Антивирусная утилита AVZ - 4.23 + AVZGuard/AVZPM/BootCleaner

[quote=Зайцев Олег;95340]...будет к новой версии - протоколирование результата выполнения всех важных команд с отметкой о их успешности[/quote]

Очень хотелось бы, наконец, видеть полноценный протокол к плагину для Бата...

[QUOTE=Nick222;95343]Очень хотелось бы, наконец, видеть полноценный протокол к плагину для Бата...[/QUOTE]
Это я приделаю - просто изначально я хотел его сделать, потом оказалось, что протоколировапт то особо нечего - случае нахождения зловреда плагином TheBat фиксирует данные в своем логе.

[quote=Зайцев Олег;95345]протоколировать-то особо нечего - в случае нахождения зловреда плагином TheBat фиксирует данные в своем логе[/quote]

Ага - у меня то и дело сообщения в журнале Бата: "Антивирусный плагин сообщает об ошибке - объект не может быть проверен на наличие вирусов" - и что это значит? Сработал плагин или нет - без его собственного протокола не определить...

Олег, а это глюк или что?
[quote][B]Внимание !!! База поcледний раз обновлялась 29.12.2006[/B] - необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.23
Сканирование запущено в 12.02.2007 9:44:03
Загружена база: 86205 сигнатур, 2 нейропрофиля, 55 микропрограмм лечения, [B]база от 11.02.2007 10:09[/B][/quote]

[QUOTE=anton_dr;95507]Олег, а это глюк или что?[/QUOTE]
Фигня какая-то - надо проверить ... оно после обновления появилось или так и было ? Прочто у всех баз main*.avz в заголовке стоит дата обновления и в качестве итоговой даты базы берется максимальная из них. Т.е. как будто свежих файлов нет или они повреждены.

Когда появилось - не знаю, заметил неделю назад, забыл сразу сказать :)

Видимо, какой то глючок был. Возможно, какие-то файлы были старые. Сейчас качнул снова, обновил - сообщение пропало.

Из BC_Cleaner нужно ещё и копирование файлов.

Я хочу созданный AVZ лог открытых портов запостить, он в html. Можно?

[QUOTE=kav.user;95580]Я хочу созданный AVZ лог открытых портов запостить, он в html. Можно?[/QUOTE]
Можно конечно (только желательно в ZIP архив его поместить).

[QUOTE=RiC;95533]Из BC_Cleaner нужно ещё и копирование файлов.[/QUOTE]
Да, без этого BootCleaner не совсем то, что нужно ... Уже готова бета версия, которая умеет каратинить файлы, копировать их и переименовывать.

[quote=Зайцев Олег;95599]Можно конечно (только желательно в ZIP архив его поместить).[/quote]

Вот лог. У меня ноутбук acer и вместе с системой запускаются утилиты для управления энергосбережением. AVZ показывает, что какая-то асеровская утилита держит открытым некий порт 8428. Нет ли здесь подвоха?
Ну и вообще хотел спросить, нет ли каких уязвимостей, исходя из моего лога?

Олег!

Английская версия продукта готова, но английской странички на твоём сайте нет. Соотвественно, один чел в совей подписи вообще ссылается на РуБорду! И подсказать ему правильную ссылку возможности нет, поскольку подсказывать нечего!

Сервис [url]www.scan.virusinfo.info[/url] окончательно умер? :(

2 rav: в принципе можно давать ссылку сразу на архив с AVZ4EN и совет читать справку.. :) Но если серьезно - английская страница не помешает, это да.

[QUOTE=Nick222;95349]Ага - у меня то и дело сообщения в журнале Бата: "Антивирусный плагин сообщает об ошибке - объект не может быть проверен на наличие вирусов" - и что это значит? Сработал плагин или нет - без его собственного протокола не определить...[/QUOTE]
Вышла новая версия AVZ плагина для TheBat!. Основные фичи:
* Добавлена документация с подробным описанием процесса установки, обновления и удаления плагина, а так-же его конфигурирования
* Плагин поддерживает опциональное протоколирование операций (и соответственно ошибок) и обнаруженных вредоносных программ.
Плагин расположен на прежнем месте ([url]http://www.z-oleg.com/secur/avz/download.php[/url]), только размер архива вырос до 308 кб.

Спасибо! Это в честь 14 февраля? ;)

Олег, можно ли к драйверу мониторинга прикрутить защиту автозакгузки? Чтобы на постоянной основе контролировал автозапуск. Это ведь очень полезная вещь.

А есть-ли у AVZ проверка собственного CRC и всех компонентов программы естественно, типа как это сделано у Др.Веба?

