AVZ 4.30

[QUOTE='DimaT;429390']Цитата:
"Скрипт не совсем корректный"
Уточни мысль...
Я его взял в разделе "Помогите"...
[/QUOTE]
Потому что в Правилах "Помогите" красным по белому написано
[QUOTE]Пожалуйста, не выполняйте скрипты лечения, написанные для других пользователей. Каждый случай уникален, Вы можете нанести вред и Вашему компьютеру, и нашему сервису. За последствия, наступившие в случае невыполнения данного пункта, портал VirusInfo ответственности не несет! В данном случае администрация ресурса имеет право отказать в оказании помощи без пояснения причин.[/QUOTE]

Обнаружил, что в скриптах AVZ нет функции, возвращающей атрибуты указанного файла - иногда полезно искать exe-файлы с атрибутом hidden.

[QUOTE=Oyster;430917]Обнаружил, что в скриптах AVZ нет функции, возвращающей атрибуты указанного файла - иногда полезно искать exe-файлы с атрибутом hidden.[/QUOTE]
Как это нет ? См. [URL]http://z-oleg.com/secur/avz_doc/script_filesearch.htm[/URL] - специальный класс для поиска файлов, там есть свойство FileAttr

При выполнении стандартного скрипта №4 (сбор подозрительных файлов) через меню появляется ошибка:
[CODE]Ошибка выполнения команды RUNSCAN, ошибка - Access violation at address 00403D12 in module 'avz.exe'. Read of address 00000031[/CODE]
Что может быть?
Если выполнять то же самое через скрипт
[CODE]begin
ExecuteStdScr(4);
end.[/CODE]
пишет, что скрипт выполнен успешно, при этом архив в папке логов пустой. Выполнение длится всего 1-2 секунды.
Неужели у меня на компьютере нет нераспознанных объектов? На компьютере стоит много софта, в т.ч. и специфического.

[QUOTE=efimov.sergey;431579]При выполнении стандартного скрипта №4 (сбор подозрительных файлов) через меню появляется ошибка:
[CODE]Ошибка выполнения команды RUNSCAN, ошибка - Access violation at address 00403D12 in module 'avz.exe'. Read of address 00000031[/CODE]Что может быть?
Если выполнять то же самое через скрипт
[CODE]begin
ExecuteStdScr(4);
end.[/CODE]пишет, что скрипт выполнен успешно, при этом архив в папке логов пустой. Выполнение длится всего 1-2 секунды.
Неужели у меня на компьютере нет нераспознанных объектов? На компьютере стоит много софта, в т.ч. и специфического.[/QUOTE]Странно, что-то мешает. Антивирус и другой защитный софт отключали перед запуском авз? Новые логи по правилам не помешают;)

[QUOTE=drongo;431587]Странно, что-то мешает. Антивирус и другой защитный софт отключали перед запуском авз? Новые логи по правилам не помешают;)[/QUOTE]

Нод отключал при выполнении. Других защит нет. На вирусы проверял, чисто. Последний раз делал логи 09.07.2009, вот тема:
[url]http://virusinfo.info/showthread.php?t=49623[/url]
Но эта проблема началась несколько раньше.
Остальные скрипты работают нормально. Права администратора.

Полный лог выполнения скрипта прикрепил.

[QUOTE=efimov.sergey;431590]Нод отключал при выполнении. Других защит нет. На вирусы проверял, чисто. Последний раз делал логи 09.07.2009, вот тема:
[URL]http://virusinfo.info/showthread.php?t=49623[/URL]
Но эта проблема началась несколько раньше.
Остальные скрипты работают нормально. Права администратора.

Полный лог выполнения скрипта прикрепил.[/QUOTE]
Операционка обычная или какая-то сборка ?

[QUOTE=Зайцев Олег;431597]Операционка обычная или какая-то сборка ?[/QUOTE]
WinXP, лицензия.

