Кстати, AVZ отлавливает не все трояны. Я уже не помню какие он не ловил, но могу подсказать прекрасный способ проверки. В гугле ищем по подобному запросу: "download crack". С найденных сайтов с "лекарствами" для программ с компа, содержимого веника которого не жалко, качается все подряд, 60-70% скачанных файлов будут заражены троянами, либо это будут тела самих троянов. Просто я когда-то такое пробовал. ;)
То, что не ловит - отсылать автору для включения в базу.
[quote=Зайцев Олег]Какая версия операционки ? Какая версия AVZ ? Есть ли правиа админа ? Как ведется запуск (локально, через терминалку) ? Где размещен сам AVZ (локальный диск, сетевой диск, CD/DVD, Flash) ?[/quote]
Ms Home Edition, Версия 2002, Сервис Пак 2. Конечно работаю из прав админа. Авз размещен локально. А вот про запуск честно говоря не понял :? Обычно запускаю, как все
Раньше всегда работало
Возможно слетела запись в Services....
[QUOTE=Xen]...слетела запись в Services....[/QUOTE]
AVZ во время проверки kernel-mode перехватов каждый раз "прописывает", если в текущий момент он не "прописан", а по окончании работы "отписывает" свой драйвер через интерфейс к SCM, поэтому "слетание", как вы говорите, вряд ли возможно.
Другое дело, если, скажем:
- пользователь ([B]Паладин[/B]) запустил AVZ из одного места;
- драйвер при этом "прописался" к этому расположению;
- потом каким-то образом драйвер не "отписался" (скажем, в процессе работы AVZ комп неожиданно перегрузился);
- потом пользователь полностью перенес AVZ в другое место и запустил его уже оттуда.
В этом случае как раз и произойдет описанная [B]Паладин[/B]-ом ситуация - это известная (в узких кругах ;)) ошибка AVZ.
[QUOTE=Паладин]...А вот про запуск честно говоря не понял :? Обычно запускаю, как все. Раньше всегда работало[/QUOTE]
Про запуск - не обращайте внимания, это не ваш случай! ;)
Для начала запустите AVZ из командной строки с ключом [I]DEBUG=Y[/I] или же, если у вас сделан ярлык на запуск AVZ, временно пропишите этот ключ в ярлыке, т.е., к примеру:
[I]"C:\Program Files\AVZ\avz.exe" DEBUG=Y[/I]
и запустите AVZ. Затем нажмите кнопку "[B]Пуск[/B]", и полученный лог пришлите сюда.
Ну, и, попутно, вопрос: у вас, случайно, не было описанной выше ситуации с переносом AVZ в другое место? Если да, то просто удалите ветку
[I]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AVZ[/I]
из реестра (если не боитесь, конечно) - после этого все нормализуется!
[quote=aintrust]Ну, и, попутно, вопрос: у вас, случайно, не было описанной выше ситуации с переносом AVZ в другое место? Если да, то просто удалите ветку
[I]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AVZ[/I]
из реестра (если не боитесь, конечно) - после этого все нормализуется![/quote]
Это как зделать то я незнаю
Вот логи [ATTACH]2014[/ATTACH]
Сканировал с DEBUG=Y
2aintrust: именно эту ситуацию я и имел ввиду
[QUOTE=Паладин]Это как зделать то я незнаю
Вот логи [ATTACH]2014[/ATTACH]
Сканировал с DEBUG=Y[/QUOTE]
За лог спасибо, координаты бага одннозначно определились, попробую его вопроизвести.
Насчет драйвера - надо будет сделать регистрацию "вручную", я все делаю по науке, отсюда и проблемы
Похоже, что AVZ не проверяет автозапуск файлов из ключа:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
Иллюстрация в этой теме:
[url]http://virusinfo.info/showthread.php?t=5244[/url]
Сегодня рылся в логах и нашёл вот такое:
Сбой при запуске службы "AVZ Kernel Driver" из-за ошибки
Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений Не удается найти текст сообщения с номером 0xAVZ Kernel Driver в файле сообщений %2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
[QUOTE=Паладин]Пишется :
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка загрузки драйвера - проверка прервана :?
[/QUOTE]
У меня тоже такая же ситуация , причем с ранними версиями AVZ <Ошибка загрузки драйвера - проверка прервана :? > происходила только в безопасном режиме ,в обычном режиме ошибок не было....., с последней версией AVZ - ошибка загрузки драйвера происходит и в обычном и в безопасном режиме....
[QUOTE=aintrust]Ну, и, попутно, вопрос: у вас, случайно, не было описанной выше ситуации с переносом AVZ в другое место?[/QUOTE]
вот, точно не помню... возможно и была ситуация с переносом с одной из ранних версий AVZ ....
