Printable View
а что если запретить создание всех файлов с неизвестными расширениями?..
т.е если АВЗ это расширение "не знает" - тоже запретить создание. (перед этим "познакомить" АВЗ со всеми расширениями, что есть в эталонной системе).
PS: запрещение создания файлов *.com опасно для системы?
PS2: спрашиваю и предлагаю не потому что хочу "постебаться", а потому, что мне нравится программа АВЗ.
[quote=priv8v;266827]а что если запретить создание всех файлов с неизвестными расширениями?..
т.е если АВЗ это расширение "не знает" - тоже запретить создание. (перед этим "познакомить" АВЗ со всеми расширениями, что есть в эталонной системе).
PS: запрещение создания файлов *.com опасно для системы?
PS2: спрашиваю и предлагаю не потому что хочу "постебаться", а потому, что мне нравится программа АВЗ.[/quote]
Если запретить создание всех файлов с неизвестным расширением, то системе будет кирдык :) Например, запущенный на ПК TheBat решит сохранить свои почтовые базы, не сможет, пойдут ошибки ... и базы его накроются - и так во всех запущенных приложениях.
PS: запрет создания *.COM файлов не опасен, я добавлю такую маску
PS2: любое предложение по доработке полезно
[QUOTE]
Например, запущенный на ПК TheBat решит сохранить свои почтовые базы, не сможет, пойдут ошибки
[/QUOTE]
добавить можно его расширения в доверенные.
причем юзеру же говорится - при выполнении скрипта выйти из всех программ.
:(
[QUOTE=priv8v;266874]добавить можно его расширения в доверенные.
причем юзеру же говорится - при выполнении скрипта выйти из всех программ.
:([/QUOTE]Да все можно :) Проблема только в том, что база доверенных расширений будет огромной. Кроме того, как в примере Олега Зайцева с Летучим Мышем, многие специальные программы имеют специальные специфические расширения.
Для информации можно посмотреть портал: [url]www.filext.com[/url]
[quote=Зайцев Олег;266849]PS2: любое предложение по доработке полезно[/quote]
В очередной раз повторяю своё предложения - юзерская база чистых. Ну ОЧЕНЬ надо. А если ёё ещё можно будет формировать по другом компе иип пересылать через инет - вообще сказка. То есть юзер периодически шлёт отчёт, я проверяю то, что не зелёное через VirusInfo и отисылаю ему лоркальную базу чистых. В итоге каждый незелный файл - повод для сильных подозрения.
Мне просто кажется, что это легче, чем тебе наладить оператьивный централизованный учёт чистых.
Собственно и сечас мы живём с такой базой, просто она в голове сидит.
Ни и совсем идеально - аналог ImproveNet - [url]http://www.agnitum.ru/support/improvenet/stats.php[/url]
[url]http://www.agnitum.ru/support/improvenet/description.php[/url]
То есть сбор юзерских баз чистых и на их основе - обновления централизованной базы.
[QUOTE]
Проблема только в том, что база доверенных расширений будет огромной.
[/QUOTE]
не надо настолько огромной базы. согласен, что многие приложения свои файлы называют своими придуманными расширениями, что бы было ясно чем открывать файлы.
т.к все приложения [B]должны быть закрыты[/B] во время выполнения скрипта, то... :)
можно еще проверку сделать - мониторить, что за файл пытается создать приложение - если это не PE-файл (или файл типа тех, чьи расширения уже добавлены...), то разрешаем запись - если нет - запрещаем.
PS: еще можно расширение *.pl и *.php добавить в запрещение на создание)
Думаю, стоит в AVZGuard встроить запрет перезагрузки системы недоверенными приложениями.
А то бывали случаи, что при выполнении скрипта для удаления зловредов скрипт не успевал выполниться, т.к. зловред ребутил компьютер, хотя включали AVZGuard.
против элементарных малваре - запрет на получение привелегий может быть... (SeShutdownPrivilege).
а против кернел моде руткитов - надо что-то посерьезнее)
а вообще в ребут уйти можно разными способами) тут можно фантазировать))
это еще одна лишняя головная боль Олегу :)
1) Хочу запуск файлов из менеджера автозапуска. Ну или ХОТЯ БЫ копирование в клипбоард полной строки (с путями и ключами).
