AVZ 4.25

Опять с Батом началось:
[QUOTE]!17.03.2007, 18:40:18: ANTIVIRUS - Антивирусная программа сообщает об ошибке, объект не может быть проверен на наличие вирусов[/QUOTE]
Даже отправить письмо не могу...

Как бы точно продиагностировать причину возникновения проблемы?
Лог АВЗ нормальный вроде.

[B]Менеджер Active Setup[/B] даёт суховатую информацию... Например:
[I]D:\WINDOWS\system32\regsvr32.exe Microsoft(C) Register Server[/I]

В некоторых других программах:
[U]Autoruns[/U]
[I]Windows Desktop Update Microsoft(C) Register Server d:\windows\system32\regsvr32.exe[/I]

[U]Browser Sentinel[/U]
[I]Windows Desktop Update[/I]
[I]Описание Windows Shell Common Dll[/I]
[I]Команда regsvr32.exe /s /n /i:U shell32.dll[/I]
[I]Файл D:\WINDOWS\system32\shell32.dll[/I]
[I]Размещение HKLM Software\Microsoft\Active Setup\Installed Components\{898...[/I]

[U]A2HijackFree[/U]
[I]{89820200-ECBD-11cf-8B85-00AA005B4340} regsvr32.exe /s /n /i:U shell32.dll[/I]

Остальные тоже ограничиваются командой и CLSID-ом (HijackThis - не смотрел).

Windows Desktop Update вроде не должно быть в XP и IE6. На оффсайте упоминается загружаемый Update.exe. Недавно какой-то Update.exe (TR/Crypt.XPACK.Gen // Generic.Dialer. К сожалению, немногие на Вирустотале его опознали) захаживал (лежал на десктопе и не было видно его, прописал себя в исключениях Файерволла Виндоуса.). Если пункт в реестре оставил он, то я буду думать, нужен ли мне Windows Desktop Update. :) Но менеджер указывает лишь на regsvr32...

Олег, а когда AVZ в полную силу заработает на 64 разрядной операционке?

Обновилась русскоязычная версия AVZ - пофиксен ряд багов, которые вылезли в ходе тестирования.

[quote=Зайцев Олег;100422]Обновилась русскоязычная версия AVZ - пофиксен ряд багов, которые вылезли в ходе тестирования.[/quote]
А номер версии не будет меняться? (типа: 4.24.1)

[QUOTE=DoSTR;100433]А номер версии не будет меняться? (типа: 4.24.1)[/QUOTE]
Нет, многозначную версию я не делаю - она в скриптах применяется для контроля версии. Но в окне "О программе" выводится "4.24 r2" - где r - [B]R[/B]elease, цифра - номер релиза

Только что скачал свежий архив AVZ, запустил, и вот что получил
[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]В чём тут дело?

Олег, просьба на [url]http://www.z-oleg.com/secur/avz/download.php[/url] писать данные (размер, md5) и для Bat plugin.

[QUOTE=userr;100496]Олег, просьба на [url]http://www.z-oleg.com/secur/avz/download.php[/url] писать данные (размер, md5) и для Bat plugin.[/QUOTE]
ОК, завтра сделаю. Я еще и по архиву AVZ.ZIP данные поправлю.
----
Как баг в антикейлоггере, исчез ?

@Олег Вопросик возник: BootCleaner добавляет в карантин файлы с расширением dat, а обычный dta. Это баг, или фича :-)

См. карантин к теме 8481.

Олег, почему бы не сделать отдельную утилиту для обновления самой программы, а не только AV баз.

[QUOTE=Mad Scientist;99700]Прописал в [B]"HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon"[/B]...
[B]"С:\WINDOWS\system32\userinit.exe,C:\test.exe"[/B]
...[/QUOTE]
-> C:\test.exe не опознан как безопасный (черный цвет), но удалить/отключить этот параметр невозможно

Здорово! Только, похоже, т.к. [B]userinit.exe[/B] был опознан как безопасный системный процесс и уделение/отключение его было невозможным, то это свойство было унаследовано и C:\test.exe.
Также при запуске v4.24 r2 почему-то не загружается автоматически avz_profile.prf (ждем до 4.25?, хотя автозагрузка параметров не так уж и необходима)

пожелание: многие зловреды при запуске правят реестр на предмет отключения некоторых ф-ций - возможности запуска регедита, показа скрытых файлов и т.д.
Нельзя ли сделать фичу, восстанавливающую "нормальное" состояние этих параметров?

