасно это или нет, без Вашей помощи? [/SIZE][/B]
Особенно, если сидит [B]только один[/B] драйвер и защищает сам себя и немного троянов. И прямое чтение диска у AVZ сквозь эту защиту не пробивается? А?
Да, есть драйвер SPTD, который стал такое перехватывать. Но когда надо вылечить, тут не до эмуляторов CD.
Ещё раз прошу, Олег, пожалуйста, можно будет добавить снятие IRP хука конкретного драйвера или они обязательно снимаются только пачкой?[/quote]
Нельзя. ну хорошо, снимет AVZ хук - и дальше то что ?! В логе появится запись "перехватчик нейтрализован", а дальше ? Ничего особенно видимого то не произойдет (быть может за исключением BSOD и потери всех данных на HDD, но это будет мелкий побочный эффект). Ведь заранее неизвестно, что это за драйвер, что и зачем он перехватил эти самые и сколько таких драйверов было - мы же видим верхний перехватчик в цепочке, а их в теории может быть например три штуки.
Ну хватит уже как молитву повторять про потерю данных. Думать надо, а не молиться.
Я исхожу из следующего -
1. в чистой системе IRP обрабатываются как надо, драйверы fastfat/ntfs никем не патчатся и всё хорошо.
2. нормальному драйверу в среднестатистической системе незачем перехватывать IRP так, чтобы не давать [B]себя[/B] прочитать через прямое чтение диска. Знаменитый sptd.sys прямое чтение с диска даёт:
[CODE]Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\drivers\sptd.sys)
Карантин с использованием прямого чтения - ОК
Файл успешно помещен в карантин (C:\WINDOWS\system32\drivers\sptd.sys)
[/CODE]
3. Типовые (стандартные, от MS) пути обработки IRP через драйверы fastfat и ntfs могут быть найдены на чистой системе и использованы AVZ для, по крайней мере, прямого чтения с диска минуя левые хуки и аттачи (которые ставятся выше этих драйверов, не так ли?) (вот тут я не в курсе, можно ли организовать такие асинхронные события минуя один приаттаченых драйверов) Особенно если один из перехватчиков IRP не даёт читать напрямую с диска, что ОЧЕНЬ подозрительно.
Конечно, если даёт читать напрямую, и прочитанное напрямую отличается от прочитанного через чистый fastfat/ntfs, то тут лучше запись не устраивать ... но если чтение невозможно, левый драйвер не даёт себя читать [B]и не даёт манипулировать с записью каталога/MFT[/B] (а с чтением соседних драйверов и манипуляцией их элементов каталога всё в порядке), то ИМХО просто необходимо либо снять все [B]хуки[/B] IRP в fastfat/ntfs, либо напрямую сформировать IRP запросы к чистому fastfat/ntfs в обход приаттаченых драйверов и переименовать этот драйвер! Ну и в конце концов, решение всегда принимает лечащий врач!
ЗЫ. Ну что, достаточно ли моя позиция взвешена или я что-то забыл?
Всем привет!Решил обновить базы ,а не удалось-требуется новая версия.Скачал 4.30 и вместо слов,букв и пр. везде вот так: [?123?] Короче,цифры и все.Что делать-то?Хэлп,однако!
Запустите AVZ с параметром lang=en
Это как,ежели все в цифрах?Куда ткнуть?
[quote=gorill;214756]Это как,ежели все в цифрах?Куда ткнуть?[/quote]
1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Обзор" найдите AVZ.exe и допишите lang=en
Создать ярлык и дописать в поле объект lang=en.
пример, у мну так: "K:\Soft\Anti Root Kit\avz4_29.9\avz.exe" lang=en
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
или создать в блокноте файл start.bat и написать там start avz.exe lang=en
В папке с прогой само-собой.
Всем привет.
А кроме IRP хуков, существуют и по круче хуки.
Вот к примеру [url]www.gmer.net[/url], там вышла новая версия антируткита, вот она сканит много разных хуков....
1) К примеру какой хук или объект (объект это драйвер либо машинная длл или что то ещё) перехватывает ветку реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\SAC и HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\SAI. ну ладно это фигня можно обойти через низкоуровневый доступ к диску (gmer.exe так проходит), но интересно какой объект и каким методом эти ветки перехвачены?
2) К примеру как удалить/редактировать объект (файл/метафайл) c:\$MFT, вдруг вирус также создаться тудаже и всё капут
Информация:
1) [url]www.gmer.net[/url]
2) [url]http://www.wasm.ru/forum/viewforum.php?id=6[/url]
а про драйвер даемуна, старфорса, алкоголя я знал ещё год назад... увлекался сканил, в касперском 7 25 дыр находил, чёта надоело находить...так иногда залажу в инет гляжу чё там новенького...
Вопрос Олегу Зайцеву: А в Kaspersky Internet Security 8 там есть встроенная avz 4.30? и почему бы в KIS8 не сделают просмотр реестра, дисков файлов поиск и т.д как у вас в avz ?
[quote=NikolayFirsov;214776]Всем привет.
А кроме IRP хуков, существуют и по круче хуки.
