Спасибо, Олег!
Я правильно понимаю - AVZ может только указать на наличие открытого порта, через который идет утечка данных, но защитить или закрыть этот "красный" порт программа не умеет?
И еще, на Win98 AVZGuard не работает? (Или просто нужно отключить Spider DRWeb-a?) Т.е. немотря на хороший отчет, машина может быть заражена?
[QUOTE=solo999]
И еще, на Win98 AVZGuard не работает? (Или просто нужно отключить Spider DRWeb-a?) Т.е. немотря на хороший отчет, машина может быть заражена?[/QUOTE]
Смотри первый пост темы.
[quote]Технология AVZGuard основана на KernelMode драйвере, который разграничивает доступ запущенных приложений к системе. Драйвер может функционировать в системах, основанных на платформе NT (начиная с NT 4.0 и заканчивая Vista Beta 1)[/quote]
[QUOTE=solo999]Спасибо, Олег!
Я правильно понимаю - AVZ может только указать на наличие открытого порта, через который идет утечка данных, но защитить или закрыть этот "красный" порт программа не умеет?
И еще, на Win98 AVZGuard не работает? (Или просто нужно отключить Spider DRWeb-a?) Т.е. немотря на хороший отчет, машина может быть заражена?[/QUOTE]
AVZGuard таботает только на NT, на Win98 в ней практически надобности нет, поскольку нет особо трудноудолимых зверей и всегда можно загрузиться с системной дискеты и удалить любые файлы.
AVZ только анализирует открытые в момент анализа порты, но никак не может защитить от атак и утечки информации - для такой защиты нужен Firewall
Я хочу предложить свою помощь в разработке.
Как это сделать?
Присылать логи и файлы спайваря, а также чистые, но которых нет в базе безопасных.
NORTON PARTITION MAGIC v 8.05 (Simantec. corp)
Переодически устанавливаю и пользуюсь для работы с HDD,,,
уже пол года переодически "задалбывают" эти файлы при проверки
(может они безвредные и могут быть занесены в базу AVZ?)
Лог проверки.
D:\Program Files\Symantec\Norton PartitionMagic 8.0\RESCUEME\DOSYSTEM\COMMAND.COM - PE файл с изменненным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
D:\Program Files\Symantec\Norton PartitionMagic 8.0\RESCUEME\DOSYSTEM\FDISK.COM - PE файл с изменненным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
D:\Program Files\Symantec\Norton PartitionMagic 8.0\RESCUEME\DOSYSTEM\KEYB.COM - PE файл с изменненным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
D:\Program Files\Symantec\Norton PartitionMagic 8.0\RESCUEME\DOSYSTEM\MODE.COM - PE файл с изменненным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
высылаю для проверки на "z-oleg"
[QUOTE=Scitalec]Я хочу предложить свою помощь в разработке.
Как это сделать?[/QUOTE]
Помочь просто - [B]xen[/B] абсолютно прав - наиболее остро стоит вопрос с отловом новой заразы и наполнения базы чистых файлов, изыскание источников инсталляции заразы, поимка багов в AVZ и пробелов в ее доке.
Не могу обновить базы. Стоит 4.15 от 22.02.06.
То ли прокси не пускает, то ли еще что. Не может выкачать файл с параметрами обновления avzupd.zip.
Что делать?
А можно узнать, что использует AVZ для проверки чистоты файлов по базе - md5,crc32 или что-то иное?
в агенте и в словаре при письме на русском язык автоматически переключается то на немецкий то на русский,что это за глюк, или программа шутка? АВЦ ничего не видит.
[QUOTE=незареген]в агенте и в словаре при письме на русском язык автоматически переключается то на немецкий то на русский,что это за глюк, или программа шутка? АВЦ ничего не видит.[/QUOTE]
Проверь не стоит ли прога наподобие PuntoSwitcher или посмотри настройки языковой панели и отключи лишние языки. Если не получится, попробуй восстановить систему с помощью инструмента Восстановления системы, скорее всего проблема кроется в реестре Win. Можешь попробовать поискать какойнибудь прогой ошибки в реестре - может поможет.