ЗЫ: Если это уже реализованно, просьба ногами не пинать, а подсказать хде это :)

наблюдаю вылет из программы при вызове Менеджера внедренных DLL под w2k/sp4 ws - проверил на 4-х машинах :( Под winxp все нормально.

[QUOTE=Flooter;100586]пожелание: многие зловреды при запуске правят реестр на предмет отключения некоторых ф-ций - возможности запуска регедита, показа скрытых файлов и т.д.
Нельзя ли сделать фичу, восстанавливающую "нормальное" состояние этих параметров?

ЗЫ: Если это уже реализованно, просьба ногами не пинать, а подсказать хде это :)[/QUOTE]
Эта функция есть - Файл/Восстановление системы. Там есть микропрограмма для удаления Policies.

[QUOTE]пожелание: многие зловреды при запуске правят реестр на предмет отключения некоторых ф-ций - возможности запуска регедита, показа скрытых файлов и т.д.
Нельзя ли сделать фичу, восстанавливающую "нормальное" состояние этих параметров?

ЗЫ: Если это уже реализованно, просьба ногами не пинать, а подсказать хде это[/QUOTE]

AVZ - файл- востановление системы

[QUOTE=AStr;100594]наблюдаю вылет из программы при вызове Менеджера внедренных DLL под w2k/sp4 ws - проверил на 4-х машинах :( Под winxp все нормально.[/QUOTE]
На W2K проверю - нужно только будет найти W2K SP4.

[quote=Mad Scientist;100531]-> C:\test.exe не опознан как безопасный (черный цвет), но удалить/отключить этот параметр невозможно

Здорово! Только, похоже, т.к. [B]userinit.exe[/B] был опознан как безопасный системный процесс и уделение/отключение его было невозможным, то это свойство было унаследовано и C:\test.exe.
Также при запуске v4.24 r2 почему-то не загружается автоматически avz_profile.prf (ждем до 4.25?, хотя автозагрузка параметров не так уж и необходима)[/quote]
1. Удалить/отключить параметр невозможно, так как он описан как "системный" и для него действует тольк опция "восстановить". Это свойство распространяется на все элементы, найденные из ключа (в данном случая это C:\test.exe и userinit.exe, и у обоих одентичная опция - восстановить, восстанавливающая ключ запуска userinit.exe
2. Профиль по умолчанию должен называться avz.prf, а не avz_profile.prf - поэтому он и не грузится.

[QUOTE=Andrey;100530]Олег, почему бы не сделать отдельную утилиту для обновления самой программы, а не только AV баз.[/QUOTE]
Сделать можно, оно уже сделано в текущей версии апдейтера - но тогда трафик моего сайта возрастет с 400 ГБ до 2-4 терабайт в месяц, и он "ляжет" окончательно. Сейчас в миру гуляет несколько миллионов копий AVZ, из них около 80-100 тыс активных (т.е. в месяц хотя-бы одно обновление баз). Только одно обновление баз порождает непрерывный шквал запросов, я уже думаю сделать еще 1-2 зеркала для баз и avz.zip

[QUOTE=PavelA;100513]@Олег Вопросик возник: BootCleaner добавляет в карантин файлы с расширением dat, а обычный dta. Это баг, или фича :-)

См. карантин к теме 8481.[/QUOTE]
Это баг, исправлю - расширение должно быть одинаковое

[quote=Зайцев Олег;100601]На W2K проверю - нужно только будет найти W2K SP4[/quote]

Да, к сожалению Аксесс бла-бла-бла - при попытке запуска Менеджера внедрённых ДЛЛ три раза выскакивает окно об ошибке и АВЗ подвисает намертво...
Скриншот прилагается.
Система именно такая, как указано.

[QUOTE=Зайцев Олег;100601]На W2K проверю - нужно только будет найти W2K SP4.[/QUOTE]

можно и на w2k/w3k server проверить - есть access violation...
на одной w2k/ws тоже, а на 4-х просто закрытие окна AVZ

[QUOTE=AStr;100620]можно и на w2k/w3k server проверить - есть access violation...
на одной w2k/ws тоже, а на 4-х просто закрытие окна AVZ[/QUOTE]
В том то и проблема - я тестировал на W2K SP3 rus и W2K3 SP1 Ent Server en - все рабатает. Т.е. у меня проблема в том, что я не могу воспроизвести ситуацию.

[quote=AStr]при попытке запуска Менеджера внедрённых ДЛЛ три раза выскакивает окно об ошибке и АВЗ подвисает намертво...
[/quote]
На WinServer 2000 SP4 rus то же самое. Процесс AVZ зависает и грузит процессор на полную.
Запускал через терминал.

