AVZ 4.29

пожелание к интерфейсу программы :) ну очень не удобно
если не сложно все менеджеры в одном окне со вкладками на каждый сервис а то пока найдешь забудешь что ищешь как например это сделано в autoruns от sysinternals

или например слева в виде списка ссылок или кнопок вынести весь перечень менеджеров и утилит, чтобы не залазить в меню каждый раз, было бы намного удобнее

п.с.
- подскажите можно ли программой заблокировать изменение автозагрузки(защита от записи)
- установка удаление служб (например выгрузка указанной службы - т.е. если что-то к примеру будет выгружать службу фаервола или антивируса будет либо отказ в доступе либо автоматический перезапуск)
- блокировка стартовой страницы и всех настроек броузера, хостс
- защита записи(удаление) на самые критические файлы по типу svchost.exe и ему
подобные?

нужно ли для этого работающая программа - т.е. блокирует ли пока работает или можно заблокировать и отключиться?
спс

попытался загрузить последнюю версию авз и не смог. то есть утилита вроде грузится, но при попытке распаковать из зип-архива в окне программы вместо кирилицы появляется вот такое безобразие: [?6345?]. причём, слова, набранные латинским шрифтом открываются нормально пробовал несколько раз-результат один. предыдущие версии авз грузились нормально. да и сейчас старые версии (есть даже на диске- купил вместе с книгой) грузятся нормально, но, разумеется, не обновляются. Да и другие проги грузятся нормально в т.ч. и антивирус нод32.ну вот. И что бы это могло означать?:huh:

[quote=sam52;168345]попытался загрузить последнюю версию авз и не смог. то есть утилита вроде грузится, но при попытке распаковать из зип-архива в окне программы вместо кирилицы появляется вот такое безобразие: [?6345?]. причём, слова, набранные латинским шрифтом открываются нормально пробовал несколько раз-результат один. предыдущие версии авз грузились нормально. да и сейчас старые версии (есть даже на диске- купил вместе с книгой) грузятся нормально, но, разумеется, не обновляются. Да и другие проги грузятся нормально в т.ч. и антивирус нод32.ну вот. И что бы это могло означать?:huh:[/quote]
Скачав архив требуется его [U]распаковать[/U], а не запускать AVZ прямо из архива.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=evilone_;168331]пожелание к интерфейсу программы :) ну очень не удобно
если не сложно все менеджеры в одном окне со вкладками на каждый сервис а то пока найдешь забудешь что ищешь как например это сделано в autoruns от sysinternals

или например слева в виде списка ссылок или кнопок вынести весь перечень менеджеров и утилит, чтобы не залазить в меню каждый раз, было бы намного удобнее

п.с.
- подскажите можно ли программой заблокировать изменение автозагрузки(защита от записи)
- установка удаление служб (например выгрузка указанной службы - т.е. если что-то к примеру будет выгружать службу фаервола или антивируса будет либо отказ в доступе либо автоматический перезапуск)
- блокировка стартовой страницы и всех настроек броузера, хостс
- защита записи(удаление) на самые критические файлы по типу svchost.exe и ему
подобные?

нужно ли для этого работающая программа - т.е. блокирует ли пока работает или можно заблокировать и отключиться?
спс[/quote]
Менеджеры не будут объединяться в одно окно, в этом нет надобности. Сводные данные о всем попадают в исследование системы, в нем есть интерактив для создания скрипта, в частности для карантина и удаления файлов
AVZ ничего блокировать и защищать не может, так как он расчитан на запуск и исследование, а не на защиту в реальнмо времени

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=RiC;168319]Вчера "нарвался" - в Custom Script подглюкивает форма загрузки скрипта из файла, выставь правильно расширения файлов по умолчанию (*.AVZ ?) и просмотр всех файлов, а то имя скрипта нужно вбивать руками полностью чтобы он загрузился. Ну и аналогично в "сохранить скрипт".

[SIZE=1][COLOR=#666686][B][I]Добавлено через 18 минут[/I][/B][/COLOR][/SIZE]

И ещё небольшой глючек в скриптовом "движке" - попытка вызова деструктора несуществующего обьекта приводит к ошибке, по которой невозможно понять что именно произошло или, в редких случаях, к синему экрану.[/quote]
Глюк в форме загрузки уже пойман и исправлен. Насчет вызове деструктора - да, тут есть проблема - если объект не инициализирован, то возникнет исключение.

