AVZ 4.29

Printable View

Показывать 40 сообщений этой темы на одной странице

09.01.2008, 16:54
LoMo

Зайцев Олег
Такой вопрос... тоесть Agnitum Outpost Firewall PRO (32-bit) 6.0 не даёт нормально AVZ работать и что бы нормально проходило сканирование - лечение надо сносить Agnitum Outpost Firewall PRO (32-bit) 6.0 и переходить на версию ниже 6.0? или это не влияет на эффект лечение - сканирование?
Заранее спасиб:smile:
09.01.2008, 17:03
Jef239

В поиске Cookies не работает кнопка "Сохранить протокол". То есть вообще никаких действий не вызывает.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[quote=LoMo;169494]Зайцев Олег
Такой вопрос... тоесть Agnitum Outpost Firewall PRO (32-bit) 6.0 не даёт нормально AVZ работать и что бы нормально проходило сканирование - лечение надо сносить Agnitum Outpost Firewall PRO (32-bit) 6.0 и переходить на версию ниже 6.0? или это не влияет на эффект лечение - сканирование?
Заранее спасиб:smile:[/quote]
Я бы сказал так - если ты подозреваешь, что у тебя руткиты - для начала отсоединись от инета и снеси всё руткитоподобное (антивирусные ядра, брандамауэры и защиты игрушек).

Брандмауэр не даёт его отключить ни зловредам ни AVZ. И это вообще-то правильно. Равно как и хорошее антивирусное ядро не должно позволять AVZ его снимать.
На мой взгляд выход - убрать из стандартного скрипта безусловное снятие руткитов и заменить его на условное, чтобы пользователь мог попробовать и так и так.
10.01.2008, 11:21
psw

Вопрос по мастеру поиска и исправления проблем.
Исправление пункта
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
сводится к установлению параметра
AutoShareWks в 0
(HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters)
При этом, конечно, шары C$ etc. убиваются, но убиваются все шары вообще и,
что для пользователя может оказаться неожиданным, исчезает вкладка Sharing как класс. Т.е. пользователь при этом новую шару (неадминистративную) сделать просто не может.
Вопрос: а) насколько правильно такое поведение; б) не лучше ли было после убития административных шар вернуть значение параметра в прежнее значение
(если руками поставить 1, то вкладка появится, но об этом пользователь должен знать).
10.01.2008, 12:38
Зайцев Олег

[quote=psw;169943]Вопрос по мастеру поиска и исправления проблем.
Исправление пункта
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
сводится к установлению параметра
AutoShareWks в 0
(HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters)
При этом, конечно, шары C$ etc. убиваются, но убиваются все шары вообще и,
что для пользователя может оказаться неожиданным, исчезает вкладка Sharing как класс. Т.е. пользователь при этом новую шару (неадминистративную) сделать просто не может.
Вопрос: а) насколько правильно такое поведение; б) не лучше ли было после убития административных шар вернуть значение параметра в прежнее значение
(если руками поставить 1, то вкладка появится, но об этом пользователь должен знать).[/quote]
Поведение в принципе правильное, в визарде есть такая фича - отмена изменений. С ее помощью в случае чего можно отменить сделанные изменения
11.01.2008, 09:27
zerocorporated

У avz есть команды GetComputerName и т.д. возвращающие какое либо значение. Может стоить добавить к ним команды для получения текущей даты и времени? Просто если отчеты будут складываются на сервере просто с названием машины - удобно бы чтоб они например сортировались по папкам(По дате) и внутри содержали время сканирования прям в имени файла.
11.01.2008, 11:01
Muffler

[quote=zerocorporated;170498]У avz есть команды GetComputerName и т.д. возвращающие какое либо значение. Может стоить добавить к ним команды для получения текущей даты и времени? Просто если отчеты будут складываются на сервере просто с названием машины - удобно бы чтоб они например сортировались по папкам(По дате) и внутри содержали время сканирования прям в имени файла.[/quote]

[CODE]FormatDateTime('hhnn_ddmmyyyy',Now);[/CODE]
11.01.2008, 14:28
Гость форума

6. Поиск открытых портов TCP/UDP, используемых вредоносными программами

.......................................
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
.......................................
подскажите пожалуста что это значит?
я ничево не отключал
и ещё при запуске avzguard у меня блокируется ехе файлы
пишет у вас нет прав доступа
11.01.2008, 15:00
Гость форума

[QUOTE=Гость форума;170588]6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
подскажите пожалуста что это значит?
я ничево не отключал[/QUOTE]
Для ясности правильнее было бы сказать [B]не включена[/B] пользователем.