Удачи;)
AVZ находит несколько ошибок при проверке SPI/LSP, если их исправить ("Автоматическое исправление найденных ошибок") - перестает работать сеть. Система Win 2000 AS.
У AVZ бывают сложности с терминальными сессиями. Её лучше локально запускать.
[QUOTE=Scitalec]А можно узнать, что использует AVZ для проверки чистоты файлов по базе - md5,crc32 или что-то иное?[/QUOTE]
Мой собственный вариант контрольной суммы + контроль размера. Т.е. при проверке по базе чистых сначала проверяется размер объекта, если объекты с таким размераом есть - проверяется сумма. Размер файла в результате повышает надежность и выступает в роли индекса.
[quote=pig]У AVZ бывают сложности с терминальными сессиями. Её лучше локально запускать.[/quote]
Запускал с консоли сервера, не через терминальную сессию.
Олег
Есть прогноз, с выходом новой версии AVZ?.
(А так-же с выходом твоей книги)
PS. Очень хочется почетать :)
[QUOTE=Cool Cat]Олег
Есть прогноз, с выходом новой версии AVZ?.
(А так-же с выходом твоей книги)
PS. Очень хочется почетать :)[/QUOTE]
Прогноз есть - книгу я заканчаваю, осталось вычистить текстовку - я как раз этим и занят. Новый AVZ выйдет в конце недели - у него как минимум будет новый антикейлоггер на остнове поведенческого анализатора.
[QUOTE=Зайцев Олег]...у него как минимум будет новый антикейлоггер на остнове поведенческого анализатора.[/QUOTE]
Неужели можно надеяться на то, что AVZ наконец-то освободится от этого, на мой взгляд, явно притянутого за уши нейросетевого анализатора кейлоггеров? :P
[QUOTE=aintrust]Неужели можно надеяться на то, что AVZ наконец-то освободится от этого, на мой взгляд, явно притянутого за уши нейросетевого анализатора кейлоггеров? :P[/QUOTE]
как раз наоборот :) нейросеть получит десяток новых входных сигналов, что позволит делать некие выводы о возможной вредоносности изучаемого "кейлоггера"
[QUOTE=Зайцев Олег]как раз наоборот :) нейросеть получит десяток новых входных сигналов...[/QUOTE]
Какая она у тебя ненасытная, эта нейросеть... хочет все новых и новых сигналов! ;)
[QUOTE=Зайцев Олег]...что позволит делать некие выводы о возможной вредоносности изучаемого "кейлоггера"[/QUOTE]
Я правильно понял - ты написал "вредоносности"? Т.е. теперь ты будешь выводить информацию о том, "вредный" это кейлоггер или "полезный"?
[quote=aintrust]Какая она у тебя ненасытная, эта нейросеть... хочет все новых и новых сигналов! ;)
Я правильно понял - ты написал "вредоносности"? Т.е. теперь ты будешь выводить информацию о том, "вредный" это кейлоггер или "полезный"?[/quote]
Именно ... первый раз НС была обучена классифицировать "похож на типичный перехватчик"/"не похож не типичный перехватчик". Толку от этого было не очень много. Теперь иначе - "опасен"/"не опасен". Следовательно, на входы подаются сигналы, несущие косвенные данные о вредоносности - например, передает ли "подследственный" кому-то собранную информацию, пишет ли ее в файл, производит ли уточнение (какое окно в фокусе ввода, какой ASCII код соответствует нажатой клавише, каково состояние остальных клавиш и т.п.) ... правда, если старый антикейлоггер был простой и мелкий, этот куда более громоздкий ...
[QUOTE=Зайцев Олег]Именно ... первый раз НС была обучена классифицировать "похож на типичный перехватчик"/"не похож не типичный перехватчик". Толку от этого было не очень много. [/QUOTE]
Естественно - толку было бы на порядок больше, если бы AVZ мог определить, кто этот логгер установил, что было бы возможно при наличии монитора с функцией перехвата "подозрительных" вызовов - т.е. так, как это делают проактивные/поведенческие анализаторы. Нужна ли такая функция AVZ (монитор) - это уже другой вопрос.