Есть много приблуд, которые пишут себя в автозапуск. С однйо стороны, нет смсыла постьоянно их дерпать запущенными. С дургой стороны - не всегда у них есть возмоджность адекватно зщапуститься из другого места
2) Очень хочется слить ИПУ с МПУП. Чтобы проблемы, найденные ИПУ, можно было исправлять в диалоге, а не только из HTML-протокола,
возможно, это у [B]меня[/B] тут глюк, но когда я из Сервис-Менеджер автозапуска логирую протокол...
имена файлов являются гипер-ссылками и при щелчке по ним открывают папку Рабочий стол, т.е
[QUOTE]
C:\Documents and Settings\Admin\Рабочий стол
[/QUOTE]
странно...
браузер - осел 7.
это все дело в нем?..
и еще у меня на этом компе АВЗ глючит напропалую - один раз выполняю стандартный скрипт номер 2 - все нормально, еще раз его делаю - в нем бред потипу 30 неопознанных процессов вместо имен которых знаки вопроса - т.е выделена секция таблицы красным и там вопросик)
вот слогировал из диспетчера задач немного - вот тут около 30 таких нехороших полей. ) по-моему глюк. малваре не наблюдается вроде на компе.
но на всякий случай приложу оба лога.
(драйвер авзпм установлен)
на этот раз и лог получился интересный - куча красного.
это раз от раза - то лог обычный получается, то вот такой вот чудной...
у меня есть предположения от чего это происходит, но выскажу их потом - вдруг они неверны.
test
(пошлым постом прикреплять что-то не хотело - писал форум, что нет прав)
Здравствуйте! А можно в стандартные скрипты АВЗ, после выполнения вставить путь к сохранению лога?
[QUOTE=meir;267104]Здравствуйте! А можно в стандартные скрипты АВЗ, после выполнения вставить путь к сохранению лога?[/QUOTE]
begin
//Вызов стандартного скрипта
ExecuteStdScr(2);
//Сохранение протокола
SaveLog('c:\12345.txt ');
end.
[QUOTE=AStr;267324]
//Сохранение протокола
SaveLog('c:\12345.txt ');
end.[/QUOTE]Это сохранение протокола работы, но не конечного лога.
[QUOTE=Maxim;267433]Это сохранение протокола работы, но не конечного лога.[/QUOTE]
я знаю. в вопросе не написано какой лог: текстовый протокол AVZ или
протокол сбора информации стандартного скрипта.
второй судя по доке создается в рабочем каталоге AVZ и (пока?) нет скриптовой команды для создания его в другом месте
а можно ли программно обнаруживать клавиатурные жучки? которые подключаются между клавиатурой и системным блоком.
Через AVZ или в теории
Вряд ли.
[quote=tar;267769]а можно ли программно обнаруживать клавиатурные жучки? которые подключаются между клавиатурой и системным блоком.
Через AVZ или в теории[/quote]
Можно, но не программно. Такое имеет смысл только на особо-ответственных рабочих местах (например, на ПК банка, имеющего доступ к счетам клиентов или скажем на супер-пупер секретном объекте). Методика:
1. Забыть навсегда про термин "беспроводная клавиатура". То, что передается без проводов, без проводов и принимается ... и криптозащита нередко там смешная, перехватить данные не составляет труда при желании. В проводном решении все сложнее
2. Покупается самая простая клавиатура, в первой попавшейся лавке. Это уже 99.999...% того что в ней ничего нет
2.1 для надежности она вскрывается опытным электронщиком и изучается. После этого - опечатывается всеми возможными методами, так как разобрать клавиатуру и встроить туда "жучек" не составляет никакого труда
3. Следствие п.п. 2 - клавиатура маркируется (чтобы не подменили), и место ее подключения в системник опечатывается (чтобы исключить/поймать факт отключения/подключения)
4. В помещении ставится генератор шума и (или) экранирование для исключения считывания данных через ПЭМИН
5. Клавиатура периодически осматривается на предмет того, не не подменили ли ее, не вскрывали ли ее, на включено ли что-то между клавиатурой и системником
6. Операция 2.1 повторяется для системного блока - дабы исключить наличие в нем аппаратных закладок
7. Исключем визуальное наблюдение за оператором и прослушивание звука нажимаемых кнопок акустически. Про это часто забывают - все защищено, заземлено и опечатано, а клавиатура и руки оператора на виду - подсмотреть вводимые данные можно без всякого жучка :)
8. Контроль за эфиром - на случай, если жучек передает данные по радиоканалу. Такие "тупые" методы применяются крайне редко, так как очень заметны - но тем не менее
Сам аппаратный шпион может быть выполнен в виде отдельного устройства (обычно типа переходника - он включается в ПК, а в него - клавиатура, заметить такой девайс несложно), или в виде встраиваемого устройства (небольшой приборчик, монтируется внутри ПК или внутри клавиатуры). С учетом текущей цены и объема доступной Flash памяти несложно посчитать, сколько лет он может накапливать данные :) Но эти шпионские страсти имеют смысл только там, где стоимость обрабатываемых данных и требования по их секретности оправдывают такие меры ...