При анализе автозапуска AVZ благополучно находит файл, даже если путь к нему явно не задан. При условии, что путь к файлу среди перечисленных переменной окружения path.
Проверил, функция QuarantineFile не использует переменные окружения. Так и задумано?
А такой скрипт якобы "выполняется без ошибок". На самом деле Avira защищает эту ветку, в итоге ничего не добавляется.
[QUOTE]begin
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\AntiVirSchedulerService',' ZZZ','zzz');
end.[/QUOTE]

По поводу моего сообщения выше о неработающем антивирусном плагине для Бата: производитель Бата выпустил новую версию своей программы (пока бету) и вроде бы исправил эту проблему (оказалось, не работали [U]все[/U] антивирусные плагины).
Отбой тревоги и спасибо :)

[QUOTE=Nick222;432781]По поводу моего сообщения выше о неработающем антивирусном плагине для Бата: производитель Бата выпустил новую версию своей программы (пока бету) и вроде бы исправил эту проблему (оказалось, не работали [U]все[/U] антивирусные плагины).
Отбой тревоги и спасибо :)[/QUOTE]
Я так и подумал - у меня в BAT все работает, но обновляю я его не часто и ставлю только стабильные версии (бат у меня как и все прочие программы лицензионный - когда он начинает надоедать сообщением о том, что вышла новая версия, я ее качаю и ставлю. Но надоедает он избирательно - видимо только при выходе стабильных релизов)

Здравствуйте. При просмотри логов можно заметить следующий пункт:-
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (@%SystemRoot%\System32\termsrv.dll,-268)
>> Службы: разрешена потенциально опасная служба SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
>> Службы: разрешена потенциально опасная служба Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)

В принципе Мне как рядовому пользователю ПК не совсем понятно, почему АВЗ считает эти, и именно эти, службы столь опасными, т.к. в книжке [URL="http://security-advisory.virusinfo.info/"][COLOR=#0532aa]http://security-advisory.virusinfo.info/[/COLOR][/URL]
эти службы вообщем-то описываются как скорее средней опасности или даже наименьшей( в частности SSDP)

Я дико извиняюсь - но вы понимаете разницу между "потенциально опасный" и "опасный"?

[B]Torvic99[/B], Ну они в книжке тоже не потенциально опасные, вот например-
Служба SSTP [SSTP Service]
Этот сервис обеспечивает поддержку протокола безопасного
туннелирования сокетов (Secure Socket Tunneling Protocol) для
безопасного подключения к удаленным компьютерам с помощью
виртуальной частной сети (Virtual Private Network, VPN). Так как от этой
службы в Windows Vista SP1 зависит Диспетчер подключений
удаленного доступа, отключить ее полностью не представляется
возможным.

Я не утверждаю, что они безопасные, Я интересуюсь, почему именно они?


Тьфу, Я буквы перепутал и службы тоже SSTP c SSDP:)

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Сорри.
Это что получается, что
>> Службы: разрешена потенциально опасная служба SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
Служба обнаружения?
>> Службы: разрешена потенциально опасная служба Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)
Планировщик заданий

>> Службы: разрешена потенциально опасная служба TermService (@%SystemRoot%\System32\termsrv.dll,-268)
А это тогда что такое? Я думал это диспетчер подключений удалённого доступа

К разным антивирусам, считающим компоненты AVZ опасными, присоединилась Microsoft Windows Malicious Software Removal Tool - антируткитный драйвер AVZ определила как Trojan:WinNT/Bagle.A :)

[B]Oyster[/B], [url]http://virusinfo.info/showthread.php?p=417404#post417404[/url]
и следующие посты

[QUOTE=Kuzz;434022][B]Oyster[/B], [url]http://virusinfo.info/showthread.php?p=417404#post417404[/url]
и следующие посты[/QUOTE]

И тем не менее, думаю уже пора что-то делать. Это не срабатывание эвристики а конкретный детект. Нужно либо начинать писать что бы убрали детект, или менять драйвер. Потому как, например, я иногда на работе использую АВЗ что бы помочь сотрудникам избавиться от заразы. Но если наш антивирус начнет детектить АВЗ, то использовать его станет невозмозгно т.к. антивирус не отключить. Да и админ может начать возмущаться.