[QUOTE=Гость форума;170588]
и ещё при запуске avzguard у меня блокируется ехе файлы
пишет у вас нет прав доступа[/QUOTE]
Читаем справку AVZ - так было задумано.
11.01.2008, 15:05
Гость форума

Поиск открытых портов TCP/UDP

спасибо.
а где это включить?
11.01.2008, 15:28
rubin

Вкладка "Параметры поиска" в главном окне AVZ
12.01.2008, 12:34
rubin

[url]http://virusinfo.info/showthread.php?t=16297[/url]

AVZ не видит C:\WINNT\system32\hg543fdg.dll
15.01.2008, 12:49
Макcим

[B]DelAutorunByFileName[/B] не работает!!!
15.01.2008, 19:03
psw

Сегодня попробовал выполнить на работе стандартный скрипт 2. Видно было процесс сканирования на экране, который доходил до конца, но после этого (по видимому в момент создания самого отчета, процент выполненной работы при этом был от 85 до 95 процентов) выскакивало окошко AVZ "Invalid variant type". Эффект был устойчивый. Никакого архива при этом не создавалось.
Проверка Cureit!/AVZ/HJT никаких вирусных проблем не выявила.
AVZ 4.29, операционная система Win2kSP4en (по-видимому, без последующих апдейтов).
Что бы это могло значить? P.S. На домашней Win2kSP4 то же самое. Снимок окна прилагается.
15.01.2008, 20:16
patq

Как avz.cnt превратить avz.hlp

Установил avz 4.29. Захотел почитать справку. Она открылась в Help Workshop. Посмотрел файл справки он представлен в формате avz.cnt.
Пожалуйста, посоветуйте как его перевести в avz.hlp
15.01.2008, 21:17
borka

[QUOTE=patq;172678] Пожалуйста, посоветуйте как его перевести в avz.hlp[/QUOTE]
Может, я чего-то не понял, но файл avz.hlp лежит рядом с экзешником...
15.01.2008, 21:35
Макcим

Кроме того есть on line справка [url]http://z-oleg.com/secur/avz_doc/[/url]
15.01.2008, 22:13
Зайцев Олег

[quote=psw;172649]Сегодня попробовал выполнить на работе стандартный скрипт 2. Видно было процесс сканирования на экране, который доходил до конца, но после этого (по видимому в момент создания самого отчета, процент выполненной работы при этом был от 85 до 95 процентов) выскакивало окошко AVZ "Invalid variant type". Эффект был устойчивый. Никакого архива при этом не создавалось.
Проверка Cureit!/AVZ/HJT никаких вирусных проблем не выявила.
AVZ 4.29, операционная система Win2kSP4en (по-видимому, без последующих апдейтов).
Что бы это могло значить? P.S. На домашней Win2kSP4 то же самое. Снимок окна прилагается.[/quote]
Стоит обновить базы и проверить еще раз - баг отловлен, код в базах скорректирован.

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

[quote=Maxim;172439][B]DelAutorunByFileName[/B] не работает!!![/quote]
Как не работает ?
15.01.2008, 23:33
XL

Олег, а можно рассказать, в каких случаях AVZ выдает алерт в логе о том, что обнаружена защита от антируткитов? Сегодня попалась одна такая машина, пришлось убить 3 часа своего времени на ее полное излечение в итоге.
Это не тот случай, когда трояном патчится ntoskrnl.exe?
15.01.2008, 23:42
Зайцев Олег

[quote=XL;172790]Олег, а можно рассказать, в каких случаях AVZ выдает алерт в логе о том, что обнаружена защита от антируткитов? Сегодня попалась одна такая машина, пришлось убить 3 часа своего времени на ее полное излечение в итоге.
Это не тот случай, когда трояном патчится ntoskrnl.exe?[/quote]
AVZ в основном ругается на защиту в том случае, если зловред блокирует доступ к ntoskrnl.exe, это делается для того, чтобы антируткит не мог сравнить имеющийся на диске ntoskrnl и то, что есть в памяти
16.01.2008, 01:54
drol

