Антивирусная утилита AVZ - 4.22 + AVZGuard/AVZPM

[QUOTE=Зайцев Олег;87643]Функцию отката я сделаю - появится сегодня в стандартных скриптах. А вот драйвер под 9x наверное никогда не появится - XP уже собираются снять с поддержки, а 9x - тем более - количество ПК под этой системой стремительно сокращается.[/QUOTE]
Вот и хорошо что появиться я тогда эту машинку трогать не буду, а заодно и проверим как сработает откат! По поводу 9Х это я просто написал , (все же есть люди которые еще под ней сидят) конечно же их уже единицы...! Олег как я понимаю нужно будет просто обновить базы чтоб появилась функция отката?

Windows 2000 Workstation SP4 + обновления. Из сетевого/антивирусного софта на машине - Outpost 4 + DrWeb 4.33. Установка драйвера AVZPM проходит нормально. После перезагрузки при попытке удаления драйвера средствами AVZ - "Ошибка удаления драйвера (3)".

[QUOTE=Jolly Rojer;87645]Вот и хорошо что появиться я тогда эту машинку трогать не буду, а заодно и проверим как сработает откат! По поводу 9Х это я просто написал , (все же есть люди которые еще под ней сидят) конечно же их уже единицы...! Олег как я понимаю нужно будет просто обновить базы чтоб появилась функция отката?[/QUOTE]
Да, после обеда выйдет обновленная база, там будет скрипт полной "деинсталляции" AVZ - удаление всех драйверов с диска и их регистрации из реестра.

1. Осталась проблема с путями в секции модулей пространства ядра:
\SystemRoot\System32\Drivers\dump_atapi.sys
2. Если файл не найден на диске нужно как-то помечать это в логе. Возможно перед этим следует попытаться прочитать его напрямую.

[QUOTE=Зайцев Олег;87479]А файл на диске сохраняется ? Дело в том, что далее делается попытка отрыть сохраненный файл дефолтной программой ... если таковой программы нет или нарушена ассоциация с файлом htm, то он не откроется.[/QUOTE]
Да, сохраняется. На шифрованный диск. Сохранил в Documents& Settings - тот же результат. Рядом с файликом - иконка от файерфокса. Поэтому, обычным нажатием файл открывается.
--------------
Установил драйвер AVZPM под Win 2000 Prof SP4+RollUp. Антивирус NOd32 2.51.26. Сканирую тестовые папки с архивной библиотекой вирусов в режиме блокировки руткитов User-Mode. Конфликта с включенным монитором НОД, вроде нет.

[QUOTE=Geser;87663]1. Осталась проблема с путями в секции модулей пространства ядра:
\SystemRoot\System32\Drivers\dump_atapi.sys
2. Если файл не найден на диске нужно как-то помечать это в логе. Возможно перед этим следует попытаться прочитать его напрямую.[/QUOTE]
Я это поправлю - я теперь придумал новую политику выпуска версий - вчера вышла 4.22, а на следующей неделе выйдет 4.22.1 - в ней я поправлю все явные баги, которые вылезут в ходе недели тестирований.
-----
Я обновил AVZ базу, можно обновиться - в стандартных скриптах появилась новая опция - "Удаление всех драйверов и ключей реестра AVZ" - выполнение этого скрипта вычищает с диска и реестра все следы AVZ. В частности, по W2K SP4 обнаружился странный глюк с драйвером AVZPM - он инсталлируется, но удаляться через меню не хочет - вот тут то подобный скрипт пригодится. В 4.22.1 этот глюк уже поправлен.

По поводу путей - в 4.22.1 это исправлено, пути отображаются как положено.

[QUOTE=santy;87668]Да, сохраняется. На шифрованный диск. Сохранил в Documents& Settings - тот же результат. Рядом с файликом - иконка от файерфокса. Поэтому, обычным нажатием файл открывается.
--------------
Установил драйвер AVZPM под Win 2000 Prof SP4+RollUp. Антивирус NOd32 2.51.26. Сканирую тестовые папки с архивной библиотекой вирусов в режиме блокировки руткитов User-Mode. Конфликта с включенным монитором НОД, вроде нет.[/QUOTE]
Подобные опыты очень интересны - для меня очень полезна статистика работы AVZ и AVZPM под разными OS и совместно с различным защитным ПО.