[QUOTE=Зайцев Олег;168316]Второй момент - где у нас лежит последний EN хелп ? Я хочу прикрутить его к сборке, так как отлов глюков завершен и релиз готов.
[/QUOTE]

[url]http://virusinfo.info/showthread.php?goto=newpost&t=14484[/url]

вот здесь. Но там нет раздела по скриптам, его нужно добавить из старого хелпа.

база создается нормально
пытаюсь проверить
выдает-
Запущено сравнение
База ревизора загружена, дата создания 18.12.2007 23:03:20
Сравнение ведется в стандартном режиме
Сравнение успешно завершено

причем сразу ничего не сравнивая
пытался файлы добавлять там всякие расширения указывать
то же самое

[QUOTE=leadbelly;168569]база создается нормально
пытаюсь проверить
выдает-
Запущено сравнение
База ревизора загружена, дата создания 18.12.2007 23:03:20
Сравнение ведется в стандартном режиме
Сравнение успешно завершено

причем сразу ничего не сравнивая
пытался файлы добавлять там всякие расширения указывать
то же самое[/QUOTE]

Поставил создавать стандартным способом базу всего диска С и при сравнении Диск-> База за пол секунды сравнило. Удалил несколько exe файлов с диска - также... и изменений не показывает.

я и весь диск пробовал и по директориям и базу с другого компа результат всегда сразу и "ОК"

ревизор не работает, тут и экспериментировать не стоит

Может сделать, чтоб avz не отключала автозапуск с CD, а отключала автозапуск со ВСЕХ дисков? Очень часто заражаются со съемных носителей...

[quote=Maxim;168158]Проблема появилась с последней версией Outpost'а.[/quote]
С какой именно? Можешь точные данные дать? Могу в Agnitum багрепорт дать.

Олег,

в комплексном решении Deckard's System Scanner, которое иногда используют зарубежные специалисты, есть вывод в лог списка файлов, созданных в течение последних Х дней (не знаю, чему равен Х). Быть может, стоит позаимствовать идею для исследования системы? В конце концов, это один из методов обнаружения malware без инструментов - поиск файлов потенциально опасных расширений, созданных в течение последних дней.

[QUOTE=NickGolovko;169198]Олег, в комплексном решении Deckard's System Scanner, которое иногда используют зарубежные специалисты, есть вывод в лог списка файлов, созданных в течение последних Х дней .[/QUOTE]
X обычно равен месяцу, Winpfind, ComboFix тоже имеют подобные поисковики, из них можно "выловить" всякие не исполняемые напрямую файлы типа ini и прочего мусора.
Можно накатать подобный отчёт прямо на скрипте, возможностей в языке для этого хватит.

[quote=NickGolovko;169198]Олег,

в комплексном решении Deckard's System Scanner, которое иногда используют зарубежные специалисты, есть вывод в лог списка файлов, созданных в течение последних Х дней (не знаю, чему равен Х). Быть может, стоит позаимствовать идею для исследования системы? В конце концов, это один из методов обнаружения malware без инструментов - поиск файлов потенциально опасных расширений, созданных в течение последних дней.[/quote]
Это не сложно ... так как уже реализовано (поиск файла на диске - если там поставить птички на исключение известных файлов и задать дату создания как системную - N, то мы и получим это ...). Или в скрипте это можно сделать, в хелпе есть пример.
Но:
1. Как это запускать и когда (меню, отдельная команда скрипт-движка, стандартный скрипт) ?
2. Куда и как сохранять результат (исследование системы, отдельный лог)
3. Как быть, если таковых файлов обнаружится огромное количество ?

[QUOTE=Jef239;169186]С какой именно? Можешь точные данные дать? Могу в Agnitum багрепорт дать.[/QUOTE]Agnitum Outpost Firewall PRO (32-bit) 6.0 Какой же баг, если это фича, не даёт AVZ снять перехваты даже после выгрузки из трея.

