[QUOTE=rav]
Домохозяйка не использует js/vbs скриптов. Но, в любом случае, это будет переделано в защиту на основе правил (как у .bat/.cmd- скриптов).[/QUOTE]
Домохозяйка нет, а вот некоторые программы при инсталяции используют. В результате получаем кривую инсталяцию, которую потом замучаешся вычищть ручками(потому что она упала в середине и деинсталятор не создался).
[QUOTE=Зайцев Олег]... и при этом собственно ничто не мешает AVZGuard-у будующих версий на такой случай получить возможность приписаться как boot драйверу, и попросить перезагрузки. А после перезагрузки AVZGuard немедленно удаляет свою регистрацию (на случай багов) и на полученный сеанс действует его защита (далее подгружается AVZ и начинается сигнатурынй поиск и ручная чистка).[/QUOTE]
Ох, и мечтатель же ты! А лапшу с ушей уже можно снимать? :)
Ну, а если серьёзно, то, слава богу, дискуссия хотя бы немного позволила вырулить в нужном направлении - по крайней мере, даже такое решение - это намного лучше того, что мы имеем сейчас!
[COLOR=black]Не много не в тему но:[/COLOR][COLOR=black][/COLOR]
[I][COLOR=black][FONT=Verdana]6. Поиск открытых портов TCP/UDP, используемых вредоносными программами[/FONT][/COLOR][/I][I][COLOR=black]
[I][FONT=Verdana] В базе 319 описаний портов[/FONT][/I]
[I][FONT=Verdana] На данном ПК открыто 1 TCP портов и 2 UDP портов[/FONT][/I]
[I][FONT=Verdana] Проверка завершена, подозрительные порты не обнаружены[/FONT][/I]
[/COLOR][/I][COLOR=black]теперь это сообщение просто радует глаза ни каких сообщений об ошибке ни при каких условиях!!!!!![/COLOR]
Да нет, ошибка эта осталась (о чём я уже тут умоминал).
[code]Протокол антивирусной утилиты AVZ версии 4.15
Сканирование запущено в 04.03.2006 2:05:44
Загружена база: 20554 сигнатуры, 2 нейропрофиля, 55 микропрограмм лечения, база от 22.02.2006 10:42
...SKIP...
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
В базе 319 описаний портов
В ходе проверки возникла ошибка. Проверка не производилась[/code]
2 замечания и вопрос:
1. Проверка только указанной папки так и не реализована. :( Avz рвется проверять все в направлении корня.
2. Неверный вывод при проверке зараженных архивов: [code]C:\tmp1\socks5.rar - чист, в базе безопасных НЕ значится
C:\tmp1\socks5.rar/{RAR}/socks5.#xe >>>>> Trojan-Proxy.Win32.Small.cf [/code]
3. Олег, ты смотришь внимательно файлы, которые проверяются в онлайн с этого сайта? ([i]Проверка файлов антивирусами AVZ и VBA в режиме on-line[/i])
[QUOTE=userr]
3. Олег, ты смотришь внимательно файлы, которые проверяются в онлайн с этого сайта? [/QUOTE]
смотрит, когда они к нему попадают. а попадают они кучками. что там не так с этими файлами?
[QUOTE=MOCT]смотрит, когда они к нему попадают. а попадают они кучками. что там не так с этими файлами?[/QUOTE]
Вопрос вообще-то к Олегу :), интересует степень внимания к файлам, полученным из онлайн-проверки по сравнению с присланным ему на e-mail.
[QUOTE=userr]Вопрос вообще-то к Олегу :), интересует степень внимания к файлам, полученным из онлайн-проверки по сравнению с присланным на email[/QUOTE]
а ответ все равно будет от меня, ибо за онлайн-проверку я отвечаю.
если хотите быстрого внесения в базу - пишите напрямую Олегу. если просто хочется убедиться в чистоте и текущем присутствии/отсутствии в базе - то через сайт. а степень внимания ко всем одинаковая.
Я вдруг подумал, что зря написал здесь мейл Олега в чистом виде.