Вот к примеру [URL="http://www.gmer.net"]www.gmer.net[/URL], там вышла новая версия антируткита, вот она сканит много разных хуков....
1) К примеру какой хук или объект (объект это драйвер либо машинная длл или что то ещё) перехватывает ветку реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\SAC и HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\SAI. ну ладно это фигня можно обойти через низкоуровневый доступ к диску (gmer.exe так проходит), но интересно какой объект и каким методом эти ветки перехвачены?
2) К примеру как удалить/редактировать объект (файл/метафайл) c:\$MFT, вдруг вирус также создаться тудаже и всё капут
Информация:
1) [URL="http://www.gmer.net"]www.gmer.net[/URL]
2) [URL]http://www.wasm.ru/forum/viewforum.php?id=6[/URL]
а про драйвер даемуна, старфорса, алкоголя я знал ещё год назад... увлекался сканил, в касперском 7 25 дыр находил, чёта надоело находить...так иногда залажу в инет гляжу чё там новенького...
Вопрос Олегу Зайцеву: А в Kaspersky Internet Security 8 там есть встроенная avz 4.30? и почему бы в KIS8 не сделают просмотр реестра, дисков файлов поиск и т.д как у вас в avz ?[/quote]
Ядро AVZ и некоторый доп. функционал там есть. Но применяется он для изучения системы, сканировать диски и реестр KIS может прекрасно и без AVZ. Насчет остального вышесказанного не совсем понял его смысл - реестр это база данных, нельзя "перехватить ветку". Можно ограничить доступ к некоторым данным в реестре или замаскировать их - это зловреды давно делают. Про $MFT вообще не понятно - нужно для начала уяснить, что такое $MFT. А это попросту спец. файл, который хранит MFT - Master File Table - базу данных, описывающую все файлы и каталоги на диске с файловой системой NTFS. В MFT имеется битовый массив, показывающий, какие из записей MFT задействованы, а какие нет. Первые 16 элементов MFT зарезервированы для специальных файлов - тех самых, что начинаются с $ и показываются низкоуровневыми смотрелками в корне диска. В частности, элемент номер 5 в MFT - это корневой каталог тома. Если удалить $MFT (чего система конечно не даст сделать по доброй воле), или затереть MFT каким-то бредом, то диск "накроется" на логическом уровне - так как мы угробим индекс, описывающий, что и где на нем хранится.
[quote=Зайцев Олег;214794]Ядро AVZ и некоторый доп. функционал там есть. Но применяется он для изучения системы, сканировать диски и реестр KIS может прекрасно и без AVZ. Насчет остального вышесказанного не совсем понял его смысл - реестр это база данных, нельзя "перехватить ветку". Можно ограничить доступ к некоторым данным в реестре или замаскировать их - это зловреды давно делают. Про $MFT вообще не понятно - нужно для начала уяснить, что такое $MFT. А это попросту спец. файл, который хранит MFT - Master File Table - базу данных, описывающую все файлы и каталоги на диске с файловой системой NTFS. В MFT имеется битовый массив, показывающий, какие из записей MFT задействованы, а какие нет. Первые 16 элементов MFT зарезервированы для специальных файлов - тех самых, что начинаются с $ и показываются низкоуровневыми смотрелками в корне диска. В частности, элемент номер 5 в MFT - это корневой каталог тома. Если удалить $MFT (чего система конечно не даст сделать по доброй воле), или затереть MFT каким-то бредом, то диск "накроется" на логическом уровне - так как мы угробим индекс, описывающий, что и где на нем хранится.[/quote]
1) Хотелось бы в avz и в kis8, ручной просмотрщик файлов и реестра, как сделано в новой версии gmer (для професионалов это пригодиться).
И хотелось бы в KIS8 было всё что в авз, ну к примеру дистпечер процессов, модули пространство ядра и т.д... (для професионалов это хорошо.
И хотелось бы в HIPS или в проактная защита была ещё лучше, к примеру есть программа System Safety Monitor вот в ней проактивка/hips лучше чем в KIS8.
2)*Насчет остального вышесказанного не совсем понял его смысл*- ладно задам вопрос по другому:
Существует ветка реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\SAC и к ней невозможен доступ через regedit.exe (т.е каким то методом заблокировано, т.е каким то файлом заблокировано, Методы блокирования бывают разные SSDT, IRP и т.д, ну можно сказать это не методы блокирования а виды хуков)
Так вот каким видом хуком заблокирован доступ, и каким файлом, драйвером?
3) Про $MFT.
К примеру вирусописатель придумал новый вирус, скрывается как $MFT. Но мне кажется через функцию "низкоуровневый доступ к диску" невозможно получит доступ к $MFT.
4) Про бут-сектора. Мне кажется есть всякие редакторы дисков, можно вручную поставить в секторе адресс, и таким образом удалиться вирус. Либо в базе антивируса должны быть данные о бут секторах.... и к примеру антивирус нашёл бут-вирус, и он должен вылечить его.... просто антивирус берёт из базы данные и востанавливает бут сектор... ну незнаю фигню наверно я гоню:P.