[QUOTE=F_L;95947]А есть-ли у AVZ проверка собственного CRC и всех компонентов программы естественно, типа как это сделано у Др.Веба?[/QUOTE]
Да, есть конечно - если собственный CRC нарушен, то он ругается в начале лога об этом (можно дописать пару байт в хвост avz.exe для пробы). Все остальные компоненты хранятся в базе, которая кроме всего прочего защищена CRC.
[B]NiKA2[/B]
Можно, но сложно. Вернее технически это тривиально, но потребуется перехватывать функции - а это как следствие может привести к конфликтам с антивирусными мониторами и HIPS

Опять глюки с плагином к Бату:

- Бат говорит:
[QUOTE]ANTIVIRUS - Антивирусная программа сообщает об ошибке, объект не может быть проверен на наличие вирусов[/QUOTE]
- АВЗ-плагин говорит:
[QUOTE]База загружена успешно. Кол-во сигнатур = 87238[/QUOTE]

И что с этим делать? Что реально произошло и где - в Бате или в плагине или в самой утилите?

[QUOTE=Nick222;95974]Опять глюки с плагином к Бату:[/QUOTE]
угу было такое... вчера не до него было, просто выгрузил его, а сегодня подгрузился без проблем.
ps ошибка возникла когда поставил галочку ведения лога.

[QUOTE=Зайцев Олег;89402]Архив с утилитой содержит базу вирусов от 29.12.2006 74329 сигнатур[/QUOTE]кстати, да, откуда [B]столько[/B]? Подпольный вирлаб?

[quote=maXmo;96071]кстати, да, откуда [B]столько[/B]? Подпольный вирлаб?[/quote]
Олег говорил , что-то типа приманки сетевой сделал для ловли гадости . точнее сказать не могу , Смоленск от меня далековато будет :P

[QUOTE=drongo;96072]Олег говорил , что-то типа приманки сетевой сделал для ловли гадости . точнее сказать не могу , Смоленск от меня далековато будет :P[/QUOTE]

А вот и приманка! ;) [URL="http://z-oleg.com/secur/avz/uploadvir.php"]Прислать файл с вирусом.[/URL]

[quote=SuperBrat;96073]А вот и приманка! ;) [URL="http://z-oleg.com/secur/avz/uploadvir.php"]Прислать файл с вирусом.[/URL][/quote]
Вряд ли , может 10 процентов от общего количества зловредов , не более . А что мы спорим ,подождём ответа Олега :)

Вопрос несколько не в тему:
Раньше я пользовался BHODemon, сейчас его развитие прекратилось, даже файл базы нельзя скачать :(
Какая из программ его заменяет и в какой степени его можно заменить утилитой AVZ?

[quote=Nick222;96084]Вопрос несколько не в тему:
Раньше я пользовался BHODemon, сейчас его развитие прекратилось, даже файл базы нельзя скачать :(
Какая из программ его заменяет и в какой степени его можно заменить утилитой AVZ?[/quote]
В базовой форме это есть и сейчас :
AVZ -> Сервис- менеджер расширений IE , BHO

[quote=maXmo;96071]кстати, да, откуда [B]столько[/B]?[/quote]
А Вы небоитесь, что эту приманку потом занесут в черный список?

[QUOTE=DoSTR;96102]А Вы небоитесь, что эту приманку потом занесут в черный список?[/QUOTE]
Это вы Олега спросили? Олег тут на форуме, в статьях многократно писал, что вирусы он получает разными путями. Это [URL="http://z-oleg.com/secur/avz/uploadvir.php"]веб-форма[/URL], [URL="[email protected]"]почтовый ящик[/URL], закрытый канал антивирусных компаний и, конечно, ловушки. Вот про ловушки Олег сам и расскажет, если сочтет нужным, имхо.

