AVZ 3.80 - тестирование, обсуждение, предложения по доработке

[QUOTE=MOCT]
означает ли это, что скоро будет новая версия? :-)
[/QUOTE]
Несомненно - после выходных


[QUOTE=MOCT]
просто использование термина "Vir" сразу смущает
[/QUOTE]
Меня это тоже смущает - но менять исторически прижившийся ключ проблемно

[QUOTE=MOCT]
интересно, а как Вы решили для себя снятие некоторых крипторов, типа MEW или Yoda Crypt?
[/QUOTE]
А их снять достаточно просто - если идти по пути SandBox ... - т.е. рано или поздно продукт распакуется и начнет исполнение. Второй путь - распаковка пошаговой эмуляцией - нечто подобное сделано в VBA

[QUOTE=MOCT]
p.s. программу скачал, буду тестировать. надеюсь, что другие замеченные проблемы и пожелания будут учтены в ближайших версиях.
[/QUOTE]
Замечаниям/предложениям я всегда рад, тем более что мелкие замечания достаточно легко править ...

[QUOTE=Зайцев Олег]
Меня это тоже смущает - но менять исторически прижившийся ключ проблемно
[/QUOTE]
можно оставить старый, но в новых релизах (в хелпе) афишировать только новый. имена будут разные, а выполнять одно и то же.

[QUOTE=Зайцев Олег]
А их снять достаточно просто - если идти по пути SandBox ... - т.е. рано или поздно продукт распакуется и начнет исполнение.
[/QUOTE]
а как же anti-debugging tricks? :)

Предлагаю в лог AVZ (и текстовый, и HTM) включать версию ОС и, опционально, версию броузера.

При наведении курсора в карантине на кнопку "восстановить" в подсказке - "удалить отмеченные файлы"

Олег! Внеси пожалуйста в базу чистых файлов библиотеку или полностью прогу WinPatrol 9.7.0.22 (АВЗ перехватывает работу монитора WinPatrol) [url]http://www.winpatrol.com/cgi-bin/version.pl?&userid=1C10101001&build=9.7.0.22:9.7.0.22&Loc=en[/url]

C:\PROGRA~1\BILLPS~1\WINPAT~1\PATROLPRO.DLL --> Подозрение на Keylogger или троянскую DLL

По поводу упорядочивания имен. Игорда получаются смешные ситуации - когда три файла из одного пакета называются тремя разными именами. Например как тут:

C:\temp\SmileyCentralInitialSetup1.0.0.8.cab>>>>> Âèðóñ !! Spy.FunWebProducts
C:\temp\SmileyCentralInitialSetup1.0.0.8.cab/{CAB}/f3initialsetup1.0.0.8-2.inf>>>>> Âèðóñ !! Spy.MyWebSearch
C:\temp\SmileyCentralInitialSetup1.0.0.8.cab/{CAB}/f3Setup1.exe>>>>> Âèðóñ !! AdvWare.ToolBar.MyWebSearch

кстати, не знаю как будет читаться слово "Вирус" после отправки этого сообщения, но этот кусок я скопировал прям из окна программы АВЗ.

Вот эти два тоже из одного источника:
EGDACCESS_1059_XP.cab/{CAB}/EGDACCESS_1059.dll>>>>> Âèðóñ !! Dialer.Win32.InstantAccess
svcsysnet32_FR_XP.cab/{CAB}/svcsysnet32.dll>>>>> Âèðóñ !! Dialer.Win32.E-Group.q
но имена почему-то разные...

[B]Олег[/B]
Самый продолжительный этап ,естественно
[B]3. Сканирование дисков[/B]
Но до его завершения никакой информации нет.
Специально ожидаешь полное завершение?

Короче прикол такой. Иду в "Модули пространства ядра", и вужу там два драйвера которые не зелёные. Пытаюсь найти их на диске, а файлов с такими именами нет. В чём прикол?