[quote=Maxim;169224]Agnitum Outpost Firewall PRO (32-bit) 6.0 Какой же баг, если это фича, не даёт AVZ снять перехваты даже после выгрузки из трея.[/quote]

Так не даёт снять перехваты (это фича) или комп падает при простом сканировании на руткиты?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

OPF 6.0 - трёхуровневый, драйвер-сервис-оболочка. Выгрузка из трея оболочки действительно ничего не даст. Как минимум, нужно остановить сервис и отключить драйвера в настройках сетевых карт.
А вообще-то по реакции на попытку отключения зловредом, аутпост считается самым надёжным. То есть либо не отключается, либо падает, но оставляя сеть закрытой.

Вот в этой теме [url]http://virusinfo.info/showthread.php?t=15997[/url] создается впечатление, что руткит не даёт AVZ нормально работать, оказывается что этот руткит есть OPF...

[QUOTE=Зайцев Олег;169206]Но:
1. Как это запускать и когда (меню, отдельная команда скрипт-движка, стандартный скрипт) ?
2. Куда и как сохранять результат (исследование системы, отдельный лог)
3. Как быть, если таковых файлов обнаружится огромное количество ?[/QUOTE]

Наверное, мне стоило подчеркнуть слова "исследование системы" в моем предложении. :) Поиск файлов на диске я и сам для этой цели использовал. Я хотел предложить еще одну таблицу в результатах исследования системы (Стандартные скрипты 2 и 3, простое Исследование системы). Если Х невелик (7 дней, положим) и ищутся только опасные файлы (SYS, EXE, DLL), то количество файлов может быть равно нулю. А вот поиск [B]всех[/B] созданных за это время файлов безотносительно к расширению действительно даст большой список в несколько сот строк: тут и базы антивируса, и временные файлы, и prefetch...

[quote=Maxim;169283]Вот в этой теме [URL]http://virusinfo.info/showthread.php?t=15997[/URL] создается впечатление, что руткит не даёт AVZ нормально работать, оказывается что этот руткит есть OPF...[/quote]
Ну в этой теме такой зоопарк, что может быть всё, что угодно.
А вообще в OPF есть антируткит. И много разногопротиводействия выгрузке. А может быть сделать вариант стандартного скрипта без выгрузки OPF? То есть выгружать все руткиты, кроме известных FireWall и антивирусных ядер?

Есть в DSS и в ComboFix,
в DSS выглядит так
[QUOTE]- Files created between 2007-12-01 and 2008-01-01 -----------------------------

2008-01-01 20:38:50 218112 --a------ C:\Program\Annette.exe <Not Verified; Soeperman Enterprises Ltd.; HijackThis>
2008-01-01 19:43:40 0 d-------- C:\VundoFix Backups
2007-12-27 19:45:08 8643 --ahs---- C:\WINDOWS\System32\qpqss.ini2
2007-12-27 19:39:36 24288 --a------ C:\WINDOWS\System32\rqrqqnn.dll
2007-12-20 03:47:21 0 d-------- C:\Documents and Settings\Annette\Application Data\MailFrontier
2007-12-11 00:45:09 0 d-------- C:\Program\Common Files[/QUOTE]
в ComboFix выглядит так
[QUOTE]
((((((((((((((((((((((((( Files Created from 2007-12-02 to 2008-01-02 )))))))))))))))))))))))))))))))
.

2008-01-02 17:55 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\NirCmd.exe
2007-12-27 19:39 . 2007-12-27 19:39 24,288 --a------ C:\WINDOWS\system32\rqrqqnn.dll
2007-12-20 03:47 . 2007-12-20 03:47 <KAT> d-------- C:\Documents and Settings\Annette\Application Data\MailFrontier
2007-12-11 00:45 . 2007-12-11 00:45 <KAT> d-------- C:\Program\Common Files[/QUOTE]

Плюс есть ещё
[QUOTE]-- Find3M Report ---------------------------------------------------------------

2008-01-01 20:46:15 3820 --a------ C:\Program\hijackthis.log <HIJACK~1.LOG>
2008-01-01 20:46:03 0 --a------ C:\WINDOWS\System32\scarjssp.dat
2008-01-01 20:46:03 5977 --a------ C:\WINDOWS\System32\nvwdmcpb.dat
2008-01-01 20:46:03 0 --a------ C:\WINDOWS\System32\dx8vsnhm.dat
2008-01-01 20:46:03 7167 --a------ C:\WINDOWS\System32\dpnhujnp.dat
2008-01-01 20:45:21 586 --a------ C:\WINDOWS\System32\fsuswp.dat
2008-01-01 20:45:20 5658 --a------ C:\WINDOWS\System32\shscraph.dat
2008-01-01 20:45:20 10155 --a------ C:\WINDOWS\System32\kbdjpmi.dat[/QUOTE]