[QUOTE=Зайцев Олег]Теперь иначе - "опасен"/"не опасен". Следовательно, на входы подаются сигналы, несущие косвенные данные о вредоносности - например, передает ли "подследственный" кому-то собранную информацию, пишет ли ее в файл, производит ли уточнение (какое окно в фокусе ввода, какой ASCII код соответствует нажатой клавише, каково состояние остальных клавиш и т.п.)[/QUOTE]
Это понятно - таких "косвенных" критериев (с различными весовыми характеристиками) немало, и задействовать их для "скармливания" нейросети, в принципе, представляет определенный интерес. Мне, однако, пока не очень понятно, как можно провести все перечисленные тобой "уточнения" статически/одномоментно (т.е. в безмониторном варианте) - ведь большинство перечисленных тобой характеристик имеют динамическую природу...
[QUOTE=aintrust]Естественно - толку было бы на порядок больше, если бы AVZ мог определить, кто этот логгер установил, что было бы возможно при наличии монитора с функцией перехвата "подозрительных" вызовов - т.е. так, как это делают проактивные/поведенческие анализаторы. Нужна ли такая функция AVZ (монитор) - это уже другой вопрос.
Это понятно - таких "косвенных" критериев (с различными весовыми характеристиками) немало, и задействовать их для "скармливания" нейросети, в принципе, представляет определенный интерес. Мне, однако, пока не очень понятно, как можно провести все перечисленные тобой "уточнения" статически/одномоментно (т.е. в безмониторном варианте) - ведь большинство перечисленных тобой характеристик имеют динамическую природу...[/QUOTE]
Без поведенческого монитора вообще такой анализ не сделать - поэтому я написал такой монитор. Но я делаю так - кратковременно активирую поведенческий монитор примерно на 2 сек, в течении этого времени аггрессивно дразню потенциальные кейлоггеры разными событиям и потом монитор снимаю. Монитор пишет в базу данных зафиксированные поведенческие особенности 14-ти типов - а затем уже идет расшифровка записанного и скармливание нейросети ... но при таком подходе есть минус - AVZ может понять, что это кейлоггер, но не может понять, кто и когда его установил - т.к. мониторинга в момент установки естественно нет ...
[QUOTE=Зайцев Олег]...Но я делаю так - кратковременно активирую поведенческий монитор примерно на 2 сек, в течении этого времени аггрессивно дразню потенциальные кейлоггеры разными событиям и потом монитор снимаю...[/QUOTE]
Ага. В общем, если в течение этих 2-х секунд никаких подозрительных действий логгер не провел (или не прореагировал нужным для AVZ образом), то... все будет, как и раньше.
[QUOTE=aintrust]Ага. В общем, если в течение этих 2-х секунд никаких подозрительных действий логгер не провел (или не прореагировал нужным для AVZ образом), то... все будет, как и раньше.[/QUOTE]
именно так - это так сказать первый шаг в данном направлении, следующим по логике лдолжен стать непрерывный мониторинг. Но изучение 20-ти распространенных кейлоггеров показало, что таким образом почти все они ловятся (исключние систавил логгер, который тупо опрашивает клавиатуру по таймеру).
Олег, моё почтение!
Вопрос, связанный с Менеджером Winsock: Возможно ли увеличение текущей функциональности данного раздела AVZ в соответствии со статьёй Microsoft "Проверка целостности конфигурации Winsock2 и ее восстановление при повреждении" (Article ID : 811259 ), как в утилите WinsockXPFix?
[QUOTE=Зайцев Олег]именно так - это так сказать первый шаг в данном направлении, следующим по логике лдолжен стать непрерывный мониторинг.[/QUOTE]
"Должен стать" или "станет"? Ведь, насколько я понял по твоей реакции на обсуждение достоинств/недостатков AVZGuard, ты придерживался (как и большинство обсуждавших, впрочем) позиции, что монитор в AVZ не нужен.
[QUOTE=Iceman]Олег, моё почтение!