[QUOTE=Jolly Rojer;87645]Вот и хорошо что появиться я тогда эту машинку трогать не буду, а заодно и проверим как сработает откат! По поводу 9Х это я просто написал , (все же есть люди которые еще под ней сидят) конечно же их уже единицы...! Олег как я понимаю нужно будет просто обновить базы чтоб появилась функция отката?[/QUOTE]
Совершенно верно - можно пробовать откат (точнее "деинсталляцию"), Файл\Стандартные скрипты, скрипт номер 6.

Олег деинсталяция драйвера прошла успешно машинку ребутнул операционка загрузилась в обычном режиме! Сейчас еще раз попробую установить драйвер, может мини дамп сформируется... если сформируется закину к тебе на мыло

[QUOTE=Jolly Rojer;87678]Деинсталяция драйвера прошла успешна машинку ребутнул операционка загрузилась в обычном режиме![/QUOTE]
Осталось только понять, с чем там драйвер мой законфиликтовал ...

Вопрос: а сохранение настроек интерфейса не предполагается?

Ну что вопрос остается открытым... абсолютно не понятно с чем конфликтовал драйвер... повторил 3 раза результат одинаков минидамп так-же не формируется... силового софта на машинке нет ! Загадка да и только! Предложение к тем у кого есть win 2003 server, повторить мой эксперимент и сообщить о результатах. Может быть это частный случай а может и нет, в любом случае Олегу думаю интересно узнать результаты подобных тестов. Да и мне честно сказать тоже! "ПРОШУ НЕ ПРОИЗВОДИТЬ ДАННЫЙ ЭКСПЕРИМЕНТ НА РЕАЛЬНО ДЕЙСТВУЮЩИХ СЕРВЕРАХ, дабы избежать неприятных последствий"

[B]Jolly Rojer[/B], а минидамп у тебя включён...?

[quote=Зайцев Олег;87669]Я это поправлю - я теперь придумал новую политику выпуска версий - вчера вышла 4.22, а на следующей неделе выйдет 4.22.1 - в ней я поправлю все явные баги, которые вылезут в ходе недели тестирований.
-----
Я обновил AVZ базу, можно обновиться - в стандартных скриптах появилась новая опция - "Удаление всех драйверов и ключей реестра AVZ" - выполнение этого скрипта вычищает с диска и реестра все следы AVZ. В частности, по W2K SP4 обнаружился странный глюк с драйвером AVZPM - он инсталлируется, но удаляться через меню не хочет - вот тут то подобный скрипт пригодится. В 4.22.1 этот глюк уже поправлен.

По поводу путей - в 4.22.1 это исправлено, пути отображаются как положено.[/quote]

Буду ждать новые функции на перевод. :)

Да, кстати, забыл добавить пять копеек: AVZPM установился нормально и успешно функционирует. Установка прошла незаметно.

WinXP, SP2, avast, AVG, Tiny, ZA, SSM Free :)

[QUOTE=Зайцев Олег;87670]Подобные опыты очень интересны - для меня очень полезна статистика работы AVZ и AVZPM под разными OS и совместно с различным защитным ПО.[/QUOTE]
Вот пожалуйста. На машине Win XP Pro SP2 без заплаток и стенки. Антивирус NOD32 2.70.16. Все работает как часовой механизм.:)

Хм, вроде-б невозможность деинсталяции проявляется только на Вынь2к СП4. Все та-же "Ошибка удаления драйвера 3"