+ есть отчеты по ошибкам из Event Log
имхо:
1. запускать отдельным стандартным скриптом
2. отдельный лог
3. фильтровать по датам, расширениям, базе безопасных, цифр. подписям.

[QUOTE=Pili;169316]имхо:
1. запускать отдельным стандартным скриптом
2. отдельный лог
[/QUOTE]

А тогда какой смысл? Проще сказать пользователю "поищите файлы на диске с такими-то параметрами". Такие данные, на мой взгляд, как раз и должны быть только в общем логе исследования системы. Или в DSS и ComboFix это тоже запускается отдельно от основного исследования? ;)

Мне такая дополнительная таблица представляется преследующей примерно те же цели, что и список подозрительных файлов в конце исследования системы.

[quote=NickGolovko;169366]А тогда какой смысл? Проще сказать пользователю "поищите файлы на диске с такими-то параметрами". Такие данные, на мой взгляд, как раз и должны быть только в общем логе исследования системы. Или в DSS и ComboFix это тоже запускается отдельно от основного исследования? ;)

Мне такая дополнительная таблица представляется преследующей примерно те же цели, что и список подозрительных файлов в конце исследования системы.[/quote]
Имхо - воткнуть это в исследование, отдельной таблицей, файлы искать только в корне диска и системной папке, без повторов, исключая известные AVZ или прошедшие контроль MS, измененные или созданные за последние 7-10 дней.

[QUOTE=Зайцев Олег;169375]файлы искать только в корне диска и системной папке[/QUOTE]Может расшириться на весь системный диск?

Олег, похоже "проблемный Мастер" не исправляет таймаут завершения служб, проверьте пожалуйста.

Баг в avz: При просмотре в менеджере процессов например если отсортировать все данные по какой либо колонки, то колонка что была выделена собьется. То есть после отсортировки данные не обновляются в таблице и видно список модулей dll старого процесса

[quote=Maxim;169383]Может расширится на весь системный диск?[/quote]
Я думаю не стоит - я всегда рассматриваю любое новшество как совокупность затрат усилий на реализацию (тут это не критично), затрат времени и ресурсов на выполнение (очень критично) и результата. Сканируя весь диск я конечно могу что-то найти, но если вдруг попадется юзер с диском на 2 терабайта, что тогда !? Его сканирование может занять в лучшем случае часы (а если у него неотключенный AV монитор - сутки).

[QUOTE=Maxim;169383]Может расшириться на весь системный диск?[/QUOTE]

Предлагал уже сделать такой поиск: то есть поиск файлов там где они должны находится... ну например драйверов в папке system32 system и т.д. файлов exe и dll в папке драйверов. Поиск потенциально опасных файлов во временных директориях.

[quote=NickGolovko;169366]А тогда какой смысл? Проще сказать пользователю "поищите файлы на диске с такими-то параметрами". Такие данные, на мой взгляд, как раз и должны быть только в общем логе исследования системы. Или в DSS и ComboFix это тоже запускается отдельно от основного исследования? ;)
[/quote]
Смысл - не загружать основные логи, если потребуется, можно запросить, как дополнительный лог. Пользователю сказать можно "поищите...", вот только не все правильно ищут (даже то, что действительно существует, иногда найти не могут). Уж лучше сказать: "Выполните стандартный скрипт 7" :)
В DSS логи разделены на main.txt и extra.txt, в посл. лог, кроме чего прочего, входит ещё секция "Add/Remove Programs", имхо, полезная часть лога.
Файлы+каталоги надо искать ещё в профиле пользователя, насчет периода... dss и combofix период берут больше (полмесяца, месяц), имхо, период скорее всего подобран опытным путем :)
И ещё, неплохо бы атрибуты файлов/папок видеть и их размеры.