[QUOTE=Geser]Короче прикол такой. Иду в "Модули пространства ядра", и вужу там два драйвера которые не зелёные. Пытаюсь найти их на диске, а файлов с такими именами нет. В чём прикол?[/QUOTE]
Это известная "шутка юмора", допустимая для драйверов. Суть ее в том, что можно создать на диске файл *.sys, загрузить его как драйвер и тут-же удалить. Т.е. драйвер спокойно висит в памяти, а файла на диске давно нет. Такое еще, кстати, очень хорошо можно наблюдать на программах от SysInternals - можно запустить тот-же RegMon - драйвер от него виден в модулях пространства ядра, а на диске его нет.

[QUOTE=Зайцев Олег]Это известная "шутка юмора", допустимая для драйверов. Суть ее в том, что можно создать на диске файл *.sys, загрузить его как драйвер и тут-же удалить. Т.е. драйвер спокойно висит в памяти, а файла на диске давно нет. Такое еще, кстати, очень хорошо можно наблюдать на программах от SysInternals - можно запустить тот-же RegMon - драйвер от него виден в модулях пространства ядра, а на диске его нет.[/QUOTE]
Тогда вопрос такой. С целью индентификации и исследования (скажем какой вредоносный/чистый драйвер, нужно получить его код для внесения в базу) можно ли сделать дамп этого драйвера на диск?

[QUOTE=MOCT]По поводу упорядочивания имен. Игорда получаются смешные ситуации - когда три файла из одного пакета называются тремя разными именами. Например как тут:

C:\temp\SmileyCentralInitialSetup1.0.0.8.cab>>>>> Spy.FunWebProducts
C:\temp\SmileyCentralInitialSetup1.0.0.8.cab/{CAB}/f3initialsetup1.0.0.8-2.inf>>>>> Spy.MyWebSearch
C:\temp\SmileyCentralInitialSetup1.0.0.8.cab/{CAB}/f3Setup1.exe>>>>> AdvWare.ToolBar.MyWebSearch

кстати, не знаю как будет читаться слово "Вирус" после отправки этого сообщения, но этот кусок я скопировал прям из окна программы АВЗ.

Вот эти два тоже из одного источника:
EGDACCESS_1059_XP.cab/{CAB}/EGDACCESS_1059.dll>>>>> Âèðóñ !! Dialer.Win32.InstantAccess
svcsysnet32_FR_XP.cab/{CAB}/svcsysnet32.dll>>>>> Âèðóñ !! Dialer.Win32.E-Group.q
но имена почему-то разные...[/QUOTE]
тут главная проблема в том, что на анализ то эти звереи поступают в разное время и порознь - отсюда и разнобой с именами. Например, f3initialsetup1.0.0.8.inf попал в базу 02.02.2004, а последний образец AdvWare.ToolBar.MyWebSearch - 23.08.2005. Аналогично с порнозвонилками - но тут имена даны по Касперскому, хотя идея та-же - обычно имена им даются по копирайтам или заголовку окна

[QUOTE=DimaT][b]Олег[/b]
Самый продолжительный этап ,естественно
[b]3. Сканирование дисков[/b]
Но до его завершения никакой информации нет.
Специально ожидаешь полное завершение?[/QUOTE]
Т.е. как никакой информации нет ?? Пока идет сканирования, ползет прогресс индикатор (правда, он врет иногда :) - т.к. сканирование диска и подсчет файлов идут параллельно).