[QUOTE=userr]Я вдруг подумал, что зря написал здесь мейл Олега в чистом виде.[/QUOTE]
я думаю, что его тут уже столько раз написали, что плюс-минус один раз уже не повредит ;-)
поиск по сайту показывает 157 тем с указанием этого адреса :)
[QUOTE=userr]Я вдруг подумал, что зря написал здесь мейл Олега в чистом виде.[/QUOTE]
Ничего страшного - мой email пробит в хелпе и еще тысяче мест ... Насчет добавления проверяемых в on-line файлов - MOCT периодически скидывает мне подозреваемые/недетектироемые для анализа и включения в базы. Хотя быстрый путь включения файла в базу - это его отправка на [email][email protected][/email]
Программа IMsecure ( ZONE LABS, INC.)
Анализатор - изучается файл D:\Program Files\IMsecure\IMsecure.exe
[ES]:Может работать с сетью
[ES]:Приложение не имеет видимых окон
[ES]:Записан в автозапуск !!
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?
D:\Program Files\IMsecure\IMsecure.exe
D:\Program Files\IMsecure\imfrmwk.dll
D:\Program Files\IMsecure\IMUTIL.dll
D:\Program Files\IMsecure\IMINIT.dll
D:\Program Files\IMsecure\IMPUBAPI.dll
C:\WINDOWS\System32\lockbox.dll
D:\Program Files\IMsecure\policymgr.dll
C:\WINDOWS\System32\imslsp.dll
D:\Program Files\IMsecure\imdata.dll
D:\Program Files\IMsecure\immonapi.dll
Некоторые загружаются в Outpost Firewall это
C:\WINDOWS\System32\imslsp.dll
C:\WINDOWS\System32\lockbox.dll
И ещё в оба svchost.exe
C:\WINDOWS\System32\imslsp.dll
C:\WINDOWS\System32\LIBEAY32_0.9.6l.dll
C:\WINDOWS\System32\lockbox.dll
Поставщики транспортных протоколов (TSP, LSP) Поставщик Исп. файл Описание (ДОБАВИЛИСЬ)
imslsp/1140897371 over [MSAFD Tcpip [TCP/IP]] C:\WINDOWS\System32\imslsp.dll Copyright © 1998-2004, Zone Labs, Inc.(1, 5, 0, 39)
imslsp/1140897371 over [MSAFD Tcpip [UDP/IP]] C:\WINDOWS\System32\imslsp.dll Copyright © 1998-2004, Zone Labs, Inc.(1, 5, 0, 39)
imslsp/1140897371 over [MSAFD Tcpip [RAW/IP]] C:\WINDOWS\System32\imslsp.dll Copyright © 1998-2004, Zone Labs, Inc.(1, 5, 0, 39)
imslsp/1140897371 C:\WINDOWS\System32\imslsp.dll Copyright © 1998-2004, Zone Labs, Inc.(1, 5, 0, 39)
Для справки:
Программа повышает безопасность использования ICQ MSN и др. аналогичных программ для обмена сообщениями.
Защищяет от спамеров похищения паролей и утечки личной информации.
Может чтото надо изучить? (Файлы вроде неизвесные для AVZ)
AVZ после тестирования нашла такой файл :
E:\Documents and Settings\ALEXANDER\Datos de programa\Sun\Java\Deployment\cache\javapi\v1.0\jar\jts.jar-510faa1-3d0211bc.zip Invalid file - not a PKZip file
Этот файл вижу в папке (скрин прилагаю).Найти его и упаковать через поиск файла в AVZ не могу. Задаю имя в поиске,без результата.
Удалил бы его сразу,только может послужит как добавление в базу "гадостей".
Подскажите что можно сделать для упаковки и отправки.
[QUOTE=kozakoff]Удалил бы его сразу,только может послужит как добавление в базу "гадостей".
Подскажите что можно сделать для упаковки и отправки.[/QUOTE]
присылать не нужно - гадостью не является
[HTML]гадостью не является[/HTML]
Спасибо.
После включения AVZGuard и перезагрузки компьютера система находит новое оборудование. Так как драйвера нет, оно не устанавливается, а в свойствах вижу:ROOT\LEGACY_AVZ\000 .Подскажите, пожалуйста, что всё это значит?
Это и есть AVZ Guard. А вот почему система не находит драйвера - это большой вопрос. Должен быть.