Про руткиты можно обнаруживать их загрузившись из СД виндовса барт сиди, хр лайф сиди и т.д..... Т.е в антивирусе нужно выгрузить или заблокировать всю старую память и загрузить оригинальные важные сис.файлы в процессе сканирования руткитов...
5) Возможно ли в ХР, Висте програмно сменить пароль на биос, или изменить параметры биос? Ведь время/часы можно менять (а время/часы - это параметр биоса) -- я думаю теоретически можно.... а значит скора появяться вирусы которые стирают биос.
6) Я думаю вирусы появяться такие, которые причинят железу, к примеру есть программа rivatunaer она разгоняет процессор на видеокарте, так вот придумают вирус и видеокарта будет разогнаная, и потом юзер играет играет и раз процессор на видеокарте сгарит, так же с процессором от компьютера, ведь я думаю теоретически возможно менять параметры биос в виндовсе, а значит разогнать процессор.
6. Причинить железу вред сложно, хотя байки о вирусах, убивающие HDD резонансом, сжигающие мониторы передачей особых импульсов и т.п. гуляют уже лет 10-15. Но реальнох зловредов нет и маловероятно, что будут - железо специфично, доступ к жедезу напрямую в NT системах невозможен.
5. Стирающие биос зловреды не появятся в скором времени, так как они давно известны. Ответом на них и на любителей перешивать Bios пять раз на дню появились материнки, у которых или есть нестираемый загрузчик, или биос дублирован - на случае неуспешной прошивки или действий зловреда. Аналогично с настройками - все современные биосы как правило неплохо работают с настройкой по умолчанию, и на эту настройку можно сбросить все опции биоса. Пароль на биос меняется из самого биоса и на возможность старания биоса не влияет ...
4. Антивирусы давно и успешно блокируют прямой доступ к диску, и умеют сканировать и лечить бут сектора, а новые буткиты и древние бут вирусы как могут противодействуют этому. Но буткит не страшен, если работать по учетной записью юзера - у него нет прав на прямую работу с диском
3. Я все таки советую почитать на досуге доку по NTFS :) Служебными являются первые 16 псевдофайлов, описанные в первых 16 ячейках MFT. И доступ к ним на самом деле есть, если есть права админа. А простой файл с именем $MFT будет просто файлом с таким именем - система не блокирует доступ к нему и не прячет его
2. А кто сказал, что доступ к нему блокирован ?! Доступ ничем не блокируется, но если внимательно посмотреть на права доступа к данной ветке реестра, то том указано, что SYSTEM (т.е. сама операционка) имеет неограниченный доступ, а скажем админ не имеет вообще никаких прав. Если уж так хочется посмотреть, что там есть - достаточно дать себе прав на этот раздел и все ...
1. Насчет того, что проактивка лучше/хуже - это вопрос очень спорный и очень туманный. нужно понимать, что не задача антивируса разграничавать доступ и т.п. - если работать под учетной записью юзера, то сама система ограничит опасное поведение программ и процентов 80 зловредов не будет нормально работать под юзером без всякого HIPS. Но есть путь для мазохистов - сидеть под админом и мучительно заставлять проактивку сделать из учетной записи админа учетную запись юзера :) Начет ручных просмотрщиков - они не нужны в AVZ/KIS, для этого есть отдельные удобные инструменты, и обычно явной необходимости в таком инстументарии нет.
[quote=Зайцев Олег;214804]
6. Причинить железу вред сложно, хотя байки о вирусах, убивающие HDD резонансом, сжигающие мониторы передачей особых импульсов и т.п. гуляют уже лет 10-15. Но реальнох зловредов нет и маловероятно, что будут - железо специфично, доступ к жедезу напрямую в NT системах невозможен.
5. Стирающие биос зловреды не появятся в скором времени, так как они давно известны. Ответом на них и на любителей перешивать Bios пять раз на дню появились материнки, у которых или есть нестираемый загрузчик, или биос дублирован - на случае неуспешной прошивки или действий зловреда. Аналогично с настройками - все современные биосы как правило неплохо работают с настройкой по умолчанию, и на эту настройку можно сбросить все опции биоса. Пароль на биос меняется из самого биоса и на возможность старания биоса не влияет ...
4. Антивирусы давно и успешно блокируют прямой доступ к диску, и умеют сканировать и лечить бут сектора, а новые буткиты и древние бут вирусы как могут противодействуют этому. Но буткит не страшен, если работать по учетной записью юзера - у него нет прав на прямую работу с диском
3. Я все таки советую почитать на досуге доку по NTFS :) Служебными являются первые 16 псевдофайлов, описанные в первых 16 ячейках MFT. И доступ к ним на самом деле есть, если есть права админа. А простой файл с именем $MFT будет просто файлом с таким именем - система не блокирует доступ к нему и не прячет его
2. А кто сказал, что доступ к нему блокирован ?! Доступ ничем не блокируется, но если внимательно посмотреть на права доступа к данной ветке реестра, то том указано, что SYSTEM (т.е. сама операционка) имеет неограниченный доступ, а скажем админ не имеет вообще никаких прав. Если уж так хочется посмотреть, что там есть - достаточно дать себе прав на этот раздел и все ...