[QUOTE=maXmo;96071]кстати, да, откуда [B]столько[/B]? Подпольный вирлаб?[/QUOTE]
Да, конечно :) У меня уже более трех лет полностью обрудованный вирлаб. Если интересно, то источников зверья у меня очень много и это не секрет:
1. Пользователи AVZ. Есть ряд активных пользователей (в основном админы крупных сетей), которые периодически присылают отловленное у них в сетях зверье (многие содержат на почте и прокси антиврусные фильтры, поэтому зверей у них избыток). Это в среднем дает не менее 1-2 тыс зловредов в месяц, многие присылают архивами по 20-50, а то и 100 зловредов за раз, и так по несколько раз в месяц. Плюс форма на моем сайте - но она дает очень немного, не более 50-100 зловредов за месяц в лучшем случае. Через форму шлют в основном DLL, которые ловит детектор внедренных DLL.
2. virusinfo.info. Присылаемые на анализ файлы пополняют как базу зверей, так и базу чистых. Это тоже не очень много, но стабильно.
3. Почтовые ловушки. У меня их много, применяются для сбора почтовых зловредов или ссылок на них. Самая хорошая ловушка - это карантин почтового антивируса на крупном корпоративном почтовом сервере. У нас к примеру более 1000 ящиков на сервере, так вот за сутки в карантин (фильтры или антивирус) падает до нескольких тысяч файлов. Я вот сейчас проверил текущий карантин - 257 зловредов менее чем за сутки.
4. База прямых URL на зловредов и система их пополнения или контроля. В базе у меня порядка 36 тыс прямых ссылок, многие зловреды периодически меняются. База пополняется в ходе изучения Trojan-Downloader, плюс многие админы присылают. Делается это просто - если на крупном прокси или трафигометре отфильтровать только "*.exe" при размере файла менее 1 мб, то можно упасть в обморок от результата :) Даже у меня в сети, где очень строгие правила безопасности, в среднем в неделю отключается и чистится пара компьютеров. Для анализа ссылок у меня есть база "чистых" ссылок, маски для поиска явно зловредных.
5. Закрытые каналы обмена с другими вирлабами. Сейчас это достаточно мощная сеть обмена ITW, в ней участвует несколько вирлабов, по ней приходит не менее 50-70 ITW зловредов ежедневно. Это один из основных источников пополнения базы
6. Обмен зверями. Происходит не очень часто, но зато счет идет на тысячи "голов"
7. Автоматические искатели и "охотники". У меня есть система полуавтоматической охоты на зверей, но к сожалению особо нет трафика не ее эксплуатацию. Но она дает десятки зловредов в день.
8. Чистка и лечение ПК знакомых или пользователей AVZ, обратившихся за помощью (последних я стараюсь отруливать на virusinfo). Рекорд - порядка 100 зловредов за раз при чистке одного пораженного :)
Сейчас получается примерно такой расклад - порядка 20 зверей присылают пользователи, штук 10 дает virusinfo, штук 50-70 присылают админы + ловят мои фильтры/ловушки, штук 50-70 приходит по закрытой сети обмена. т.е. 20+10+50+50 = 130 зловредов в день, причем это в среднем, нередко бывает больше. Причем имеются в виду уникальные зловреды для базы, почтовые ловушки, контроль ссылок и WEB анализаторы дают тысячи повторов. Естественно, что далее все автоматизированно - база в Oracle, образы автоматом раскладываются в коллекцию, отбираются образцы для сети обменя и т.п. Классификация коллекции у меня от ЛК, и она же де факто она является стандартом при обмене), идет контроль повторов по MD5 - дубликаты автоматом отсекаются, но учитываются для статистики. И плюс моя гордость - автоматический анализатор, позволяющий изучать зверей. Естетсвенно, что для изучения зловредов есть отдельный компьютер (вирутуалка для этого мало подходит), изучение тоже полуавтоматическое. Часто изучение зверя дает кумулятивный эфект - он к примеру загружает штуки 4-5 других зловредов (значит, ссылки для базы URL), они что-то тоже загружают и дропают ... и "раскрутка" одного Downloader иной раз дает 20-30 экспонатов для базы - это еще один из источников.

[quote=Зайцев Олег;96112]т.е. 20+10+50+50 = 130 зловредов в день, причем это в среднем, нередко бывает больше. Причем имеются в виду уникальные зловреды для базы, почтовые ловушки, контроль ссылок и WEB анализаторы дают тысячи повторов.[/quote]
Я понимаю, что многое автоматизировано... Но, господи! Это же просто не человеческий объём!!! Когда вы всё это успеваете? Неужели в одиночку и без всякой помощи? В конце-то концов нужно ведь и на другие дела время. Например, код отлаживать, книги писать... :)

Угу ещё типа прибедняется: «не хочу велосипеды строить» :) при том, что сегодняшние антивири тоже заразу детектят и тупо удаляют файлы.