[QUOTE=aleksdem]После включения AVZGuard и перезагрузки компьютера система находит новое оборудование. Так как драйвера нет, оно не устанавливается, а в свойствах вижу:ROOT\LEGACY_AVZ\000 .Подскажите, пожалуйста, что всё это значит?[/QUOTE]
Я несколько раз получал отчеты о таком баге, причны его проявления неизвестны и симулировать его мне пока не удалось. Решение простое - прибить это "устройство", чтобы не появлялось сообщение о обнаруженном оборудовании.
Прибивать приходиться после каждого запуска AVZGuard, но после добавления файла avz_thebat проблема, вроде, исчезла.
Как известно, наличие собственного "белого" списка программ/модулей выгодно отличает [I]AVZ[/I] от многих анти-троянских программ и является, наряду с возможностью получения файлов '[I]Исследования системы[/I]', несомненным достоинством [I]AVZ[/I], отмечаемым многими пользователями программы. Однако, при более пристальном рассмотрении оказалось, что при определенных обстоятельствах эти достоинства могут легко превратиться в серьезные недостатки. Итак, ближе к делу...
Несколько дней назад, при обсуждении в [URL="http://virusinfo.info/showthread.php?t=4971"]соседнем разделе[/URL] программ, динамически устанавливающих свои драйверы путем создания временного файла-драйвера, активации драйвера и последущего удаления файла-драйвера (так, как известно, поступают многие программы, в частности - утилиты от [I]Sysinternals[/I], [I]F-Secure BlackLight[/I], некоторые анти-троянские программы и т.д.), [B][URL="http://virusinfo.info/member.php?u=2119"]МОСТ[/URL][/B] выдвинул предложение о том, что было бы неплохо такие временные файлы помещать в базы "чистых" файлов [I]AVZ[/I] с тем, чтобы они при анализе (в частности, в '[I]Исследовании системы[/I]') не попадали в "черные" списки:
[QUOTE=MOCT]
[QUOTE=Зайцев Олег]aintrust прав все три раза - avz.sys грузится как есть, из каталога AVZ и без переименования, и он естественно распознается как безопасный. Есть подозрение, что mc21.tmp - это что-то типа EXE/DLL, хранимой внутри какого-то приложения. Я подобное поведение десятки раз наблюдал на вполне безопасных программах[/QUOTE]
однозначно.
а по поводу безопасности - пусть даже и безопасная, так все равно не помешает в базу чистых добавить, чтобы больше такие записи нас не смущали[/QUOTE]
Не будем сейчас останавливаться на том, как это лучше сделать - путем ли "выдирания" этих файлов из ресурсов, посредством программ восстановления файлов на диске или еще как-то с последующим добавлением в базу "чистых" - это не важно, т.к. "проблему" попадания таких файлов в "черные" списки, как оказалось, это [U]вообще[/U] не решает! [U]Связано это с тем, что [I]AVZ[/I], чтобы принять решение о том, поместить ли файл, соответствующий некоторому процессу/модулю, в "белый" список или нет, должен "увидеть" этот файл на диске, т.е. соответствующий процессу/модулю проверяемый файл банально должен существовать - иначе, казалось бы, как сравнить сигнатуру и ее объект?[/U] Отсюда простой [U]вывод #1[/U]: "соответствующий" процессу/модулю, но не существующий на диске файл [I]AVZ[/I] 100%-но помещает в "черный" список. Для проверки этого обстоятельства я провел простой эксперимент. [I]AVZ[/I], как известно, помещает свой основной драйвер, [I]avz.sys[/I], в "белый" список (см. [URL="http://aintrust.narod.ru/images/avzwhitelist/avz1.png"]скриншот #1[/URL]). Я загрузил [I]AVZ[/I], потом "на лету" переименовал этот файл, [I]avz.sys[/I], в [I]_avz.sys[/I] (т.е. файл для [I]AVZ[/I] как бы исчез!) - и [I]AVZ[/I] сразу же поместил его в "черный" список (см. [URL="http://aintrust.narod.ru/images/avzwhitelist/avz2.png"]скриншот #2[/URL]). Тогда я пошел дальше: вместо оригинального [I]avz.sys[/I], который так и остался пока что переименованным, я сделал копию [I]avz.exe[/I] и переименовал ее в [I]avz.sys[/I] - AVZ, само собой, подлога не заметил и сразу же стал считать avz.sys "чистым" (см. [URL="http://aintrust.narod.ru/images/avzwhitelist/avz3.png"]скриншот #3[/URL] - обратите внимание на длину файла [I]avz.sys[/I] в папке [I]AVZ[/I]).