[QUOTE=Зайцев Олег]тут главная проблема в том, что на анализ то эти звереи поступают в разное время и порознь - отсюда и разнобой с именами. Например, f3initialsetup1.0.0.8.inf попал в базу 02.02.2004, а последний образец AdvWare.ToolBar.MyWebSearch - 23.08.2005. Аналогично с порнозвонилками - но тут имена даны по Касперскому, хотя идея та-же - обычно имена им даются по копирайтам или заголовку окна[/QUOTE]
про даты - понятное дело. но ведь регулярно выходят новые версии АВЗ с новыми базами, и в этих выпусках можно проводить переименования.
про КАВ - в нем тоже регулярно осуществляются переименования вирусов и троянцев, когда становится понятно к какому семейству они принадлежат.
про заголовки окон - понятно что в одном пакете есть программы с заголовками (например) Install и Uninstall, но это вовсе не значит, что программы совершенно различны и ничего общего друг с другом не имеют.
про необходимость переименования - гораздо понятнее, когда на диске находятся троянцы с одним именем, но с разными версиями. и ставит в тупик, когда находится десяток различных имен (а на самом-то деле ловить нужно одну единственную программу).
p.s. выпуск daily еще не налажен?

[QUOTE=MOCT]про необходимость переименования - гораздо понятнее, когда на диске находятся троянцы с одним именем, но с разными версиями. и ставит в тупик, когда находится десяток различных имен (а на самом-то деле ловить нужно одну единственную программу).
p.s. выпуск daily еще не налажен?[/QUOTE]
Учитывая что Олег занимается программой один, думаю будет намного разумнее если он будет тратить время на её усовершенствование и пополнение баз, а не на постоянное переименование находимых "зверей".

[QUOTE=Geser]Учитывая что Олег занимается программой один, думаю будет намного разумнее если он будет тратить время на её усовершенствование и пополнение баз, а не на постоянное переименование находимых "зверей".[/QUOTE]
кто-то мешает ему помочь? или Олег сам против?

[QUOTE=Geser]Учитывая что Олег занимается программой один, думаю будет намного разумнее если он будет тратить время на её усовершенствование и пополнение баз, а не на постоянное переименование находимых "зверей".[/QUOTE]
Я вот поэтому и не трачу на это время - дело в том, что меня больше интересует праввильное отнесение к классу (например, Dialer), а дальше уже конкретное название мелочи (периодически конечно я причесываю базу, но не системно). Тут очень много исключений - например, несколько компонент AdWare.BetterInternet тот-же KAV считает троянами (и правильно по сути считает), причем с разными именами. Некоторые Dialer идут как Trojan.Dialer.<буквы> ... а многие известные ввобще идут как Diualer.Gen - поскольку аналитикам явно лень их относить к некому классу.
[b]MOCT[/b]
Помочь в разгребании базы очень непросто - там около 17 тыс. записаей без повторов,

[QUOTE=Geser]Тогда вопрос такой. С целью индентификации и исследования (скажем какой вредоносный/чистый драйвер, нужно получить его код для внесения в базу) можно ли сделать дамп этого драйвера на диск?[/QUOTE]
Дамп сделать можно - и опознавать потом по этому дампу ...

[QUOTE=Зайцев Олег]Я вот поэтому и не трачу на это время - дело в том, что меня больше интересует праввильное отнесение к классу (например, Dialer),
...
Помочь в разгребании базы очень непросто - там около 17 тыс. записаей без повторов,[/QUOTE]
Я, в свое время, приводил примеры, когда и классы путают.

По поводу базы - я никогда и не говорил, что нужно все бросить и только и заниматься как переименовыванием записей. Также я не говорил, что следить за этим должен сам автор. Но когда курьезные наименования выявляются кем-либо, то не так сложно их переименовать. Надеюсь, что я не заблуждаюсь.

Бага.
Винда находится d:\win_xp
АВЗ запускают из e:\virus\Инфо\backdoor_win32_rbot-gen\avz3\avz3\avz.exe
В результате имеем
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка - не найден файл (\WIN_XP\system32\ntoskrnl.exe)

Есть предложение по базе безопасных файлов - в дистрибутивах, например, винды, офиса, есть куча cab-ов, chm-ов. Да и в установленном офисе CHM есть кучей. Они однозначно типовые и пользователем не меняются. Может, стоило бы определять их по контрольной сумме и внутрь не лезть?