надо в правила тогда еще включить проверять каждый день (или 2 раза в день) наличие пломб и соблюдение статуса кво))
[QUOTE]Сам аппаратный шпион может быть выполнен в виде отдельного устройства (обычно типа переходника - он включается в ПК, а в него - клавиатура, заметить такой девайс несложно), [/QUOTE]
такую штуку видел - прикольная - размер примерно с патрон от ПМ - тыкаешь в него клаву, а сам его тыкаешь туда где была клава в системник подключена - и все)
на пару часов воткнул - нужные данные узнал. вынул и все поставил на место.
PS: таких защищенных мест с опломбированными клавами и прочими жуткими мерами по безопасности, описанными Олегом, не встречал.
Максимум, что встречал - это когда админ заставлял придумывать сложные пароли и запоминать их и вводить каждый раз с рук.
[QUOTE]Про это часто забывают - все защищено, заземлено и опечатано, а клавиатура и руки оператора на виду [/QUOTE]
да, за этим почти нигде не следят. или не думают про это или не понимают, что пароль т.о можно "проследить" и выяснить...
PS2: Олег, ваш пост бы обработать еще - может еще чего дописать - и запихнуть отдельной темой в раздел "ЧаВо" или "Статьи":)
Еще в подобную тему типа с названием "Боремся с аппаратными и с программными кейлоггерами" впихнуть как обманывать установленные программные кейлоггеры - ввод в неактивные окна попеременно, вставка из буфера обмена, набор в разных окнах, набор вхолостую - помню у буржуев где-то даже встречал подобную статью. перевода на рус.яз правда не видел.
Олег, подумайте над этим - всем было-бы полезно:)
[quote=priv8v;267853]
PS2: Олег, ваш пост бы обработать еще - может еще чего дописать - и запихнуть отдельной темой в раздел "ЧаВо" или "Статьи":)
Еще в подобную тему типа с названием "Боремся с аппаратными и с программными кейлоггерами" впихнуть как обманывать установленные программные кейлоггеры - ввод в неактивные окна попеременно, вставка из буфера обмена, набор в разных окнах, набор вхолостую - помню у буржуев где-то даже встречал подобную статью. перевода на рус.яз правда не видел.
Олег, подумайте над этим - всем было-бы полезно:)[/quote]
Так у меня была цикл статей в КомпьютерПресс про кейлоггеры:
[URL]http://www.compress.ru/Article.aspx?id=11114[/URL]
[URL]http://www.compress.ru/Article.aspx?id=15847[/URL]
[size="1"][color="#666686"][B][I]Добавлено через 49 минут[/I][/B][/color][/size]
----
Олег, вы меня неверно поняли.
Ваши статьи я сейчас прочитал - там описаны механизмы их работы, виды кейлоггеров, способы считки и т.д, но нету описания таких мер по безопасности какие вы описали в вашем посте в этой теме и нету рекомендаций что делать если в системе стоит какой-либо кейлоггер - т.е юзер точно знает, что он стоит или только-что поставлен - как не потерять пароли, но все равно их вводить - примерные мысли я описал в своем посте выше.
...
там мало советов таких хороших и они по сравнению с теми которые выше какие-то "не совсем те".