[QUOTE=aintrust] Если да, то просто удалите ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\AVZ
из реестра (если не боитесь, конечно) - после этого все нормализуется![/QUOTE]
этой ветки у себя не нашел :?
[QUOTE=krid]этой ветки у себя не нашел :?[/QUOTE]
Если такой ветки нет - значит все ОК, по крайней мере с точки зрения той ситуации с переносом AVZ, что я описал - т.е. на этот счет можете не беспокоиться.
[QUOTE=krid]У меня тоже такая же ситуация , причем с ранними версиями AVZ <Ошибка загрузки драйвера - проверка прервана :? >
происходит и в обычном и в безопасном режиме....[/QUOTE]
Шлите сюда лог работы AVZ с ключом [I]DEBUG=Y[/I], как я описывал выше - это поможет прояснить ситуацию с загрузкой драйвера.
[QUOTE=aintrust]
Шлите сюда лог работы AVZ с ключом [I]DEBUG=Y[/I], как я описывал выше - это поможет прояснить ситуацию с загрузкой драйвера.[/QUOTE]
Добрый день,
что-то у меня не получается запуск AVZ с ключом DEBUG=Y,
пытался и в ярлыке прописать (пишет -имя конечного файла задано не правильно)....пробовал и через "Выполнить" ..... - может ,что-то не так делаю ....:embarasse
логи без DEBUG=Y прилагаю,
один в безопасном режиме ,другой в обычном...
[QUOTE=krid]Добрый день,
что-то у меня не получается запуск AVZ с ключом DEBUG=Y,
пытался и в ярлыке прописать (пишет -имя конечного файла задано не правильно)....пробовал и через "Выполнить" ..... - может ,что-то не так делаю ....:embarasse
логи без DEBUG=Y прилагаю,
[/QUOTE]
Логи без [I]DEBUG=Y[/I], к сожалению, никак не помогут. В ярлыке на запуск, если у вас таковой имеется, пропишите примерно так:
[I]"C:\Program Files\AVZ\avz.exe" DEBUG=Y[/I]
Обратите внимание, что если в пути к AVZ есть пробелы (как в вышеприведенном случае), то в ярлыке (и в строке "Выполнить" тоже) весь путь к AVZ от начала до конца нужно включить в двойные кавычки!
[QUOTE=aintrust]Логи без [I]DEBUG=Y[/I], к сожалению, никак не помогут. В ярлыке на запуск, если у вас таковой имеется, пропишите примерно так:
[I]"C:\Program Files\AVZ\avz.exe" DEBUG=Y[/I]
Обратите внимание, что если в пути к AVZ есть пробелы (как в вышеприведенном случае), то в ярлыке (и в строке "Выполнить" тоже) весь путь к AVZ от начала до конца нужно включить в двойные кавычки![/QUOTE]
Наверное мы и по дебаг-логу не поймаем глюк. Я сейчас переделываю загрузчик драйвера, чтобы он выдавал подроьности - почему не удалось загрузить драйвер.
[quote=krid]
этой ветки у себя не нашел :?[/quote]
Я тоже ненашел ! :? :)
[QUOTE=Зайцев Олег]Наверное мы и по дебаг-логу не поймаем глюк. Я сейчас переделываю загрузчик драйвера, чтобы он выдавал подроьности - почему не удалось загрузить драйвер.[/QUOTE]
Будешь грузить в обход SCM, т.е. напрямую? Я проверил, кстати, - этот вариант 100%-но работоспособен на Висте.
[QUOTE=aintrust]Логи без [I]DEBUG=Y[/I], к сожалению, никак не помогут. В ярлыке на запуск, если у вас таковой имеется, пропишите примерно так:
[I]"C:\Program Files\AVZ\avz.exe" DEBUG=Y[/I]
Обратите внимание, что если в пути к AVZ есть пробелы (как в вышеприведенном случае), то в ярлыке (и в строке "Выполнить" тоже) весь путь к AVZ от начала до конца нужно включить в двойные кавычки![/QUOTE]
ОК, спасибо ,получилось.....
логи DEBUG в безопасном,в обычном и с включенным AVZ GUARD.....
и на всякий случай протокол иследования системы.....
[QUOTE=krid]логи DEBUG в безопасном,в обычном и с включенным AVZ[/QUOTE]
Ага, спасибо за логи... Но, увы, легче не стало - тем более, что в обычном режиме драйвер [I]avz.sys[/I] все-таки загрузился и правильно показал перехваты в режиме ядра. По всей видимости, смог загрузиться и драйвер [I]avzguard.sys[/I]...
Сейчас ясно только одно - глюк плавающий, и в AVZ нужно вводить дополнительную диагностику для его локализации.