Ладно, подумал я, а что будет, если начать "подменять" ("сплайсить") файлы на диске (т.е. после запуска "грязного" файла-оригинала его тут же переименовать (не важно, в какое имя!), а в каталог, где он лежит, переписать заведомо "чистый", например, системный, файл, дав ему старое имя "грязного" файла-оригинала)? И - о чудо! :) "Грязные" файлы, с которыми я провел такие манипуляции, тут же для [I]AVZ[/I] превратились в "чистые" - как во всех окнах и отчетах [I]AVZ[/I], так и в '[I]Исследовании системы[/I]'! Я провел этот эксперимент с постоянно запущенным агентом программы [I]Winamp[/I] (ему соответствует файл [I]winampa.exe[/I]), который изначально не находился в "белом" списке [I]AVZ[/I]. Я переименовал этот файл в [I]_winampa.exe[/I], в каталог программы [I]Winamp[/I] переписал заведомо "чистый" файл [I]Блокнота[/I] ([I]notepad.exe[/I]), переименовал его в [I]winampa.exe[/I] - и это все! Процесс, инициированный [I]winampa.exe[/I], для [I]AVZ[/I] тут же стал "чистым" (см. [URL="http://aintrust.narod.ru/images/avzwhitelist/avz4.png"]скриншот #4[/URL] - обратите внимание на графу '[I]Описание[/I]' в '[I]Диспетчере процессов[/I]' [I]AVZ[/I] :))! Итак, простой [U]вывод #2[/U]: описанным выше способом в [I]AVZ[/I] можно сделать "чистым" любой запущенный на выполнение файл - даже новый троян или вирус (и это очень просто!), и этот троян/вирус не попадет в '[I]Исследование системы[/I]', а во всех отчетах будет выглядеть "чистым"! Понятно, что если сигнатура такого файла известна [I]AVZ[/I], и мы запустим сканирование файлов, то этот файл неминуемо будет обнаружен. А что, если неизвестна? :)
Отсюда простой [U]вывод #3[/U]: существующую в [I]AVZ[/I] методику определения "чистых" файлов нужно менять, и чем скорее - тем лучше, т.к. в указанных выше обстоятельствах она не только не помогает, а даже наоборот - вводит в полное заблуждение! Как известно, во время формирования базы "чистых" объектов имя объекта не учитывается, а при анализе же на "чистоту" [I]AVZ[/I] ищет объект в файловой системе [U]только[/U] по имени (плюс полный путь) - никакие другие "признаки"/атрибуты в расчет не берутся! Даже в этом налицо некоторое противоречие!
Что же нужно сделать? Казалось бы, простую вещь: при проверке процесса на "чистоту" проверять не файл на диске, ему "соответствующий", а его образ в памяти, учитывая при этом только те атрибуты, которые остаются неизменными при загрузке файла в память (ведь изначально база "чистых" формируется из файлов, а не из их образов в памяти!). Это, кстати, решило бы проблему и временных файлов-драйверов, а также прочих похожих объектов - ведь в памяти компьютера все эти объекты практически постоянно присутствуют! Казалось бы простую вещь... :) Конечно же - на деле совсем "не простую": вполне вероятно, что "эта простая вещь" потребует пересмотра даже принципа формирования базы "чистых" объектов, не говоря уже о самой методике проверки!
Такие вот дела...
[edit]
PS. Я сделал необходимые правки в описании (особенно это касается вывода #2), т.к. из моего описания не совсем было понятно, что во время всех манипуляций с файлами "грязный" процесс уже должен быть запущен. Насколько я понимаю, именно из-за этой моей "невнятности" сразу же последовал вопрос от [B]HATTIFNATTOR[/B]-а.