я за статью, где будет описана именно борьба с кейлоггерами - причем без советов использовать какой-то определенный софт по борьбе с ними...
[quote=priv8v;267887]Олег, вы меня неверно поняли.
Ваши статьи я сейчас прочитал - там описаны механизмы их работы, виды кейлоггеров, способы считки и т.д, но нету описания таких мер по безопасности какие вы описали в вашем посте в этой теме и нету рекомендаций что делать если в системе стоит какой-либо кейлоггер - т.е юзер точно знает, что он стоит или только-что поставлен - как не потерять пароли, но все равно их вводить - примерные мысли я описал в своем посте выше.
...
там мало советов таких хороших и они по сравнению с теми которые выше какие-то "не совсем те".
я за статью, где будет описана именно борьба с кейлоггерами - причем без советов использовать какой-то определенный софт по борьбе с ними...[/quote]
ну, в принципе написать такую статью можно ... На самом деле защититься от утечки паролей (за счет кейлоггера, тряона ...) просто - достаточно перейти на USB-ключи или иные виды аппаратной авторизации
будем ждать и надеятся:)
Думаю, тема клавиатурных жучков (КЖ) не столь экзотична. Сейчас на рынке их довольно много, и они дешевеют. Даже сейчас они стоят довольно недорого. А работа предельно проста, даже нередко проще чем устанавливать соответствующую программу. А кто проверяет штекер клавиатуры своего системного блока? Наверно, только агенты 007. Так что КЖ - это серьезный вопрос.
Повторюсь, КЖ - это очень просто и доступно. И никакое визуальное наблюдение не сравнится с КЖ - там нужен оператор, который будет отслеживать, а тут воткнул, потом достал - 10 секунд, и все AES в полной...
Но, наверное, через жучок клавиатура определяется как-то немного иначе, может есть способ контролировать через программу?
Я уж не говорю, что шпионы с [URL]http://softexpro.ru/[/URL] вообще не определяются AVZ.
[quote=tar;268249]
Я уж не говорю, что шпионы с [URL]http://softexpro.ru/[/URL] вообще не определяются AVZ.[/quote]
Не может быть :) А c:\documents and settings\<имя юзера>\local settings\application data\softex\expert\services.exe c атрибутом "скрытый" в логе (в процессах и автозапуске) + C:\Documents and Settings\<имя юзера>\Local Settings\Application Data\SoftEx\Expert\exmon.dll (загруженные DLL) ? Просто этот шпион столь примитивен, что никак не маскируется (кроме атрибута "скрытый" на своих файлах), что может быть обнаружен и прибит без всяких специальных средств самим юзером ...
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
[quote=tar;268249]
Но, наверное, через жучок клавиатура определяется как-то немного иначе, может есть способ контролировать через программу?
[/quote]
В простейшем случае он стоит параллельно клавиатуре и совершенно никак не не обнаружим ...
[QUOTE]никак не маскируется (кроме атрибута "скрытый" на своих файлах)
[/QUOTE]
лол)) :D
что-бы не возникло разговора далее, что его не только авз не видит, но еще и каспер с ним не знаком, скажу, что каспер палит его как:
[QUOTE]Monitor.Win32.ScreenMonitor.f[/QUOTE]
:)
ну тогда, аймсори ....
Прогресс не стоит на месте :)
Хотя, как перехватчик с клавиатуры - AVZ его не палит, т.е. только по сигнатуре и по подозрителным штучкам.
Судя по сообщению Олега, там не сигнатура и не подозрение - а проcто кейлоггер виден в протоколе исследования системы AVZ. В "Помогите!" так зловредов и находят - по анализу лога AVZ.
В целом, как я понял, с жучками глухо, мой вопрос закрыт.
По таму кейлогу все понятно - не надо больше комментариев - AVZ сила.