@Олег
Что это?? тема 8545
>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных

Просьба заценить записи файла HOSTS.

Протокол живой, лечим Brontok на форуме ЛК.

[QUOTE=NickGolovko;100717]Просьба заценить записи файла HOSTS.

Протокол живой, лечим Brontok на форуме ЛК.[/QUOTE]
Ага - надо будет пару тегов воткнуть, чтобы HTML воспринималься как текст :) Кстати, причина этого интересно - часто бывает так, что зловред загружает файл hosts с некоторого сайта и тупо заменяет им системный. Если сайт зловредописателей прикроют, вместо Hosts вернется html страничка, обычно напичканная рекламой - вот и получается казус в логе :)

Handl'ы dll (диспетчер процессов)в HEX, а в отчетах(html) в integer

У меня на W2K3R SP2 Ent Server х64 eng работает,ошибок вроде пока нет.

Вот выдало вдруг в самом конце:
[QUOTE]---------------------------
Антивирусная утилита [B]AVZ[/B].Идет проверка, [B]100%[/B]
---------------------------
Access violation at address 1330ECE3 in module [B]'avz.exe'[/B]. Read of address FFFFFFFF.
---------------------------
OK
[/QUOTE] Кто спровоцировал?

На Win2k AS sp4 и WinXP Prof SP1 вылезает три раза Access Violation при запуске "Менеджер внедренных DLL";
На WinXP SP2 такая ошибка появляется при проверке (не всегда), как только выводится строка [SIZE=2]
"5. Поиск перехватчиков событий..."
[/SIZE]

[QUOTE=Silencer;101204]На Win2k AS sp4 и WinXP Prof SP1 вылезает три раза Access Violation при запуске "Менеджер внедренных DLL";
На WinXP SP2 такая ошибка появляется при проверке (не всегда), как только выводится строка [SIZE=2]
"5. Поиск перехватчиков событий..."
[/SIZE][/QUOTE]
Это известный баг, проявился в 4.24, к вторнику-среде планируется его окончательно пофиксить (он проявляется хитро - не на всех системах и не всегда).

Вопрос, он же предложение:
Нельзя ли как-то упростить внесение файлов в список безопасных - например, ввести понятие "локально безопасных" файлов - которые сам юзер помечает как безопасные и они заносятся в локальную базу безопасных файлов - потом АВЗ автоматически берёт эти файлы, их MD5, названия программ, сайты, откуда они взяты - и отправляет Вам, где эти файлы проверяются. Затем они уже вносятся в общую базу безопасных.

Просто масса программ, явно безопасных, мозолит глаза в анализаторах и логах: Ява, Аваст, КламВин, Тотал Коммандер, Бат, Миранда и прочее...

Или есть простой путь пометки файлов как безопасных, я просто о нём не знаю? :)

[QUOTE]Или есть простой путь пометки файлов как безопасных, я просто о нём не знаю?[/QUOTE]
Есть. Выполните процедуру описанную [URL="http://www.virusinfo.info/showthread.php?t=3519"]здесь[/URL].

Спасибо, залил :)

[QUOTE=Nick222;101606]Спасибо, залил :)[/QUOTE]
Спасибо, я потихоньку скачиваю эти архивы и помещаю в базу чистых.
------
Сегодня кстати знаменательное событие - утром был пойман и прописан в базу 100.000-й зловред :)

[QUOTE=Зайцев Олег;101657]Спасибо, я потихоньку скачиваю эти архивы и помещаю в базу чистых.
------
Сегодня кстати знаменательное событие - утром был пойман и прописан в базу 100.000-й зловред :)[/QUOTE]

Поздравляю!

Кажется, совсем недавно было 10-15тыс. Хотя это и сомнительный повод для нас. Такими темпами растет количество вредоносных программ!

[quote=Зайцев Олег;101657]потихоньку скачиваю эти архивы и помещаю в базу чистых[/quote]

Надеюсь, с предварительной проверкой - мало ли чего юзера накачают... ;)

[QUOTE=santy;101660]Поздравляю!

Кажется, совсем недавно было 10-15тыс. Хотя это и сомнительный повод для нас. Такими темпами растет количество вредоносных программ![/QUOTE]
В том то и беда - количество разновидностей и модификаций зловредов растет со страшной силой. К примеру только одних Hoax программ за последние полгода лично мной зафиксировано 224 разновидности, пинчей более 700 ...

Интересно, что фактически Интернет уже давно походит на имунную систему живого организма - с примерно теми же реакциями и агентами - а участники Сети как составляющие этой системы :)