[QUOTE=Jolly Rojer;87686]Ну что вопрос остается открытым... абсолютно не понятно с чем конфликтовал драйвер... повторил 3 раза результат одинаков минидамп так-же не формируется... силового софта на машинке нет ! Загадка да и только! Предложение к тем у кого есть win 2003 server, повторить мой эксперимент и сообщить о результатах. Может быть это частный случай а может и нет, в любом случае Олегу думаю интересно узнать результаты подобных тестов. Да и мне честно сказать тоже! "ПРОШУ НЕ ПРОИЗВОДИТЬ ДАННЫЙ ЭКСПЕРИМЕНТ НА РЕАЛЬНО ДЕЙСТВУЮЩИХ СЕРВЕРАХ, дабы избежать неприятных последствий"[/QUOTE]
У меня Linux-совый сервак, но я позвонил своему товарищу и он для меня все проделал (у него Windows 2003 server). Кстати на реально действующем серваке. Все прошло без каких либо проблем.:)

[quote=Синауридзе Александр;87727] Все прошло без каких либо проблем.:)[/quote] На В2к3 тоже прошло все нормально, по-этому сеть работает (В2к3 - внутренний сервак сети..)

[QUOTE=Muffler;87692][B]Jolly Rojer[/B], а минидамп у тебя включён...?[/QUOTE]

Да включен!

[QUOTE=Синауридзе Александр;87727]У меня Linux-совый сервак, но я позвонил своему товарищу и он для меня все проделал (у него Windows 2003 server). Кстати на реально действующем серваке. Все прошло без каких либо проблем.:)[/QUOTE]
Сегодня востановлю с образа попробую на чистой машинке все же интересно изза чего такой глюк был...? Но все равно не плохо что подобное вылезло... в результате все в выигрыше заодно Олег сделал не плохую функцию как деинтсталяцию драйвера

[QUOTE=Зайцев Олег;87670]Подобные опыты очень интересны - для меня очень полезна статистика работы AVZ и AVZPM под разными OS и совместно с различным защитным ПО.[/QUOTE]
Олег, несмотря на то, что новые версии АВЗ выходят как рабочий релиз (а значит, прошли определенные испытания), может быть, имеет смысл публиковать некоторую программу испытания АВЗ по "болевым точкам"?

[QUOTE=santy;87760]Олег, несмотря на то, что новые версии АВЗ выходят как рабочий релиз (а значит, прошли определенные испытания), может быть, имеет смысл публиковать некоторую программу испытания АВЗ по "болевым точкам"?[/QUOTE]
По стути программа испытаний есть - это список доработок. По любой доработке мне интересны комментарии по ее работоспособности и глюкам.

[QUOTE=Зайцев Олег;87764]По стути программа испытаний есть - это список доработок. По любой доработке мне интересны комментарии по ее работоспособности и глюкам.[/QUOTE]

Ок. По запуску просмотра лога. Проверил режим исследования системы на виртуальной машине VMware - так и есть, лог запускается автоматом. А интерактивное формирование скрипта для лечения системы - это круто! Может быть в будущем, станет возможно автоматически сформировать скрипт для лечения системы в режиме исследования? :).

[QUOTE=santy;87774]Ок. По запуску просмотра лога. Проверил режим исследования системы на виртуальной машине VMware - так и есть, лог запускается автоматом. А интерактивное формирование скрипта для лечения системы - это круто! Может быть в будущем, станет возможно автоматически сформировать скрипт для лечения системы в режиме исследования? :).[/QUOTE]
Именно так и будет - я всячески буду развивать интерактивные функции протокола, чтобы по мере анализа можно было генерировать скрипт карантина/лечения. Кроме того, для хелперов и всех желающих скоро выходит навороченный редактор скриптов с функцией полувизуальной сборки скрипта.