дабы избежать лишних споров по тому как именно АВЗ его палит (сигнатурно, так как сказал Олег, по подозрению на кейлогг или еще как-то..) я его решил поставить, опишу что было при этом:
1). Реакция каспера на данное ПО: при закачке инсталлятора пришлось нажать кнопку "Пропустить" - дабы удалось скачать. При установке 2 раза нажал на кнопку "Добавить в доверенную зону"
2). Реакция АВЗ при сканировании:
При проверке процессов и при проверке харда (2 раза т.е) обнаружил Monitor.Win32.ScreenMonitor.f (екзешник по тому адресу, который указал Олег)
А при выполнении второго стандартного скрипта и в процессах и во внедренных длл было обнаружено то, что выше сказал Олег, да и сам ехешник там еще был указан. В автозагрузке ехешник тоже наблюдался вот тут:
[QUOTE]HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, ExMon [/QUOTE]
сигнатурным детектом он также был обнаружен (список подозрительных объектов и в текстовой части лога).
Огорчило другое: как на кейлоггер на него АВЗ не ругался
Олег, почему? Или он не ведет себя как кейлоггер, а просто копирует себе текст из окна где текст был напечатан?
Немного по программе: программа удобная и проста в использовании, и обнаружить ее тоже просто:)
Зайцев Олег, Желателен скрипт для отключения восстановления системы- уже порядком надоело просить отключить восстановление системы ;)
а может стоит включить обнаружение наличия перехватов функций для работы с клипбоардом?...
например функции работы setclipboarddata и closeclipboard - смотреть не следит ли кто за обменом данными с б.о и не смотрит ли кто, допустим, что там после закрытия. Извините за корявое объяснение мысли, но думаю, что она понятна.
Также можно попробовать дразнить денежные трояны путем помещения туда (в clipboard) информации подходящей по маске этим данным (как пример - кошель вебмани).
Также можно создать какое-либо невидимое пользователю окно - посмотреть не мониторит ли кто это.
PS: если подобное уже реализовано в АВЗ, то прошу меня простить за мою некомпетентность...и дать ссылку.
В свойствах файла avz.exe указана, скажем так, не совсем свежая версия :)
[QUOTE=priv8v;266364]
Олегу Вас очень хорошая и серьезная тулза, но в бочку меда хорошую ложку дегтя добавляет большое кол-во опечаток в файле version.txt в архиве с прогой. Опечаток очень много - режут глаза. На новенького произведут впечатление, что автору "пофиг" на тулзу, да и сама тулза не стоит внимания. Сам знаю, что это не так. Но лучше будет все-таки без опечаток в описаниях версий.*
[/QUOTE]
Может быть, стоит поменять хронологию версий AVZ снизу вверх для более удобного чтения последних изменений программы? А вообще, приятно читать файл version.txt, в том смысле, что живо представляется история развития этой программы.
[quote=drongo;268828]Зайцев Олег, Желателен скрипт для отключения восстановления системы- уже порядком надоело просить отключить восстановление системы ;)[/quote]
А такое не поможет? :?
SetServiceStart('srservice', 4);
[QUOTE=pump;270845]А такое не поможет? :?
SetServiceStart('srservice', 4);[/QUOTE]
[CODE]
begin
StopService('srservice');
SetServiceStart('srservice', 4);
end.
[/CODE]
:) что то на подобие... просто охота чтоб эта возможность была в стандартных скриптах
[quote=zerocorporated;271744][code]
begin
StopService('srservice');
SetServiceStart('srservice', 4);
end.
[/code]
:) что то на подобие... просто охота чтоб эта возможность была в стандартных скриптах[/quote]
Ну и в чем радость видеть это в стандартных скриптах? Один черт придеться писать в теме "Помогите" либо "юзер-отключи восстановление системы нажав вот [B]это [/B]!!!"", либо заветные строчки "SetServiceStart" :)
Этот скрипт нужно отдельно делать,
или можно в лечение в самый верх скрита вставлять??
да,., и что означает параметр 4, и какие еще есть???
[quote=Hanson;272243]Этот скрипт нужно отдельно делать,
или можно в лечение в самый верх скрита вставлять??
да,., и что означает параметр 4, и какие еще есть???[/quote]
Параметры:
1-загрузка в ходе начальной загрузки системы
2-режим AUTO автоматическая загрузка
3-ручной запуск
4-загрузка запрещена
форум подколбасивает :)
Помогите разобраться с возможностью легального использования AVZ. В лицензии сказано, что программа распространяется бесплатна для некоммерческого использования. А какие условия для ее использования в рамках сети коммерческого предприятия? Если платно, то сколько стоит, как и куда платить?