[QUOTE=Geser;434050]Это не срабатывание эвристики а конкретный детект. Нужно либо начинать писать что бы убрали детект[/QUOTE]Искал контакты на сайте майкрософта, нашёл [url]http://support.microsoft.com/kb/921159/en-us[/url] Написал как фолс на spyware, надеюсь, что спецы по Windows Defender передадут куда надо.

[QUOTE]Нужно либо начинать писать что бы убрали детект[/QUOTE]

Я уже давно и не один раз писал во все virus lab'ы, кто-то путевый отреагировал и поправил, а остальные промолчали и не поправили рекорду...

[QUOTE=Гриша;434135]Я уже давно и не один раз писал во все virus lab'ы, кто-то путевый отреагировал и поправил, а остальные промолчали и не поправили рекорду...[/QUOTE]

Та же история. Особенно мне не понравилась реакция Симантек, до их вирлаба вообще почти не достучатся, связался с саппортом через форму на сайте и попросил передать инфу их вирлабу, так они вместо этого начали мне объяснять, как мне занести файл в исключения из проверки их антивируса :D А ложняк так и не убрали.

В скриптовом языке функция [B]Random[/B] возвращает extended вместо ожидаемого integer. Кроме того, она не имеет аргументов. Это окончательный вариант функции?

[B]antanta[/B], а вам интересно удалять рандомные ф-лы? :D

Честно говоря, не совсем понял, я плохо знаю ntfs. Вроде бы там есть уникальные идентификаторы файлов? Вы про это?
Впрочем, вы почти угадали. :) Только сперва я хочу создать папку с рандомным названием. Для проверки прав на запись. А потом удалить. Другого способа проверить пермишны я пока не нашел. А прежде, чем вызывать cacls, логично убедиться в необходимости. Кстати, AVZ легко читает и пишет в System Volume Information(если запущен от админа), даже если прав у админа пока нет. Я позновато это заметил. Ну, раз уж написал функцию, надо довести до ума.Пусть будет. :)

[QUOTE=antanta;434563]В скриптовом языке функция [B]Random[/B] возвращает extended вместо ожидаемого integer. Кроме того, она не имеет аргументов. Это окончательный вариант функции?[/QUOTE]
Да, так как эта функция без проблем генерирует целочисленные значения:
[CODE]
begin
randomize;
AddToLog(FloatToStr(random));
AddToLog(IntToStr(trunc(random*1000)));
end.
[/CODE]

После [U]недели[/U] непрерывной работы The Bat с антивирусным плагином от AVZ исходящие письма перестали проверяться на вирусы.
При этом получаю сообщение - написано в файле ex_log.txt в почтовой директории:
[QUOTE]AntiVirus:12 EAccessViolation Access violation at address 05E41C82 in module 'avz_thebat.BAV'. Write of address 7C9B0953[/QUOTE]
И таких сообщений - совершенно одинаковых - очень много.

Вроде бы, антивирусный плагин АВЗ для Бата подгружает базы по вирусам в момент запуска Бата.
Если Бат работает долго (у меня - неделю непрерывно), то базы AVZ за это время несколько раз обновятся - и какие-то файлы в оперативной памяти могут перестать соответствовать файлам на диске?

Когда выгружаешь и заново запускаешь Бат - эта проблема на некоторое время исчезает.

Бат версия 4.2.7.2 бета (предыдущие версии вообще с антивирусными плагинами не работали - глючили).

Это можно как-то исправить?
Разработчикам Бата написал тоже.

Вопрос по добавлению в базу безопасных файлов
[url]http://virusinfo.info/showthread.php?t=3519[/url]

Отправил 20 дней назад более 30 файлов, проверял, до сих пор не добавлены. Часть их них - файлы Microsoft.

Через сколько примерно времени они будут в базе?

И другой вопрос - может есть смысл скачивать все обновления и файлы (сервис паки, дистрибутивы, проги) с сайта Microsoft и автоматом добавлять в базу безопасных АВЗ и Касперского?
Осуществить это вроде не очень трудно...
Или от этого размер базы недопустимо сильно выростит?

[QUOTE=tempnet;436229]Вопрос по добавлению в базу безопасных файлов
[URL]http://virusinfo.info/showthread.php?t=3519[/URL]

Отправил 20 дней назад более 30 файлов, проверял, до сих пор не добавлены. Часть их них - файлы Microsoft.