Вопрос, связанный с Менеджером Winsock: Возможно ли увеличение текущей функциональности данного раздела AVZ в соответствии со статьёй Microsoft "Проверка целостности конфигурации Winsock2 и ее восстановление при повреждении" (Article ID : 811259 ), как в утилите WinsockXPFix?[/QUOTE]
Да, можно конечно. Я уже думал об этом, я введу пункт в "восстановление системы" для пересоздания ключей с настройкой Winsock
[quote=aintrust]"Должен стать" или "станет"? [/quote]
Если точно - то "может быть станет". Монитор сделать не очень трудно, но есть несколько "но" требования к постоянно висящему драйверу больше, чем к сервисному, который загружается, что-то делает и выгружается
----
Сегодня очередное обновление баз AVZ прошло - как всегда, пополнились базы зверей и чистых объектов.
Обновленная база содержит: 21362 сигнатуры, 2 нейропрофиля, 55 микропрограмм лечения, 357 микропрограмм эвристики, 48467 подписей безопасных файлов.
[QUOTE=Зайцев Олег]Да, можно конечно. Я уже думал об этом, я введу пункт в "восстановление системы" для пересоздания ключей с настройкой Winsock[/QUOTE]
Спасибо.
Сегодня обнаружил, что AVZ не определяет замечательный белорусский вирус Neshta. Если очень нужно, то покопаюсь и наковыряю, может быть, парочку зараженных им файлов. :( (базы обновлял сегодня, версия утилиты 4.15)
[QUOTE=blackcat]Сегодня обнаружил, что AVZ не определяет замечательный белорусский вирус Neshta. Если очень нужно, то покопаюсь и наковыряю, может быть, парочку зараженных им файлов. :( (базы обновлял сегодня, версия утилиты 4.15)[/QUOTE]
На данный момент AVZ не ищет классические файловые вирусы.
[QUOTE=blackcat]Сегодня обнаружил, что AVZ не определяет замечательный белорусский вирус Neshta. Если очень нужно, то покопаюсь и наковыряю, может быть, парочку зараженных им файлов. :( (базы обновлял сегодня, версия утилиты 4.15)[/QUOTE]
ждем-с! интересно на него посмотреть. насколько я знаю по рассказам - что-то типа Mrak.
Куда прислать "нешту"? Имеется в архивчике.
[QUOTE=MedvedD]Куда прислать "нешту"? Имеется в архивчике.[/QUOTE]
[email][email protected][/email]
в архиве с паролем virus
ушло
Я так понимаю, что он уже не нужен? :)
Вообще сей белорусский вирус присоединяет свое тело к exe файлам (~40Кб). Причем заражает все доступные, кроме содержащихся в папках Windows, WinNT и Program Files. В реестре прописывается в ключе [HKEY_CLASSES_ROOT\exefile\shell\open\command]. В результате при удалении файла svchost.com (не путать со стандартным виндовским svchost.exe), коий и является телом вируса, перестают запускаться программы. У меня касперский 3.5.1 его лечил, но удалить само тело вируса (svchost.com) не мог даже после перезагрузки. Пришлось качать дрвеб-лайт, чтобы убить его и вручную в реестре ключ править. Нод32 лечить отказывался напрочь, только удалять. Симантек на соседнем компе вообще отказался его находить, хотя базы двухнедельной давности всего лишь.
P.S. Детектируется как W i n 3 2 / N e s h t a . A v i r u s.
3.5.1 (который уже может что-то неловить или нелечить) это не 6.0 (который реестр чистит)
Пишется :
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка загрузки драйвера - проверка прервана :?
или :
1. Поиск RootKit и программ, перехватывающих функции API
Ошибка в работе антируткита [Out of memory], шаг [2]
[quote=Паладин]Пишется :
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка загрузки драйвера - проверка прервана :?
или :
1. Поиск RootKit и программ, перехватывающих функции API
Ошибка в работе антируткита [Out of memory], шаг [2][/quote]
Какая версия операционки ? Какая версия AVZ ? Есть ли правиа админа ? Как ведется запуск (локально, через терминалку) ? Где размещен сам AVZ (локальный диск, сетевой диск, CD/DVD, Flash) ?