1. Насчет того, что проактивка лучше/хуже - это вопрос очень спорный и очень туманный. нужно понимать, что не задача антивируса разграничавать доступ и т.п. - если работать под учетной записью юзера, то сама система ограничит опасное поведение программ и процентов 80 зловредов не будет нормально работать под юзером без всякого HIPS. Но есть путь для мазохистов - сидеть под админом и мучительно заставлять проактивку сделать из учетной записи админа учетную запись юзера :) Начет ручных просмотрщиков - они не нужны в AVZ/KIS, для этого есть отдельные удобные инструменты, и обычно явной необходимости в таком инстументарии нет.[/quote]
6. *доступ к жедезу напрямую в NT системах невозможен*- Но часы же можно менять в виндовсе, и они меняются в биосе. Также разогнать процессор на видеокарте можно спец программами к примеру Riva Tuner--- [B]Вывод: значит в NT возможен доступ[/B].
2. Вы наверно подумали про ветку hklm\security, а я говорю про ветку hklm\SECURITY\Policy\Secrets\SAC или hklm\SECURITY\Policy\Secrets\SAI
1. Ну незнаю. К примеру вирусы скрыты и в эксплорере я немогу их увидеть, так мне помогла avz, я через поиск нашёл вирус и удалил его.
7. А вы читали мои баги ([URL]http://www.wasm.ru/forum/viewtopic.php?id=25173[/URL]) в Kaspersky Internet Security? Ну как расскажите?
8. А находит ли avz 4.30 хуки вида .SYSENTER, INT,.text и т.д?
по поводу 8. Sysenter - [url]http://www.z-oleg.com/secur/virlist/vir1179.php[/url]
[quote]1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
>>> Опасно - подозрение на подмену адреса ЦП[1].SYSENTER=806D8D2D C:\WINDOWS\system32\ntoskrnl.exe, драйвер опознан как безопасный
ЦП[1].SYSENTER успешно восстановлен
Проверка IDT и SYSENTER завершена
>>>> Подозрение на RootKit pe386 C:\WINDOWS\system32:lzx32.sys [/quote]
[quote=NikolayFirsov;215246]6. *доступ к жедезу напрямую в NT системах невозможен*- Но часы же можно менять в виндовсе, и они меняются в биосе. Также разогнать процессор на видеокарте можно спец программами к примеру Riva Tuner--- [B]Вывод: значит в NT возможен доступ[/B].
2. Вы наверно подумали про ветку hklm\security, а я говорю про ветку hklm\SECURITY\Policy\Secrets\SAC или hklm\SECURITY\Policy\Secrets\SAI
1. Ну незнаю. К примеру вирусы скрыты и в эксплорере я немогу их увидеть, так мне помогла avz, я через поиск нашёл вирус и удалил его.
7. А вы читали мои баги ([URL]http://www.wasm.ru/forum/viewtopic.php?id=25173[/URL]) в Kaspersky Internet Security? Ну как расскажите?
8. А находит ли avz 4.30 хуки вида .SYSENTER, INT,.text и т.д?
[/quote]
6. По поводу настройки времени - советую зайти под ограниченной учетной записью и попробовать поменять время :) Насчет разгона и т.п. - для этого нужно установить эту спец-программу, ей в свою очередь нужно установить драйвера и т.п., и все это должно произойти под админом ...
2. Я думал именно о том, о чем написал. Доступ к данным ключам ограничен привилегиями. А те два означенных ключа еще содержат символ с кодом #0 в имени, и Regedit поэтому не может туда забраться (по видимому логика правильная - нечего юзеру там делать :) )
1. В проводнике никто зловредов не ищет - для этого есть FAR и его аналоги
7. Читал, смешно :) Описанное там - это не баги, а демонстрация непонимания принципов работы антивируса и защиты ПК в целом. Рекомендую на досуге взять чистый ПК, поставить на него KIS (под админом), затем создать ограниченную учетную запись, зайти под ней и поискать "баги". Можно поверить мне на слово, полученная картина удивит :)
8. Не совсем ясно, что такое хук типа ".text"
[quote=Зайцев Олег;215276]
6. По поводу настройки времени - советую зайти под ограниченной учетной записью и попробовать поменять время :) Насчет разгона и т.п. - для этого нужно установить эту спец-программу, ей в свою очередь нужно установить драйвера и т.п., и все это должно произойти под админом ...