[QUOTE=UFANych]Есть предложение по базе безопасных файлов - в дистрибутивах, например, винды, офиса, есть куча cab-ов, chm-ов. Да и в установленном офисе CHM есть кучей. Они однозначно типовые и пользователем не меняются. Может, стоило бы определять их по контрольной сумме и внутрь не лезть?[/QUOTE]
Я думаю по этому поводу - но AVZ проверяет контролльную сумму всего файла, и расчет суммы может быть сопоставим с проверкой файла по нагрузке на систему. Тут есть другая идея - контролировать размер - если файл с таким размером есть, то CRC первых 2 кб, последних 2 кб - при его совпадении CRC всего файла. Тогда ускорение будет, причем существенное.

А планируется ли в логах AVZ отображать ссылки на гадосодержащие сайты аналогично hijackthis?

[QUOTE=Зайцев Олег]Я думаю по этому поводу - но AVZ проверяет контролльную сумму всего файла, и расчет суммы может быть сопоставим с проверкой файла по нагрузке на систему. Тут есть другая идея - контролировать размер - если файл с таким размером есть, то CRC первых 2 кб, последних 2 кб - при его совпадении CRC всего файла. Тогда ускорение будет, причем существенное.[/QUOTE] :good:

Ну вряд ли проверка КАЖДОГО файла из тех 200 шт, содержащихся внутри какого либо CHM будет сопоставимой с 1/200 проверки контрольной суммы самого CHM. Файл нужно извлечь в temp, etc. А если ещё и какой нибудь резидентный сканер работает.... :(
А CRC первых и последних 2 кб можно использовать как ключ для поиска файла в базе. Полную CRC надо обязательно считать для тех архивов, у которых нет глобального каталога и нет внутренней CRC, входящей в глобальный каталог.

[QUOTE=Зайцев Олег]Я думаю по этому поводу - но AVZ проверяет контролльную сумму всего файла, и расчет суммы может быть сопоставим с проверкой файла по нагрузке на систему. Тут есть другая идея - контролировать размер - если файл с таким размером есть, то CRC первых 2 кб, последних 2 кб - при его совпадении CRC всего файла. Тогда ускорение будет, причем существенное.[/QUOTE]
таким образом база безопасных файлов вырастем втрое: нужно быдет хранить 3 CRC вместо одного. может обойтись всего двумя CRC?

предлагаю оптимизацию: считается CRC начала файла, дойдя до 2-килобайтовой границы сравнивается с базой, если в базе 2-килобайтных сигнатур она есть, то _продолжается_ процесс подсчета CRC для всего файла (чтобы первые 2 килобайта дважды не пересчитывать).

и еще - считать 2-килобайтовую CRC не для всех подряд файлов, а только для файлов определенной внутренней структуры (типа CHM или CAB).

[QUOTE=MOCT]...

и еще - считать 2-килобайтовую CRC не для всех подряд файлов, а только для файлов определенной внутренней структуры (типа CHM или CAB).[/QUOTE]
:yes_2:
Ну безусловно, об этом я и говорил в [URL=http://virusinfo.info/showpost.php?p=55785&postcount=139]своём первом сообщении[/URL]. :)

[QUOTE=UFANych]:yes_2:
Ну безусловно, об этом я и говорил в [url="http://virusinfo.info/showpost.php?p=55785&postcount=139"]своём первом сообщении[/url]. :)[/QUOTE]
я добавил свой голос в копилку ;-)

еще желательно добавлять ZIP-архивы из Java (%WINDIR%\JAVA\Packages\)

Просмотр карантина->Автодобавление->Пуск
Несколько раз подряд ближе к финалу автодобавления
Access violation at address 004048b4 in module "avz.exe" Write of address 0000000c
Потом все нормально.

Может я чего недопонял, но по ходу в версии 3.80.2 нету автообновления баз, а на сайте я их как-то в упор не нахожу :( Неужели нужно каждый раз скачивать прогу заново ради обновления баз??? Так же никакого инета не напасёсси. :(

Речь идет об автодобавлении в карантин. Обновления баз в AVZ нет.
AVZ в среднем обновляется раз в две недели. 2мб трафика в месяц- не очень страшно ;)

Обновления баз нет "здесь и сейчас", поскольку сама программа всё ещё очень интенсивно меняется вместе с форматом самих баз. Как устаканится - будут и отдельные обновления.