[quote]
скоро выходит навороченный редактор скриптов с функцией полувизуальной сборки скрипта
[/quote]

остается присесть и сказать "ку" =) правда, по моему опыту, скрипты пишутся в основном админами достаточно гетерогенных локалок, так что там мало что визуализируешь и пропарсишь, особенно если админы - старые фанаты паскаля =)

Не могу понять,куда прописывается монитор в автозагрузку? И сколько он кушает памяти?
И еще. Ну, я установил монитор. И что дальше? Никаких диалогов, никаких менюшек... Как-то не интересно

[QUOTE=Nke22;87927]Не могу понять,куда прописывается монитор в автозагрузку? И сколько он кушает памяти?
И еще. Ну, я установил монитор. И что дальше? Никаких диалогов, никаких менюшек... Как-то не интересно[/QUOTE]
У AVZ нет монитора в прямом понимании - есть драйвер мониторинга системы. Будучи драйвером он и прописан как Boot-драйвер. Потребляет он около 40 кб памяти. Диалоги и менюшки ему не нужны - AVZ при очередном сканировании сам обнаржит его, запросит у него информацию и будет использовать в антирутките, менеджере процессов и объектов пространства ядра.

Олег, на моей конфигурации (указана выше) попытка удалить AVZPM заканчивается BSODом (нечто наподобие DRIVER_REMOVAL_WITHOUT_PENDING_OPERATIONS).

[QUOTE=NickGolovko;87943]Олег, на моей конфигурации (указана выше) попытка удалить AVZPM заканчивается BSODом (нечто наподобие DRIVER_REMOVAL_WITHOUT_PENDING_OPERATIONS).[/QUOTE]
Точнее, видимо, [I]Bug Check 0xCE: DRIVER_UNLOADED_WITHOUT_CANCELLING_PENDING_OPERATIONS[/I]. Минидамп (лучше, конечно, если их будет несколько) в студию! ;)

Конфигурация системы у вас непростая (Tiny, ZA, SSM и прочее с драйверами ядра)... Зачем, если не секрет, так много всего?

Сейчас у меня в ядре только KIS и SSM. :) Сделайте одолжение, напомните, куда дамп залить.. еще не заливал ни разу :)

Ошибка AVZ Guard: C0000034 это что за ошибка?это функция включить AVZ Guard.

[QUOTE=NickGolovko;87975]Сейчас у меня в ядре только KIS и SSM. :) Сделайте одолжение, напомните, куда дамп залить.. еще не заливал ни разу :)[/QUOTE]
Да просто сюда залейте архив (вместе с сообщением)...

Ловите. :)

[QUOTE=NickGolovko;88082]Ловите. :)[/QUOTE]
thanks... сейчас посмотрим.

[QUOTE=aintrust;88086]thanks... сейчас посмотрим.[/QUOTE]
Ага, ситуация более-менее прояснилась. В общем, так: в данной версии SSM (которая free), вероятно, есть небольшая ошибка. Подробности описывать не буду, ибо мало кому это интересно.

Как преодолеть?
1) удалить эту версию SSM и поставить текущую (у меня последний триал, версия 2.0.0.558, работает с AVZ без проблем);
2) если жалко удалять фришный SSM, то после загрузки драйвера AVZPM в AVZ его вообще не удалять. В принципе, драйвер AVZPM должен жить в системе, особо никому и ничему не мешая. Проблема только одна: при смене версии AVZ его все равно придется удалить, что, вероятнее всего, приведет к синьке; ;)
3) завтра подумаем с Олегом вот над чем: чтобы в дальнейшем избежать подобных "конфликтов" с SSM free, можно не сразу выгружать драйвер AVZPM, а просто удалять запись из реестра и стирать файл драйвера с диска в тот момент, когда пользователь скажет "удалить AVZPM". Иными словами, оставлять драйвер (и мониторинг) в работе до конца текущего сеанса.

Если поможете, мое счастье не будет знать границ :)
Суть: ставил 2003 se без sp, появились некоторые подозрения, решил прогнать антивирями, в том числе avz. Запустил - проверил, все ок. Перезагрузил, не стартует Kerio Winrout Firewall 6.2.2. Смотрю журнал виндовса, обратил внимание только на эту ошибку:
#1
Тип события: Ошибка
Источник события: IPSec
Драйвер IPSec перешел в режим блокировки. IPSec будет отбрасывать весь входящий и исходящий сетевой трафик TCP/IP, не разрешенный исключениями политики IPSec при загрузке. Действия пользователя: Чтобы восстановить полное незащищенное подключение TCP/IP, отключите службы IPSec и перезагрузите компьютер.
Тоесть он по сети ни туда ни обратно ничего не передает
не стал разбиратся т к комп новый, все снес поставил заново.
На втором компе (рабочий сервер терминалов :( , лог винды под рукой)
уже читал все. Ошибок всего 7 кажется, все разные и первая таже самая. Виндвос фактически еле работает. Как восстановить не знаю! Состояние шоковое.
P.S. не пойму как лог виндовса приклеить.