[quote=aintrust]Будешь грузить в обход SCM, т.е. напрямую? Я проверил, кстати, - этот вариант 100%-но работоспособен на Висте.[/quote]
Да, наверное в обход SCM, надоел он мне ... Я проверил "прямое прописывание" на NT4, W2K, XP, W2K3 - тоже страбатывает без проблем. Кстати, странный баг с остатками AVZ Guard в реестре тоже из-за SCM возникает, я симулировал этот баг сегодня, сведя воедино несколько описаний пользователей + логи
Я тут это, ковырнул свои архивчики, нарыл 28 вирусочков каких-то. Прогнал avz по ним и обнаружил что из 28-ми он обнаружил только 17. Возможно там не все трояны и червяки, но все же. Если нужно то полный архивчик (1,5 Мб) с вирями могу выслать, если нужно (напомните, плз, адресок, куда слать-то).
P.S. AVZ 4.15, с сегодняшним обновлением баз.
[QUOTE=blackcat] Если нужно то полный архивчик (1,5 Мб) с вирями могу выслать, если нужно (напомните, плз, адресок, куда слать-то).
[/QUOTE]
слать отсюда: [url]https://virusinfo.info/upload_virus.php[/url]
Эта проблема не уникальна для АВЗ, сам с таким сталкивался не раз. Да здравствует ZwLoadDriver =)
Обновление баз AVZ: 21538 сигнатур, 2 нейропрофиля, 55 микропрограмм лечения, микропрограммы эвристики: 358, цифровые подписи системных файлов: 48657, 9 микропрограмм восстановления системы
Обновленная база содержит поцедуры эвристики для обнаружения новых троянских программ, которые в последнее время активно рассылаются по почте. Новая процедура восстановления системы позволяет исправить проблему с исчезновением рабочего стола после лечения некоторых новых разновидностей троянских программ (подробнее см. [URL="http://z-oleg.com/secur/advice/adv1103.php"][COLOR=#800080]http://z-oleg.com/secur/advice/adv1103.php[/COLOR][/URL])
Кстати, забыл сказать - теперь на сайте по многочисленным просьбам трудящихся действует информер - он показывае версию AVZ, дату апдейта баз и остновные цифры по базе
Обновление через прокси с парольным доступом не получилось :(. Пришлось выводить ресурсы из-под авторизации.
Вообще немножко неправильно, IMHO: настройки Internet Explorer в отношении прокси определяют только хост и порт прокси, авторизация всё равно задаётся отдельно. То есть, логин/пароль на прокси надо и для варианта "Настройки IE".
Попытался послать, вроде как даже 1,5 Мб траффика отмотало, а потом выдало, что не указана тема, хотя я аккуратно скопировал название темы прямо с форума. Может я не понял что за тема имелась в виду, но сам факт слегка огорчил. :(
Не получается обновить :( Ни с настройками из ИЕ, ни с ручной пропиской прокси. Хотя ранее обновлялся без проблем при указании "использовать данные ИЕ"
Не загружается с любыми настройками с обоих адресов.
Помогает только отключение Фаервола.
Смутное чуйство, перерастающее в уверенность, что используются другие порты кроме 80.
Вопрос как настроить фаер, чтобы таки обновляться?
[B]Din Gior[/B], вообще-то в таких случаях нужно сначала глядеть в логи фаера и смотреть что блокируется и по какому порту и по какой причине. Кстати, говорят помогает.
[QUOTE=Din Gior]Не загружается с любыми настройками с обоих адресов.
Помогает только отключение Фаервола.
Смутное чуйство, перерастающее в уверенность, что используются другие порты кроме 80.
Вопрос как настроить фаер, чтобы таки обновляться?[/QUOTE]
Загрузка идет штатным способом, по порту 80. Возможно одно из двух - или не прошел запррос DNS, или блокируется сам обмен. Днйствительно, нужно логи Firewall смотреть - он должен сообщить, что блокировал и почему.
[U]Во-первых[/U], avz4 мне очень помог.
Только при помощи него отловил "пакость", которая автоматически прописывала в настройках модемного соединенния какой то левый телефон с кодом выхода на международную линию (10)! Никакие антивирусы, антитрояны (Avira AntiVir, Symantec, AdWare, ...) ничего не находили. Только AVZ указал на два файла (internt.exe, itunesff.exe в \windows\system32) как подозрительные. Это было 30.03.2006.
[U]А во-вторых[/U], сегодня (14.04.2006), Avira уже распознает их как TR/LipGame.O и к тому же [B]указывает и на AVZ как HEURESTIC/Hijaker![/B]
Если нужно, могу прислать эти файлы.