Можно ли добавить в AVZ сканирование по сети? Или это можно как-нибудь сделать в данной версии? Очень нужно. Заранее спасибо.

А смысл? По сети можно обычным антивирусом сканировать, с расширенными базами. Самые главные фишки именно AVZ - антируткит, исследование системы - по сети работать не будут, её надо локально запускать.

[QUOTE=pig]А смысл? По сети можно обычным антивирусом сканировать, с расширенными базами. Самые главные фишки именно AVZ - антируткит, исследование системы - по сети работать не будут, её надо локально запускать.[/QUOTE]
Хм... Ну в принципе можно сделать механизм когда АВЗ копирует себя на удалённый компьютер, запускается, создаёт отчёт и удаляет себя. Конечно если есть содтуп админа

[QUOTE=pig]А смысл? По сети можно обычным антивирусом сканировать, с расширенными базами. Самые главные фишки именно AVZ - антируткит, исследование системы - по сети работать не будут, её надо локально запускать.[/QUOTE]
Почему не будут ?
Для этого я и ввел скрипты - пишем скрипт, а затем AVZ помещаем в расшаренную папку, а юзерам в логон-скрипт - его запуск с соответствующими ключами. И все ...

Это уже локальный запуск (на сканируемой машине), хотя и инициированный дистанционно. Обычно если "по сети", то имеют в виду несколько другое.

Согласен с PIG. Хотелось бы интерактивной проверки удалённой машины,а не при загрузке системы. Обычные антивирусы с расширенными базами не подходят - слишком медлительны или не эффективны. В сети права админа есть.

[QUOTE=Tora-bora]Согласен с PIG. Хотелось бы интерактивной проверки удалённой машины,а не при загрузке системы. Обычные антивирусы с расширенными базами не подходят - слишком медлительны или не эффективны. В сети права админа есть.[/QUOTE]
Так в общем это можно сделать при помощи [URL=http://www.sysinternals.com/Utilities/PsExec.html]PsExec[/URL]

Может быть сделать "удаление по списку", с предварительной остановкой процессов, выгрузкой драйверов, и последующей эвристической зачисткой?
В "Отложенном удалении" выбор файла идет через проводник, скрытые файлы и папки не видит, приходится искать файл поиском . Можно реализовать выбор средствами AVZ?

[QUOTE=Geser]Так в общем это можно сделать при помощи [URL=http://www.sysinternals.com/Utilities/PsExec.html]PsExec[/URL][/QUOTE]
К сожалению psexec как-то некорректно отрабатывает ключи для avz :( Попробовал remoteexec 3.08, но с ним тоже проблема - почему-то не сохраняются логи.

[QUOTE=Tora-bora]К сожалению psexec как-то некорректно отрабатывает ключи для avz :( [/QUOTE]
Может где кавычек не хватает.

Олег, а в каком состоянии находится переделка программы под англоязычный интерфейс? А то уже довольно забавные альтернативы появляются в смысле детектирования/борьбы с руткитами (и, соответствующими технологиями у "зверей") - IceSword, к примеру, о котором много говорят в последнее время на импортных форумах... а про AVZ - ноль... абыдна, аднака! :) И, хотя в моем понимании AVZ не слишком хорош в смысле [I]борьбы[/I] с руткитами, тем не менее кое-какие наработки все же есть - по крайней мере для user mode руткитов зачастую можно сделать неплохой анализ, а дальше уже думать, как убивать... Кстати, читая форум hackdef-а, видел, что его автору, holy_father-у, кто-то предложил потестировать его руткит на AVZ, но тот тоже сослался на отсутствие английского языка в программе... так что, может пора бы уже, а? :)