2. Я думал именно о том, о чем написал. Доступ к данным ключам ограничен привилегиями. А те два означенных ключа еще содержат символ с кодом #0 в имени, и Regedit поэтому не может туда забраться (по видимому логика правильная - нечего юзеру там делать :) )
1. В проводнике никто зловредов не ищет - для этого есть FAR и его аналоги
7. Читал, смешно :) Описанное там - это не баги, а демонстрация непонимания принципов работы антивируса и защиты ПК в целом. Рекомендую на досуге взять чистый ПК, поставить на него KIS (под админом), затем создать ограниченную учетную запись, зайти под ней и поискать "баги". Можно поверить мне на слово, полученная картина удивит :)
8. Не совсем ясно, что такое хук типа ".text"[/quote]
6.
a) Речь идёт не под ограниченной учётной записи, [B]а под Администратором [/B](ну в ХР у него RID 500)[B] (ведь в KIS8 разработали HIPS, а значит предусматривают баги из под администратора)[/B]
б) значит под администратором можно разогнать видеокарту, и процессор, т.е [B]поменять параметры железа в NT[/B] - это означает что можно создать вирус который меняет параметры биоса и видиокарты (время, пароль на биос, приоритет загрузки, частоту шины на видеокарте)?
2. *А те два означенных ключа еще содержат символ с кодом #0 в имени*---Непонял, расскажите подробнее???. К примеру я просто запускаю gmer.exe от [URL]http://www.gmer.net[/URL] и он загружает свой вспомогательный драйвер и этот драйвер использует функцию "Низкоуровневый доступ к диску" и в gmer.exe можно просмотреть что храниться в этих ветках hklm\SECURITY\Policy\Secrets\SAC или hklm\SECURITY\Policy\Secrets\SAI и просмотрел и ненашёл никаких *[B]содержат символ с кодом #0 в имени[/B]*
Даже если посканить программой gmer.exe реестр, то увидете эти ветки реестра, а значит чем-то они блокируются, и каким то типом хука
1. А если этот зловред скрытый на диске с помощью своего вспомогательного драйвера? и FAR может его обнаружить? к примеру в gmer.exe там он работает через "низкоуровневый доступ к диску".
7. "а демонстрация непонимания принципов работы антивируса и защиты ПК в целом"- т.е я непонимаю как работает антивирус и защита ПК в целом? Почему вы так считаете? Ведь половина баг уже они предусмотрели в KIS 8.0.0.x - это означает что баги или я неправ?
Ну к примеру любую багу из wasm.ru назовите, что она не
права?
(Речь идёт об Администраторе а не об огр.учётной записи)
8. Скачайте программу gmer.exe от [URL]http://www.gmer.net[/URL] и просканируйте систему, и увидете очень много типов хуков
[quote=NikolayFirsov;215371]6.
2. hklm\SECURITY\Policy\Secrets\SAC или
Даже если посканить программой gmer.exe реестр, то увидете эти ветки реестра, а значит чем-то они блокируются, и каким то типом хука[/quote]
'Защиту' обеспечивает lsass.exe, и там ничего такого сложного нет - это обойти не сложно. Я думаю, что gmer получает доступ так: вызывает функции [FONT=Arial][SIZE=2]LsarOpenSecret и [/SIZE][/FONT][FONT=Arial][SIZE=2]LsarQuerySecret через [/SIZE][/FONT][FONT=Arial][SIZE=2]GetProcAddress в библиотеке [/SIZE][/FONT][FONT=Arial][SIZE=2]lsasrv.dll.
Paul[/SIZE][/FONT]
[quote=NikolayFirsov;215371]6.
a) Речь идёт не под ограниченной учётной записи, [B]а под Администратором [/B](ну в ХР у него RID 500)[B] (ведь в KIS8 разработали HIPS, а значит предусматривают баги из под администратора)[/B]
б) значит под администратором можно разогнать видеокарту, и процессор, т.е [B]поменять параметры железа в NT[/B] - это означает что можно создать вирус который меняет параметры биоса и видиокарты (время, пароль на биос, приоритет загрузки, частоту шины на видеокарте)?
2. *А те два означенных ключа еще содержат символ с кодом #0 в имени*---Непонял, расскажите подробнее???. К примеру я просто запускаю gmer.exe от [URL]http://www.gmer.net[/URL] и он загружает свой вспомогательный драйвер и этот драйвер использует функцию "Низкоуровневый доступ к диску" и в gmer.exe можно просмотреть что храниться в этих ветках hklm\SECURITY\Policy\Secrets\SAC или hklm\SECURITY\Policy\Secrets\SAI и просмотрел и ненашёл никаких *[B]содержат символ с кодом #0 в имени[/B]*
Даже если посканить программой gmer.exe реестр, то увидете эти ветки реестра, а значит чем-то они блокируются, и каким то типом хука
1. А если этот зловред скрытый на диске с помощью своего вспомогательного драйвера? и FAR может его обнаружить? к примеру в gmer.exe там он работает через "низкоуровневый доступ к диску".
7. "а демонстрация непонимания принципов работы антивируса и защиты ПК в целом"- т.е я непонимаю как работает антивирус и защита ПК в целом? Почему вы так считаете? Ведь половина баг уже они предусмотрели в KIS 8.0.0.x - это означает что баги или я неправ?
Ну к примеру любую багу из wasm.ru назовите, что она не
права?