[QUOTE=Harihara;96249]Я понимаю, что многое автоматизировано... Но, господи! Это же просто не человеческий объём!!! Когда вы всё это успеваете? Неужели в одиночку и без всякой помощи? В конце-то концов нужно ведь и на другие дела время. Например, код отлаживать, книги писать... :)[/QUOTE]
Успеваю ... главное - это автоматизировать рутину и накопить большую базу данных. Чем больше база с разными признаками зловредов, тем проще их классифицировать (это делается автоматически). Текущий объем базы признаков - порядка 500 ГБ, сама система вирлаба - кластер с распределенной архитектурой. Плюс у меня много добровольных помошников (не даром они идут пунктом 1 в списке). Так что в день я трачу на анализ зловредов не более часа ... но так было не всегда - еще пару лет назад ежедневно в базу AVZ попадало 0-5 зловредов, базы обновлялись раз в месяц. Я искал слабые места, развивал инфраструктуру, автоматизировал что можно. Сейчас не автоматизировано только одно - автоотправка зловредов, который детектированы моим автоматическим анализатором, в вирлабы AV компаний. Этого пока нет, исключение - я периодически напускаю на кеш анализатора VBA и отсылаю им архив по 10-20 МБ зловредов, которые детектирует их эвристик. Но в планах подобный эксперимент заложен ... так как мне не жалко семплов ITW зловредов.

[QUOTE=maXmo;96252]Угу ещё типа прибедняется: «не хочу велосипеды строить» :) при том, что сегодняшние антивири тоже заразу детектят и тупо удаляют файлы.[/QUOTE]
Это да :) Но я не хочу с вирусами заморачиваться - для корректного лечения зараженного файла часто много возни нужно (например, написание декриптора, если вирус шифрует часть зараженного файла). Автоматизировать это почти нереально - поэтому я и не стремлюсь такое сделать. Хотя зараженный файл можно просто детектить, но не лечить ... так кстати многие антивири и делают. Аналогично с пакерами/криптерами - их известно куча, у известных - тима вариаций, и городить под каждый унпакер/декриптер - тяжкий и неблагодарный труд.

Прошу прощения, но с моим сообщением - #261 от 15.02.2007 21:05 - будет что-нибудь?
Так и осталось непонятно: как определить источник ошибки и как разобраться, что вообще происходит не так?

[QUOTE=Nick222;96277]Прошу прощения, но с моим сообщением - #261 от 15.02.2007 21:05 - будет что-нибудь?
Так и осталось непонятно: как определить источник ошибки и как разобраться, что вообще происходит не так?[/QUOTE]
Будет конечно. Требуется уточнение:
1. В какой точно момент выводится данное сообщение (открытие Bat, прием почты, отправка почты, сохранение вложений) ? Повторяется ли данная ситуация ?
2. Точная версия TheBat!
3. Настройки AV проверки самого Bat (можно скриншот странички настроек)
4. Какова настройка ящика в плане хранения вложений ? (в базе или отдельно)

К концу месяца выходит новая версия AVZ, вот список доработок для обсуждения, не забыл ли я чего):
1. Отключаемое ведение логов в AVZPM [в стадии]
2. Сохранение настройки действий для HackTool в профиле [исправлено]
3. Расширенный поиск файлов при карантине из скрипта с протоколом [реализовано]
4. Копирование и карантин файлов в BootCleaner [реализовано]
5. Формирование кода возврата при выходе из AVZ (0-нет зловредов, 1-найден хотя бы один зловред, 2 - зловредов нет, есть подозрения) [реализовано]
6. Перемещение карантина и журнала в отдельную папку для запуска AVZ с BootCD или иного ReadOnly носителя [реализовано]
7. Отображение PID процесса в списке портов и TCP соединений [реализовано]
8. Новая раскраска протоколов [в процессе]
9. Поиск DLL, используемой процессами (функция "кто использует DLL") [в процессе]
10. Усовершенствование протокола BC [реализовано]
11. Сортировка в тех менеджерах, где ее еще нет [в процессе]
12. Выверка диспетчера автозапуска по "45 экзотическим методам автозагрузки" [в процессе, масса мелких доработок]
13. Добавление в HTML лог новых опций для автогенерации скрипта [в процессе, основное доработано]
14. Новые скрипты восстановления и эвристики [реализовано, уже доступны при обновлении баз]
15. Столбцы "Описание" и "Производитель" для "Модулей пространства ядра" [реализовано]
16. Скрипты - убиение процесса по имени [реализовано]
17. Скрипты - сканирование реестра и поиск заданного образца с выводом результатов в протокол [реализовано]
18. Нормализация имен в списке драйверов и модулей пространства ядра [в процессе]

Олег, у меня бат 3,95,1(CE) ошибку повторно воспроизвести не удалось.

[QUOTE=Shu_b;96353]Олег, у меня бат 3,95,1(CE) ошибку повторно воспроизвести не удалось.[/QUOTE]
У меня лицензионный 3.85.03 Professional Edition, сейчас обновлюсь для опыта, он предлагает скачать 3.95.06 ..... 3.95.06 скачался, на нем тоже все нормально срабатывает.