[QUOTE=Erick][U]Во-первых[/U], avz4 мне очень помог.
Только при помощи него отловил "пакость", которая автоматически прописывала в настройках модемного соединенния какой то левый телефон с кодом выхода на международную линию (10)! Никакие антивирусы, антитрояны (Avira AntiVir, Symantec, AdWare, ...) ничего не находили. Только AVZ указал на два файла (internt.exe, itunesff.exe в \windows\system32) как подозрительные. Это было 30.03.2006.
[U]А во-вторых[/U], сегодня (14.04.2006), Avira уже распознает их как TR/LipGame.O и к тому же [B]указывает и на AVZ как HEURESTIC/Hijaker![/B]
Если нужно, могу прислать эти файлы.[/QUOTE]
Подозрительные файлы конечно стоит прислать, а то, что Avira ругается на AVZ - это нормально для них ... периодически бывает.
[QUOTE=Din Gior]
Вопрос как настроить фаер, чтобы таки обновляться?[/QUOTE]
А фаер то какой? Ну, а если в "общих чертах", создать правило для AVZ с разрешением подключения к конкретному адресу с 80 портом.
Прога классная, у меня находила троянов, которые не находил например
шпионский модуль Outpost, а ведь он в отличие от данной утилиты платный...
Маленькое пожелание - хотелось иметь возможность на сайте подписаться, чтоб своевременно узнавать о выходе новых баз и прочих полезных новостях :)
А также в самой проге хотелось бы видеть не только версию релиза, но
и текущую версию баз которые используются.
Удачи автору и пожелание не бросать столь полезное дело !
--------------------------------------------------------------
Administrator of [url]www.kkm.info[/url] & [url]www.rfidchip.info[/url] projects
[QUOTE=Mikle]Маленькое пожелание - хотелось иметь возможность на сайте подписаться, чтоб своевременно узнавать о выходе новых баз и прочих полезных новостях :)[/QUOTE]
RSS - [url]http://z-oleg.com/rssnews.php[/url]
В одной из тем форума, пользователь предположил, на основе антивирусной утилиты AVZ4, что в модуле пространства ядра сидит Троян. Он выявляется как \??\С:\Windows\Temp\mc21.tmp или mc22.tmp (зависит от количества установок). Реально этот *.tmp, прописан утилитой «TuneUp Utilities 2006» (и в ранней), в опциях украшения столов. Можно заблокировать ключь в реестре, просто перестанет работать сия утилита. Сносишь настройки украшательств, и умирает \Temp\mc21.tmp. Таким образом, можно совсем заблудиться.
Важно, что AVZ4 не видит реальный Троян «Backdoor.ide21201», в «TuneUp Utilities 2006», тело которого находится в «ide.vxd», да не огорчится автор утилиты, не видит его не только AVZ, не видит его и Anti-Trojan Shield 2, NOD32 я просто ткнул носом, не увидел! Специально для теста установил «Ad-Aware SE Professional» buil 1.04, совсем она меня расстроила, ведёт борьбу с coocie в[email protected] , и больше ни чего не находит.
[QUOTE=Goodwin]...Таким образом, можно совсем заблудиться. [/QUOTE]
Ага... уже слегка заметно... ;)
[QUOTE=Goodwin]Важно, что AVZ4 не видит реальный Троян «Backdoor.ide21201», в «TuneUp Utilities 2006», тело которого находится в «ide.vxd», да не огорчится автор утилиты, ...[/QUOTE]
Так пришлите автору AVZ файл [I]ide.vxd[/I] на "препарацию" - тогда AVZ сразу и увидит этот троян (если он там действительно есть). И вам будет счастье, и всем остальным пользователям!
[QUOTE=Goodwin]Важно, что AVZ4 не видит реальный Троян «Backdoor.ide21201», в «TuneUp Utilities 2006», тело которого находится в «ide.vxd», да не огорчится автор утилиты, не видит его не только AVZ, не видит его и Anti-Trojan Shield 2, NOD32 я просто ткнул носом, не увидел![/QUOTE]
И не только они его не видят:
[CODE]AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found nothing
UNA Found nothing
VirusBuster Found nothing
VBA32 Found nothing[/CODE]
Может его там и нет? ;)
[quote=Exxx]Может его там и нет? ;)[/quote]
Все может быть - как говориться "зверя в студию" :) я даже кажется знаю, о чем идет речь ...
[QUOTE=Зайцев Олег]Все может быть - как говориться "зверя в студию" :) я даже кажется знаю, о чем идет речь ...[/QUOTE]
[CODE]Файл сохранён как ide.vxd_4443742f778ec.rar
Размер файла 683
MD5 53f0924b5809ea4afa133594b63b70bb [/CODE]