(Речь идёт об Администраторе а не об огр.учётной записи)
8. Скачайте программу gmer.exe от [URL]http://www.gmer.net[/URL] и просканируйте систему, и увидете очень много типов хуков
[/quote]
6.а Так этому администратору и надо :) Никакой самы расчудесный HIPS не спасет человека, который сидит под админом и скажем у него запускается что-то там, что быдет пытаться спалить его железо (перегреть оно его сможет, спалить - маловероятно). HIPS в KIS расчитан не на администратора, а не обнаружение и блокировку потенциально опасной активности. Но есть одно НО - даже если выдаст KIS юзеру сообщение, что NVidia_super_puper_twicker.exe пытается скажем поставить драйвера ?! И юзер, который скачал это непойми откуда нажмет ОК не думая ... И KIS не может понять, действительно это твикер видеокарты или же это злонамеренный ускоритель-сжигатель (разница кстати невелика - любой разгон по идее загоняет железо в эктремальные режимы и может его спалить).
б. Можно. И HIPS не спасет никогда в жизни - см. п.п. а). Т.е. если скажем юзеру подсунут что-то там и он это запустит и подтвердит запрос HIPS на установку драйверов - системе кирдык. А по моим данным 95% юзеров именно это и делают, особенно если уверены, что эта программа им нужна. И спалить железо можно вполне легальным твикером/ускорителем, а не зловредом.
2. Введение в имя ключа символа с кодом #0 приводит к интересному эффекту - через обычное API доступ к ключа затрудняется, этот эффект был публично очень давно показан Руссиновичем, у него на сайте даже семпл есть на эту тему ... Т.е. обычное приложение, напрмиер Regedit, не сможет открыть такой ключ
8. Очень много хуков, или очень много глюков - неизвестно. Чем глубже копает антируткит, тем больше мусора он найдет, и совершенно не обазательно, что это опасно. Просто изучение логов антируткита предполагает хорошее знание системы + знание особенностей и закидонов конкретного антируткита (последнее вылавливается просто - его запуском на чистой системе)
7. Первичная задача антивируса - это быть антивирусом ! Т.е. ловить вирусы ... примочки типа HIPS - это дополнительный контур обороны, средство своевременного детектирования вредоносной активности со стороны вредителя, который не распознан сигнатурным сканером как зловред. Но очень распространенной ошибкой является подмена встроенных средств безопасности системы средствами безопасности антивируса, Firewall, HIPS и т.п. ! Это доп. средства, создающие [B]дополнительный контур защиты[/B], и следовательно повышающие безопасность системы в целом и позволяющие своевременно пределить активность зловреда. Но не их замена ... Если брать список, то 99% не является "багом" - назоваем это так: "хотелка юзера, который не умеет администрировать Windows и не хочет это делать". Такая категория юзеров к сожалению есть, но достаточно прочитать отзывы профи на wasm по поводу этой ветки и сделать вывод, как рассуждают об этом админы и системщики. Наиболее показательно: не находит вирусы, скрытые Folder Security Personal" - т.е. я ставлю под админом программу, она ставит свои драйвера в систему, KIS об этом предупреждает (он не даст проинсталлить драйвер), программе даны на то права (и KIS считает ее легитимной) - и мы получаем в системе конфликт двух программ безопасности, которые перехватят одно и тоже. Что удивительного в том, что скажем KIS не видит что-то, маскируемое специально предназначенной для этого программе, которой разрешили установиться (или программа маскировки начнет глючить, или будет срабатывание HIPS/антируткита на нее) ?! Или скажем если поставить два антивиря, будет нечто похожее, но они более показательно перегрызутся, все повинет ... и багу пишем обоим - "почему А не задавил конкурента Б" :) А если задавит - багу задавленному :)
или аналогично с "net user *** /add" - я сижу под кем ?! Под админом. А что должен делать админ ?! Правильно, админить, причем создание юзеров, выделение им прав, расшаривание ресурсов и т.п. - самая типовая задача администрирования. Вопрос - почему антивирус должен блокировать админу то, что является его святой обязанностью ?! А юзер админом не является, то возникает другой вопрос - а почему он тогда админ ?! И так аналогично по всем остальным пунктам... Это все равносильно, что я в любом unix всех юзеров сделаю root-ом, позапускаю все процессы из под рута (начиная с почты и WEB сервера) и потом буду пачками находить дыры и делать вывод, что *nix сама дырявая система в мире.
Поэтому вывод - безопасность системы это [B]комплекс мер[/B], состоящих в [B]грамотной настройке системы[/B], грамотном применении антивирусов, Firewall, HIPS и т.п. Посмотрите раздел "Помогите" в данной конференции - там представлены практически все антивирусы разных версий и типов, но почему-то не встречаются пользователи, работающие под учетной записью резко ограниченного юзера - все поголовно работали под админом ... Но это уже пошел флейм
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[quote=p2u;215408]'Защиту' обеспечивает lsass.exe, и там ничего такого сложного нет - это обойти не сложно. Я думаю, что gmer получает доступ так: вызывает функции [FONT=Arial][SIZE=2]LsarOpenSecret и [/SIZE][/FONT][FONT=Arial][SIZE=2]LsarQuerySecret через [/SIZE][/FONT][FONT=Arial][SIZE=2]GetProcAddress в библиотеке [/SIZE][/FONT][FONT=Arial][SIZE=2]lsasrv.dll.[/SIZE][/FONT]
[SIZE=2][FONT=Arial]Paul[/FONT][/SIZE][/quote]
Или находит на диске и парсит файл, хранящий реестр - это обходит логическую блокировку, нехватку прав и все заморочки с хитрыми именами
Олег, а как ты предлагаешь отлаживаться под юезерскими правами? Отладчику дельфей же нужны админские права или я ошибаюсь и есть финт ушами?