Олег, я человек не сведущий в антивирусных отчетах. Подскажите, что значит «Прямое чтение C:\Documents and Settings\Олег\AppData\Local\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Temporary Internet Files\Content.IE5\index.dat” С уважением.
16.01.2008, 02:12
pig

Прямое чтение - это чтение в обход файловой системы. Непосредственно с диска на физическом уровне. Применяется тогда, когда система не пускает читать файл обычным образом.
16.01.2008, 03:56
zerocorporated

[QUOTE=drol;172834]Олег, я человек не сведущий в антивирусных отчетах. Подскажите, что значит «Прямое чтение C:\Documents and Settings\Олег\AppData\Local\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Temporary Internet Files\Content.IE5\index.dat” С уважением.[/QUOTE]

Прямое чтение означает, что обычным способом считать данные не удалось (использовались чем-то) и AVZ применяет "Прямое чтение".
Основано оно на том, что AVZ получает список кластеров где расположена информация и пытается считать информацию с этих кластеров.

Упс... ответечали уже.
16.01.2008, 09:11
Макcим

[QUOTE=Зайцев Олег;172755]Как не работает ?[/QUOTE]Просто не работает. Применял в нескольких темах для зачистки мусора. Связка SysCleanAddFile + ExecuteSysClean справилась.
16.01.2008, 21:44
patq

[quote=borka;172712]Может, я чего-то не понял, но файл avz.hlp лежит рядом с экзешником...[/quote]
Еще раз посмотрел архив. Лежит там родненький, вместе с avz.cnt.
Выходит незаметно для себя avz.hlp затер.
Спасибо за помощь
19.01.2008, 10:43
rubin

Нельзя ли, чтобы AVZ как-то выводил следующие строки в логах?

[url]http://virusinfo.info/showthread.php?t=16621[/url]

[code]O17 - HKLM\System\CCS\Services\Tcpip\..\{150DB5AC-1F8A-4229-8630-0D0F9EB5F992}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{2D640CCF-615A-4753-ADBB-634355DEEC8D}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE5C1B6-A6CC-49A7-83AE-CA0AB863D00E}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD25A1B6-029A-4888-8BB7-686C2896D834}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68[/code]
А то пользователь сразу сказал, что серверы не его... начали искать - Trojan.DNSChanger - как и ожидалось
20.01.2008, 00:26
Jef239

Вызываю "Исследование системы". Запускаю. По окончании спрашивает "Показать протокол". Отвечаю YES и.... ничего не показывается. Сам протокол на диске есть, ассоциация на HTM живая и назначена на IE.
Баг?!
20.01.2008, 11:24
Макcим

У меня так же :(
20.01.2008, 14:34
Bratez

Угу. Если браузер по умолчанию - не IE, то не открывает. Приходися через контекстное меню, либо Файл-Открыть...
21.01.2008, 10:08
rubin

У меня вопрос возник, может подскажет кто.
Работают ли такие комбинации:
[code]DeleteFileMask('папка', 'файлмаска', false);
BC_ImportDeletedList[/code]
Т.е. все удаляемые файлы будут импортировать в BC? И удаляться при загрузке, если по хорошему не вышло?
И второй:
[code]DeleteFileMask('папка', 'файлмаска', false);
ExecuteSysClean[/code]
Будет ли проводиться чистка удаляемых файлов?
21.01.2008, 11:10
Зайцев Олег

[quote=rubin;175591]У меня вопрос возник, может подскажет кто.
Работают ли такие комбинации:
[code]DeleteFileMask('папка', 'файлмаска', false);
BC_ImportDeletedList[/code]
Т.е. все удаляемые файлы будут импортировать в BC? И удаляться при загрузке, если по хорошему не вышло?
И второй:
[code]DeleteFileMask('папка', 'файлмаска', false);
ExecuteSysClean[/code]
Будет ли проводиться чистка удаляемых файлов?[/quote]
Да, в теории должно работать. DeleteFileMask по сути цикл поиска файлов по заданным условим + вызов DeleteFile для всех найденных

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=rubin;174835]Нельзя ли, чтобы AVZ как-то выводил следующие строки в логах?