ОК, ясно.. :) Попробую поснимать хуки перед удалением ;) Да, вот еще кстати - прислали мне веселую статейку: [url]http://sunbeltblog.blogspot.com/2006/12/gromozon-has-evolved.html[/url]. Это некоторое преувеличение или впрямь серьезный вопрос? Как отреагирует AVZ? :)

[QUOTE=NickGolovko;88190]ОК, ясно.. :) Попробую поснимать хуки перед удалением ;) Да, вот еще кстати - прислали мне веселую статейку: [url]http://sunbeltblog.blogspot.com/2006/12/gromozon-has-evolved.html[/url]. Это некоторое преувеличение или впрямь серьезный вопрос? Как отреагирует AVZ? :)[/QUOTE]
В теории AVZ должен задетектить Громозона с включенным AVZPM - я именно потому и делал PM, что DKOM руткит - это архитривиальная штуковина с точки зрения реализации но крайне сложная с точки зрения детекта - если аккуратно все сделать, то зацепиться не за что - можно к примеру обнаружить маскируемый драйвер, но невозможно установить, кто он и откуда грузится. Аналогично с процессом - можно обраружить маскируемый процесс, но будет проблема с тем, что почти невозможно достоверно узнать его PID и имя исполняемого файла.

[QUOTE=unreg_stop;88188]Если поможете, мое счастье не будет знать границ :)
Суть: ставил 2003 se без sp, появились некоторые подозрения, решил прогнать антивирями, в том числе avz. Запустил - проверил, все ок. Перезагрузил, не стартует Kerio Winrout Firewall 6.2.2. Смотрю журнал виндовса, обратил внимание только на эту ошибку:
#1
Тип события: Ошибка
Источник события: IPSec
Драйвер IPSec перешел в режим блокировки. IPSec будет отбрасывать весь входящий и исходящий сетевой трафик TCP/IP, не разрешенный исключениями политики IPSec при загрузке. Действия пользователя: Чтобы восстановить полное незащищенное подключение TCP/IP, отключите службы IPSec и перезагрузите компьютер.
Тоесть он по сети ни туда ни обратно ничего не передает
не стал разбиратся т к комп новый, все снес поставил заново.
На втором компе (рабочий сервер терминалов :( , лог винды под рукой)
уже читал все. Ошибок всего 7 кажется, все разные и первая таже самая. Виндвос фактически еле работает. Как восстановить не знаю! Состояние шоковое.
P.S. не пойму как лог виндовса приклеить.[/QUOTE]
Без логов AVZ сказать что-то трудно, но ничего убить он не может по определению - в режиме сканирования никакие изменения в системе не делаются.

[QUOTE=NickGolovko;88190]ОК, ясно.. :) Попробую поснимать хуки перед удалением ;)...[/QUOTE]
Боюсь, что предварительно снятие хуков [I]SSM free[/I] не поможет, т.к. дело не в них, а в более глубинных вещах, а именно в мониторинге запуска процессов / загрузки образов, которые в [I]SSM[/I] и [I]AVZ[/I] делаются очень похожим способом. Я бы, если честно, советовал вам просто удалить [I]SSM free[/I] - у меня с ним, к примеру, наступают в разных местах жуткие тормоза, и мой безглючный комп вдруг начинает страшно глючить. ;) Вам решать, конечно, но, на мой взгляд, это не очень качественный продукт (не хочу обидеть автора, но перехватывать практически все вызовы в SSDT да плюс еще мониторить все подряд - это уже перебор!)