Через сколько примерно времени они будут в базе?

И другой вопрос - может есть смысл скачивать все обновления и файлы (сервис паки, дистрибутивы, проги) с сайта Microsoft и автоматом добавлять в базу безопасных АВЗ и Касперского?
Осуществить это вроде не очень трудно...
Или от этого размер базы недопустимо сильно выростит?[/QUOTE]
Файлы MS должны иметь валидную ЭЦП и распознаваться как безопасные без базы чистых. Если это не происходит, то это уже само по себе странно. С точки зрения базы чистых - никто же не обещал, что туда попадет все, что присылается через указанную форму... туда попадает то, что распространено у пользователей

[QUOTE=Зайцев Олег;436238]Файлы MS должны иметь валидную ЭЦП и распознаваться как безопасные без базы чистых. Если это не происходит, то это уже само по себе странно. С точки зрения базы чистых - никто же не обещал, что туда попадет все, что присылается через указанную форму... туда попадает то, что распространено у пользователей[/QUOTE]

Например эти файлы не распознаются (MS) и присутствуют в каждом третьем логе, в том числе и у меня:):
[CODE]C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Configuration\bdb4b7c58ec9264fa0409fbe83d9270c\System.Configuration.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\mscorlib\7e22c4290a5d0046b7443698955211e1\mscorlib.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Configuration\bdb4b7c58ec9264fa0409fbe83d9270c\System.Configuration.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Drawing\b7cfa1483253cd4fa96b0bd9c808ce05\System.Drawing.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Web\a469b6717b9207409a7e7e2c85351de0\System.Web.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Windows.Forms\c2375d7f1217fc4381b2bc21274c3481\System.Windows.Forms.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Xml\335a330b745f6c4a8467fc2e0e3fc791\System.Xml.ni.dll
C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System\0e8ea656abd3664d95765ccef6a40089\System.ni.dll[/CODE]

В базе безопасных их нет (присылал 20 дней назад)....

[B]Зайцев Олег[/B]
Прошу прощения - нельзя ли слегка потестировать антивирусный плагин для Бат - разработчики Бата открещиваются от проблемы, а ситуация повторяется и в версии Бата 4.2.9.0 - причём, только с данным антивирусным плагином - плагин от Avast такого эффекта не даёт - хоть не выгружай Бат две недели подряд.

Объясните мне, пожалуйста, почему перед запуском avz необходимо ПОЛНОЕ удаление антивируса McAfee (у меня стоит VirusScan Enterprise 8.7 p1)??? о такой необходимости описано в Правилах форума ВирусИнфо.
С чем связано данное требование?

Спасибо.

[QUOTE=Nick222;436261][B]Зайцев Олег[/B]
Прошу прощения - нельзя ли слегка потестировать антивирусный плагин для Бат - разработчики Бата открещиваются от проблемы, а ситуация повторяется и в версии Бата 4.2.9.0 - причём, только с данным антивирусным плагином - плагин от Avast такого эффекта не даёт - хоть не выгружай Бат две недели подряд.[/QUOTE]
Это и без тестирования ясно ... вина тут разработчиков Бата на самом деле. Они делают следующее - при старте бата инициализаируют плагин, при анациалиазции идет загрузка баз и т.п. И все, затем они только делают вызовы типа "проверить файл", а повторную загрузку/выгрузку или инициализацию не делают. Плагин от Аваста наверное просто периодически перезагружает базы по таймеру, я могу сделать нечто подобное.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Crack;436281]Объясните мне, пожалуйста, почему перед запуском avz необходимо ПОЛНОЕ удаление антивируса McAfee (у меня стоит VirusScan Enterprise 8.7 p1)??? о такой необходимости описано в Правилах форума ВирусИнфо.
С чем связано данное требование?