[URL]http://virusinfo.info/showthread.php?t=16621[/URL]

[code]O17 - HKLM\System\CCS\Services\Tcpip\..\{150DB5AC-1F8A-4229-8630-0D0F9EB5F992}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{2D640CCF-615A-4753-ADBB-634355DEEC8D}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE5C1B6-A6CC-49A7-83AE-CA0AB863D00E}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD25A1B6-029A-4888-8BB7-686C2896D834}: NameServer = 85.255.115.101,85.255.112.68
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68[/code]
А то пользователь сразу сказал, что серверы не его... начали искать - Trojan.DNSChanger - как и ожидалось[/quote]
Нельзя - многие пользователи считают такие настройки конфиденциальными (в корпоративной среде как может и быть), и "засветка" в логах адресов DNS, прокси, прочих настроек начиная с IP адреса и т.п. часто воспринимается весьма отрицательно.
21.01.2008, 12:15
Geser

[QUOTE=Зайцев Олег;175618]

Нельзя - многие пользователи считают такие настройки конфиденциальными (в корпоративной среде как может и быть), и "засветка" в логах адресов DNS, прокси, прочих настроек начиная с IP адреса и т.п. часто воспринимается весьма отрицательно.[/QUOTE]

Ну так выводить хоть первые два числа адреса, а вместо остальных звездочки
23.01.2008, 12:13
Geser

Вложений: 1

Попросил меня сотрудник убрать из автозапуска ISUSPM.exe
В менеджере автозапуска я её не обнаружил. Цепляю дамп реестра. Вопрос почему эта программа не видна в менеджере автозапуска?
23.01.2008, 13:50
Jef239

[quote=Geser;176973]Попросил меня сотрудник убрать из автозапуска ISUSPM.exe
В менеджере автозапуска я её не обнаружил. Цепляю дамп реестра. Вопрос почему эта программа не видна в менеджере автозапуска?[/quote]
Это Win2k? Там вроде есть особенность - запуск идёт и из подпапок ключа Run.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Тьфу, посмотрел. В тваоих данных не видно, откуда она запускается. То есть это OLE-сервер. А какая програма его запускает - непонятно. Поищи по рестру 5C68BFD9-83A2-4DB9-983E-A2BC5E876E56 и 76826D50-F6EB-43A0-BC6D-4F43479CA75B
Если найдёшь - повезло.
Но похоже, что это часть InstallShield и запускает его какой-то стартер от InstallShield. Гм, не проще ли в самом InstallShield в меню порыться и отключить автоматическое обновление?
24.01.2008, 03:02
Bratez

В некоторых случаях некорректно отображаются BHO.
Например тут: [url]http://virusinfo.info/showpost.php?p=177332&postcount=8[/url]

В логе HijackThis:
[code]O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll[/code]
а в логе AVZ - пустышка, т.е. выведен только CLSID, а файла и описания нет. Если файл в базе безопасных, то этой строки в логе совсем не должно быть.
24.01.2008, 13:05
Sergiy

чем отличаются параметры командной строки NW и NQ?
В описаниях параметров есть только описание параметра NQ. А в примерах (например "Заготовка скрипта для сканирования сети") есть параметр NW:
\\my_server\AVZ\avz.exe Priority=-1 nw=Y nq=Y HiddenMode=2 Script=\\my_server\AVZ\netscan.avz
и в описании примера дается описание параметра NW, идентичное параметру NQ.
Зачем тогда два этих параметрв в командой строке?
26.01.2008, 14:58
Geser

Сегодня делал автокарантин.
Получил следующие ошибки:
[CODE]Ошибка карантина файла, попытка прямого чтения (rundll32.exe C:\WINDOWS\system32\shimgvw.dll,ImageView_COMServer {00E7B358-F65B-4dcf-83DF-CD026B94BFD4})
Ошибка карантина файла, попытка прямого чтения (mscoree.dll)[/CODE]
27.01.2008, 11:04
zerocorporated