[quote=Jef239;215668]Олег, а как ты предлагаешь отлаживаться под юезерскими правами? Отладчику дельфей же нужны админские права или я ошибаюсь и есть финт ушами?[/quote]
Во первых неадмин-юзер разный бывает, а во вторых - есть "Запуск от имени ...", позволяющий запускать что угодно от имени кого угодно. Этот фокус хорошо знаком админам, которые создают задания в планировщике для выполнения всяких операций обслуживания на сервере - обязательный параметр задания в шедуллере содержит логин и пароль учетной записи, из-под которой стартует задание. Аналогично и с любым ярлыком - там настраивается, от имени кого запустить задачу. Аналогично в висте - в ярлыке можно указать, что задачу пускать с полными правами админа.
[QUOTE=Jef239;215668]Олег, а как ты предлагаешь отлаживаться под юезерскими правами? Отладчику дельфей же нужны админские права или я ошибаюсь и есть финт ушами?[/QUOTE]
Не знаю насчёт Delfi, но OpenWatcom вот отлаживает и [B]не[/B] под админом. И драйверов он точно не ставит. И право "Отладка программ" дано только администраторам. 8)
[QUOTE=Зайцев Олег;215681]Аналогично и с любым ярлыком - там настраивается, от имени кого запустить задачу.[/QUOTE]Можете показать скриншот?
А зачем скриншот - это вопроизвести легко. Берем ярлык EXE файла, там нажимаем "Дополнительно ...", ставим птичку "Запускать с другими учетными данными". Сохраняем, при этом ничего видимо интересного не происходит. Далее запускаем программу с этого ярлыка, сситема спрашивает, чью учетную запись применить - текущую или выбранную. Если выбранную, предлагается указать какую и ввести пароль. Аналогично с заданиями шеделлера - там сразу задается учетная запись и пароль. Кстати говоря, шеделлир хранит логины и пароли, поэтому его можно применять как панель запуска программ от имени разных юзеров - в задании указать, что оно запускается вручную и всего делов. Но нужно помнить, что после эксремального твикинга, связанного с отключением всех служб подряд запуск от имени другого пользователя может не работать.
@ [b]Олег[/b]:
Немного офф-топ: возможно стоит поговорить в отдельной теме про RunAs, особенно о том, как она реазизована на Висте. Например, как я понял, в Висте эта функция не работает с explorer.exe, так как тот уже занят с оболочкой. Однако, есть простой обход - запускать IE с RunAs и открыть всё, что угодно. Всё, что с ним открывается (например C:\, Control Panel, и т.д.) будет открыто с админ правами...
Конец офф-топа.
Paul
[quote=p2u;215870]@ [B]Олег[/B]:
Немного офф-топ: возможно стоит поговорить в отдельной теме про RunAs, особенно о том, как она реазизована на Висте. Например, как я понял, в Висте эта функция не работает с explorer.exe, так как тот уже занят с оболочкой. Однако, есть простой обход - запускать IE с RunAs и открыть всё, что угодно. Всё, что с ним открывается (например C:\, Control Panel, и т.д.) будет открыто с админ правами...
Конец офф-топа.
Paul[/quote]
Я нечто подобное делаю с FAR-ом на Vista - он стартует у меня с правами админа
[quote=Зайцев Олег;215878]Я нечто подобное делаю с FAR-ом на Vista - он стартует у меня с правами админа[/quote]
Но это вы сами - там риска нет. Я о юных пользователях (если у вас больше одного пользователя на одном компе) или об умниках на работе, которые знают пароль для повышения привилегий. Определённый риск есть, конечно, в этом RunAs...
Paul
[quote=p2u;215882]Но это вы сами - там риска нет. Я о юных пользователях (если у вас больше одного пользователя на одном компе) или об умниках на работе, которые знают пароль для повышения привилегий. Определённый риск есть, конечно, в этом RunAs...
Paul[/quote]
Согласен ... вот тут как раз шедуллер хорош - там логин/пароль вводится при создании задания, пользователю не показывается и для запуска знать его не требуется. И в добавок поменять задание не вводя повторно пароля нельзя.
Олег, некритичный баг в AVZ 4.30 присутствует:
при ключе Minilog=Y в протокол сканирования выводятся строки "1.5 Проверка обработчиков IRP", "Проверка завершена" и "Анализатор-изучается процесс xxx путь"
(в последнем случаи - естественно с разными xxx и путями) - насколько я понял, записей с НЕ КРАСНЫМ шрифтом выводиться не должно в этом режиме?