Спасибо.[/QUOTE]
У разработчиков этого антивируса есть две проблемы - он пропускает вирусы и детектит AVZ как зловреда, причем фолса известна давно. Поэтому если человек обращается за помощью и у него McAfee, то логично предположить, что он его не защитил от вируса и его удаление прото необходимо, иначе он будет защищать пропущенные им вирусы от AVZ :)

[B]Зайцев Олег[/B]
[QUOTE=Зайцев Олег;436326]Плагин от Аваста наверное просто периодически перезагружает базы по таймеру, я могу сделать нечто подобное[/QUOTE]
Это было бы очень хорошо - я уже устал с разработчиками Бата бодаться - у них корона в потолок упирается, а одного антивирусного плагина от Аваста маловато (у него база средненькая и обновляется медленно), а антивирусный плагин для ClamWin так стабильно и не заработал.

Плагин от КИСа 2010 в последних версиях БАТа работает вроде как нормально...

[B]gjf[/B]
Что такое "плагин от КИСа" и при чём тут АВЗ ?!?

[QUOTE]а одного антивирусного плагина от Аваста маловато (у него база средненькая и обновляется медленно), а антивирусный плагин для ClamWin так стабильно и не заработал.[/QUOTE]
Я и говорю, кроме Аваста и ХламВин существует антивирусный модуль от Kaspersky Internet Security.

[B]gjf[/B]
1) Чтобы поставить антивирусный модуль от КИС - нужно установить сам КИС - зачем мне это, если у меня стоит бесплатный Аваст?!?
АВЗ я использую отдельно - считая затею с его "включением" в КИС - "разводом лохов" (ИМХО).

2) Практически любой антивирус имеет (в своём составе или отдельно) модуль для Бат - мне что, все антивирусы перепробовать? Зачем?

Касперского я считаю полным отстоем и пробовать не буду ближайшие 10 лет: он один раз меня спас под DOS-ом и три раза развалил мне систему под Виндами - так что пусть идёт лесом. К тому же, у тех, у кого он стоит из моих знакомых - проблемы со стабильностью системы, своевременными обновлениями и отжиранием системных ресурсов остаются.

Да и зачем платить деньги, если их можно не платить? Чем КИС так уж лучше Аваста?!?

К тому же, здесь мы обсуждаем АВЗ, а не КИС - они друг к другу имеют очень мало отношения...

[B]Nick222[/B], чего Вы нервничаете? Если мы обсуждаем AVZ - тогда при чём здесь Ваши Аваст и ClamWin? Был вопрос о несрабатывании модуля под Батом - был ответ. Учитывая то, что Олег сейчас работает в ЛК возможно, информация о том, что модуль КИС работает успешно - будет ему полезна.

[B]gjf[/B]
По-моему, Вы просто не в теме...

Я привёл пример модулей от ClamWin и Avast - как объяснение недостаточности существующих антивирусных модулей для Бата от [U]бесплатных[/U] антивирусов - пытаясь объяснить заинтересованность пользователя в таком плагине от АВЗ.

Что касается "работы ОЗ в ЛК" - то Вы бы сначала разобрались в ситуации...

К тому же, у меня создаётся ощущение, что во всех резидентных (т.е. постоянно работающих) антивирусах работа с базами устроена совсем другим способом, чем в "одноразово" запускаемой утилитой АВЗ - и описанная мной проблема с их плагинами для Бата просто изначально возникнуть не может.

[QUOTE]объяснение недостаточности существующих антивирусных модулей для Бата от бесплатных антивирусов - пытаясь объяснить заинтересованность пользователя в таком плагине от АВЗ.[/QUOTE]
Бесплатное решение от Avira великолепно ловит вирусы, встраиваясь проксёй в SMTP/POP3/IMAP трафик. И не нужно плагинов :) Это к теме доступности бесплатных решений.

А вообще - давайте не будем оффтопить. Суть - существуют плагины, которые безболезненно пережили последние обновления Бата. AVZ - пока не в их числе. На этом и порешили.

[B]gjf[/B]
Вы странный человек - Вы сначала сами загнали беседу в оф-топик, затем сами же мне затыкаете рот :)))

Стоило мутить базар - чтобы повторить в конце мою же фразу?

ЗЫ: И Аваст и другие антивирусы (в т.ч. бесплатные) поддерживают почтовый прокси - но я предпочитаю в Бате пользоваться плагинами.