При выполнении такого скрипта:
[CODE]
begin
RunScan;
ExecuteStdScr(3);
end.
[/CODE]
Наблюдается наползания кнопки "Пуск" на кнопку "Прервать работу скрипта"
27.01.2008, 11:40
rubin

При карантине файлов, опознанных AVZ как безопасные, они естественно в карантин не попадают, но ini-файл так же создается. Нельзя в такой файлик вносить пометку - "safe" или нечто подобное? Чтобы не гадать, просто не закарантинилось или AVZ опознал...
28.01.2008, 07:44
Иван Шацкий

Вопросы по AVZ

Заранее извиняюсь, если пишу не туда, куда надо, если что - ткните носом, куда можно подобные вопросы задавать.

Вопрос первый. Имеется система (W2K Pro), в которой точно что-то сидит, потому как при выходе в интернет (dial-up'ном) процесс System открывает кучу соединений. Ни один из инструментов AVZ ничего подозрительного не показывает. Загрузка процессора скачет от 0 до 100 процентов и обратно, процессорное время занимает все тот же System. Можно ли как-то узнать, кто виноват? Что может дать в этом случае расчет MD5, проверяются ли эти контрольные суммы по базе безопасных файлов? Есть ли способ проверить цифровую подпись системного файла Windows? Или это не имеет смысла, за изменением системных файлов следит SFC?

Вопрос второй. Есть ли в AVZ возможность выполнить сканирование диска на предмет наличия файлов с альтернативными data streams?

Вопрос третий. Даже при включенном драйвере AVZPM мне попадались системы, где в списке модулей пространства ядра присутствовали непонятные драйвера с абракадаброй вместо имени (ну и файла такого тоже на диске не было, естественно). При каких обстоятельствах такое может быть возможно?

Лог-файлы в данную минуту прицепить не могу, до интересующей меня системы не добраться. Но если без них никак - обязательно сделаю. Если где-то здесь есть раздел, где отвечают на вопросы по AVZ - отправьте туда (сходу не нашел).

Заранее спасибо.
28.01.2008, 08:52
Зайцев Олег

[quote=Иван Шацкий;179157]Заранее извиняюсь, если пишу не туда, куда надо, если что - ткните носом, куда можно подобные вопросы задавать.

Вопрос первый. Имеется система (W2K Pro), в которой точно что-то сидит, потому как при выходе в интернет (dial-up'ном) процесс System открывает кучу соединений. Ни один из инструментов AVZ ничего подозрительного не показывает. Загрузка процессора скачет от 0 до 100 процентов и обратно, процессорное время занимает все тот же System. Можно ли как-то узнать, кто виноват? Что может дать в этом случае расчет MD5, проверяются ли эти контрольные суммы по базе безопасных файлов? Есть ли способ проверить цифровую подпись системного файла Windows? Или это не имеет смысла, за изменением системных файлов следит SFC?

Вопрос второй. Есть ли в AVZ возможность выполнить сканирование диска на предмет наличия файлов с альтернативными data streams?

Вопрос третий. Даже при включенном драйвере AVZPM мне попадались системы, где в списке модулей пространства ядра присутствовали непонятные драйвера с абракадаброй вместо имени (ну и файла такого тоже на диске не было, естественно). При каких обстоятельствах такое может быть возможно?

Лог-файлы в данную минуту прицепить не могу, до интересующей меня системы не добраться. Но если без них никак - обязательно сделаю. Если где-то здесь есть раздел, где отвечают на вопросы по AVZ - отправьте туда (сходу не нашел).

Заранее спасибо.[/quote]
Если Firewall отсутствует, то при соединении с Инет может происходить что угодно, например ПК может атаковываться из сети эксплоитами.
MD5 даются для справки, чтобы идентифицировать файл. AVZ плюс к этому проверяет файлы по базе ЭЦП MS и собственной базе чистых. Вручную эта проверка запускается из меню для указанного файла.
AVZ проверяет ADS, если включена максимальная эвристичка и расширенная проверка, то найдя ADS содержащий исполняемый файл он выдает сообщение в логе.
AVZPM может регистрировать драйвера от CD эмуляторов и тп, нужно разбираться конкретно

Показывать 40 сообщений этой темы на одной странице