И ещё пара вопросиков:
1. Как AVZ и его Antirootkit реагирует, если несколько руткитов ставят свои перехваты на одно и тоже место (например, на одну функцию в какой-либо DLL) - т.е. перехваты идут как бы каскадом?
2. Можно ли выводить в протокол при user-mode перехватах (например, типа ProcAddressHijack или APICodeHijack) что-либо, кроме адреса перехватчика (может быть модуль DLL, где расположен перехватчик) - как это сделано, например, для kernel-mode?
[quote=Vorland;216195]Олег, некритичный баг в AVZ 4.30 присутствует:
при ключе Minilog=Y в протокол сканирования выводятся строки "1.5 Проверка обработчиков IRP", "Проверка завершена" и "Анализатор-изучается процесс xxx путь"
(в последнем случаи - естественно с разными xxx и путями) - насколько я понял, записей с НЕ КРАСНЫМ шрифтом выводиться не должно в этом режиме?
И ещё пара вопросиков:
1. Как AVZ и его Antirootkit реагирует, если несколько руткитов ставят свои перехваты на одно и тоже место (например, на одну функцию в какой-либо DLL) - т.е. перехваты идут как бы каскадом?
2. Можно ли выводить в протокол при user-mode перехватах (например, типа ProcAddressHijack или APICodeHijack) что-либо, кроме адреса перехватчика (может быть модуль DLL, где расположен перехватчик) - как это сделано, например, для kernel-mode?
[/quote]
Да, это глюк - в минилог в теории должно только критичное выводиться.
По вопросам:
1. да, конечно. Но "видит" он верхний перехват их нескольких, снимает он их всех
2. Можно - в принципе можно вывести машинный код, можно дизассемблированный кусок из первых трех-четырех команд
Такой вопрос.. по этой хорошей програмке. "Сервис" -> "Диспетчер служб и драйверов". Мне нужно к примеру удалить системную службу..выдает: служба "..." опознана как системная. Ее удаление автоматически заблокировано. Можно как-то разблокировать эту возможность? Спасибо.
BC_DeleteSvc('')
Убьет даже системную вроде бы...
[QUOTE=rubin;216387]BC_DeleteSvc('')
Убьет даже системную вроде бы...[/QUOTE]Вместе с файлом, что чревато падением системы.
[quote]Вместе с файлом, что чревато падением системы[/quote]
Именно! Особенно если вспомнить, что большинство служб исполняет svchost.exe.
RegKeyDel('HKLM', 'SYSTEM\CurrenControlSet\Services\[i]имя_службы[/i]');
(если лень в реестр ручками сходить).
Не лень, но высматривать так неудобно, служб показывает там намного больше чем через "службы", да и по названиям.. отличаются. У меня локализованный ос.
[size="1"][color="#666686"][B][I]Добавлено через 4 часа 0 минут[/I][/B][/color][/size]
Если через реестр "ручками", (вводил RegKeyDel('HKLM', 'SYSTEM\CurrenControlSet\Services\имя_службы');) выдает ошибку, то удалять нужно целый раздел с названием службы? или именно внутри него, что-то... А в самой программе эту возможность никак не разлочить?..
[quote=avz;216419] Если через реестр "ручками", (вводил RegKeyDel('HKLM', 'SYSTEM\CurrenControlSet\Services\имя_службы');) выдает ошибку, то удалять нужно целый раздел с названием службы? или именно внутри него, что-то... [/quote]
Естественно надо до того, как службу удалить, её [b]отключить[/b] и перезагрузить комп.
В реестре указано название службы, а в GUI Windows - 'Отображаемое имя'. Например:
Служба 'Вторичный ход в Систему' (Secondary Logon) на самом деле называется seclogon в реестре.
Название служб и их отображаемые имена можно найти [url=http://www.oszone.net/2517/]здесь[/url]. Если вы там кое-какие не находите, то тогда Гугл всегда выручает.
P.S.: Если вы точно не разбираетесь в последствиях таких мер, то тогда лучше оставить службы в покое и просто отключить их.
Paul
[QUOTE=p2u;216538]Естественно надо до того, как службу удалить, её [b]отключить[/b] и перезагрузить комп.
В реестре указано название службы, а в GUI Windows - 'Отображаемое имя'. Например:
Служба 'Вторичный ход в Систему' (Secondary Logon) на самом деле называется seclogon в реестре.
Название служб и их отображаемые имена можно найти [url=http://www.oszone.net/2517/]здесь[/url]. Если вы там кое-какие не находите, то тогда Гугл всегда выручает.
P.S.: Если вы точно не разбираетесь в последствиях таких мер, то тогда лучше оставить службы в покое и просто отключить их.
Paul[/QUOTE]Если б я не разбирался, то наверно не спрашивал бы как удалить службу.) Имя службы я вводил правильно.. смотрел по тому же авз.. К примеру Themes. Из служб работают только:
Удаленный вызов процедур (RPC)
Службы криптографии
Сетевые подключения
Инструментарий управления Windows
Запуск серверных процессов DCOM
Журнал событий
Диспетчер учетных записей безопасности
Windows Audio
Plug and Play
и файервол.