[QUOTE=Зайцев Олег;169397]Сканируя весь диск я конечно могу что-то найти, но если вдруг попадется юзер с диском на 2 терабайта, что тогда !? Его сканирование может занять в лучшем случае часы (а если у него неотключенный AV монитор - сутки).[/QUOTE]Какова вероятность того, что попадется юзер с таким диском? :smile:

[quote=Jef239;169308]Ну в этой теме такой зоопарк, что может быть всё, что угодно.
А вообще в OPF есть антируткит. И много разногопротиводействия выгрузке. А может быть сделать вариант стандартного скрипта без выгрузки OPF? То есть выгружать все руткиты, кроме известных FireWall и антивирусных ядер?[/quote]
Так не выйдет - это уже когда-то обсуждалось, возможен каскадный перехват (руткит + легитимное поверх, или наоборот), или баг за счет частичного снятия перехвата.

[quote=Maxim;169406]Какова вероятность того, что попадется юзер с таким диском? :smile:[/quote]
А ты годик подожди.. Уже народ покупает винты по 750Гб

[QUOTE=ALEX(XX);169410]А ты годик подожди.. Уже народ покупает винты по 750Гб[/QUOTE]Убедил :dry:

[quote=zerocorporated;169403]Поиск потенциально опасных файлов во временных директориях.[/quote]
Кстати, может ещё очистку временных файлов визардом или скриптом сделать? )

[QUOTE=Зайцев Олег;169375]файлы искать только в корне диска и системной папке[/QUOTE]Тогда ещё и в кэше браузера.

[quote=Maxim;169406]Какова вероятность того, что попадется юзер с таким диском? :smile:[/quote]
процент высок (мне тестироваться придется на виртуалке - у меня диски по 750 стоит). Причем что интересно - такие диски начинают ставить в юзеровские ПК. Нечасто, но уже ставят ... и они быстро дешевеют

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Maxim;169422]Тогда ещё и в кэше браузера.[/quote]
А кеш зачем ? там обычно страшная помойка, тем более кеш может быть скажем размером 1-2 ГБ ... и все это попадет в лог

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

[quote=Pili;169418]Кстати, может ещё очистку временных файлов визардом или скриптом сделать? )[/quote]
Легко, прототип уже есть ...

[QUOTE=Зайцев Олег;169427]А кеш зачем ? там обычно страшная помойка, тем более кеш может быть скажем размером 1-2 ГБ ... и все это попадет в лог.[/QUOTE]Вот сколько у Вас на работе ПК, доступных для исследований? Проведите эксперимент, скажите сколько найдется в кэше браузера на каждом компе безопасных *.exe файлов?

[quote=Maxim;169433]Вот сколько у Вас на работе ПК, доступных для исследований? Проведите эксперимент, скажите сколько найдется в кэше браузера на каждом компе безопасных *.exe файлов?[/quote]
Гигов 100 найдется ... там будет туча мусора - разные закачанные легитимные программы, битые - недокачанные файлы и т.п. У меня есть идея другого сорта - попробовать просканировать базу кеша и вынуть оттуда подозрительные URL, которые недавно загружались

[QUOTE=Зайцев Олег;169436]Гигов 100 найдется ... там будет туча мусора - разные закачанные легитимные программы, битые - недокачанные файлы и т.п.[/QUOTE]Я наивно полагал, что кэш и закачанные файлы хранятся в разных папках. Нет?

[quote=Maxim;169439]Я наивно полагал, что кэш и закачанные файлы хранятся в разных папках. Нет?[/quote]
Не всегда.

[quote=Maxim;169439]Я наивно полагал, что кэш и закачанные файлы хранятся в разных папках. Нет?[/quote]
Нет, это не так. Я к примеру сохраняю штатным образом (из IE) некий файл из Инет ... он сначала сохраняется в кеш, а затем - переписывается куда сказано. При этом в кеше копия чаще всего остается - на случай, если я еще раз обращусь к этому ресурсу. При написании разных обновлялок/загружалок это бывает проблемой - на стороне WEB сервера приходится указывать в заголовке ответа, что файл не кешировать ... и в API это указывать. Причем еще момент - у альтернативных бразуров/качалок могут быть свои кеши, которы они ведут по собственным алгоритмам ...

Тогда действительно проблем больше.