AVZ 4.27

Вышла новая версия антивирусной утилиты AVZ - 4.27. Архив с утилитой содержит базу вирусов от 30.08.2007 125002 сигнатуры, 2 нейропрофиля, 55 микропрограмм лечения, 371 микропрограмма эвристики, 9 микропрограмм ИПУ, 62024 подписей безопасных файлов.
Страница загрузки:
[URL]http://www.z-oleg.com/secur/avz/download.php[/URL]
Прямой линк:
[URL]http://www.z-oleg.com/avz4.zip[/URL]


------------------------------------------------------------------------
[B]Список доработок и модификаций:
[/B][+++] Новая подсистема - резервное копирование. Позволяет автоматически создавать резервные копии различных системных настроек (резервные копии выполняются в основном в виде REG файлов, которые могут быть импортированы стандартным редактором реестра)
[+++] Автоматическое резервное копирование настроек SPI перед их исправлением и ряда настроек системы перед их восстановлением. Резервные копии создаются автоматически по мере надобности в папке BackUp в виде стандартных REG файлов, которые в случае необходимости могут быть импортированы в реестр
[+++] Добавлена новая подсистема - ИПУ (Искатель Потенциальных Уязвимостей). Его задача - поиск потенциально уязвимых служб, требующих внимания со стороны пользователя настроек и прочих моментов, влияющих на быстродействие и (или) безопасность ПК. Данная подсистема может вызываться из скриптов. Если уязвимость устранима, то в меню исследования системы автоматически добавляется соответствующая позиция, генерирующая фрагмент скрипта для устранения проблемы
[+++] Новая функция исследования системы - сохранение результатов исследования в формате XML. Данные XML файла дублируют данные протокола исследования системы, предназначено для автоматизированной обработки результатов исследования
[+++] Добавлено множество команд скриптового языка (более 20 штук - экспорт реестра, сканирование реестра, запуск эвристики, работа с INI файлами и т.п.)
[++] BootCleaner - добавлена функция копирования файла, подправлен карантин
[++] В восстановлении новая функция - пересоздание настроек SPI/LSP. Помогает, если зловред повредил системные ключи или подменил своими. Данная функция делает бекап текущих наcтроек и пересоздает их по эталону
[+] Менеджер автозапуска - добавлен контроль ряда экзотических ключей автозапуска, применяемых malware
[+] Добавлена прогресс-индикация в окне "Выполнить скрипт"
[+] Все кнопки главного окна продублированы пунктами меню (для устранения проблем доступа к ним при работе на низких разрешениях экрана в защищенном режиме)
[+] в логе сканирования системы отображаются данные о запуске из консольной сессии и о состоянии восстановления системы, в итоге лога отображаются данные о количестве подозрительных объектов
[+] Скрипты - расширен набор макросов, допустимых в имени файла
[-] Исправлен конфликт между системой AVZGuard и модулем проверки файлов по базе безопасных
[+/-] Сообщения об ошибках разархивации перемещено в раздел отладочной информации ипо умолчанию не выводится в протокол
--------
Важный момент - обновилась только русскоязычная версия. Англоязычная не обновлялась и ее поддержка будет прекращена (базы можно обновлять вручную - совместимость есть). Причина проста - принято решение истребить русскую/английскую версии AVZ и вместо них сделать нормальную единую мультиязычную версию (причем не только русскую-английскую - можно будет добавлять перевод на любой язык). Работы над этим в стадии завершения...

Отдельная ветка для пожеланий, обсуждения и критики системы ИПУ: [URL]http://virusinfo.info/showthread.php?p=130660[/URL]

[quote=Зайцев Олег;130363]Вышла новая версия антивиурсной утилиты AVZ - 4.27.[/quote]

А почему сразу 4.27? Что с 4.26 стряслось? Кошка-Машка съела? :)

[quote=Jef239;130364]А почему сразу 4.27? Что с 4.26 стряслось? Кошка-Машка съела? :)[/quote]
4.26 давно вышла - просто публичного релиза не было. А пока дело дошло до релиза - изменений набежало столько, что вышла уже следующая версия :)

[QUOTE]обратите внимание - версия англоязычной программы не изменилась ![/QUOTE]
...и баэы не обновляются >:(. А у меня в русской версии - одни [I]??????.
[/I]Беру бессрочный отпуск...:book2:

[quote=Rene-gad;130366]...и баэы не обновляются >:(. А у меня в русской версии - одни [I]??????.[/I]
Беру бессрочный отпуск...:book2:[/quote]
Базы можно обновить вручную - скачать ZIP и подсунуть. Я сниму блокировку на обновление через неделю, заменю "мягкой" блокировкой (обновление будет, но с матюгальником про устаревшую версию)

"Внимание !!! База поcледний раз обновлялась 14.08.2007 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.27
Сканирование запущено в 30.08.2007 16:18:36
Загружена база: 136619 сигнатур, 2 нейропрофиля, 55 микропрограмм лечения, база от 30.08.2007"

Это я скачал новую версию 5 минут назад и сразу сделал автоматическое обновление... То есть "база от 30.08.2007" а "обновлялась 14.08.2007". Красиво! :)

"C:\BOOT\OLD\NDOS.COM - PE файл с изменненным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
Файл успешно помещен в карантин (C:\BOOT\OLD\NDOS.COM)"
Ну в слове "изменненным" явно маловато букв "н". Я бы туда ещё 3-4 штуки засадил.. :) А вообще-то это MS-DOS файлы... Ну ладно, попробую со временем отправить его в базу чистых...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Зайцев Олег;130365]4.26 давно вышла - просто публичного релиза не было. [/quote]
А можно как-то скачивать непубличные релизы?
Тестировать я умею... Если слышал про T-Mail (FIDO), то должен и обо мне знать. :)

[QUOTE]Файл успешно помещен в карантин (C:\WINDOWS\system32\Drivers\uteznzg0.sys)[/QUOTE]
AVZ Driver. Нормально?

[quote=SuperBrat;130373]AVZ Driver. Нормально?[/quote]
Нормально - так всегда сразу после апдейта бывает. Сейчас должно стабилизироваться (я принудительно перезаписал avz4.zip и сейчас обновленные базы расползлись по серверам). Нужно перезагрузить его - и все будет нормально (или базы обновить)

Олег, спасибо за новую версию, будем тестить.
Первые ласточки:
NOD32 2.70.39 выдал [URL="http://www.virustotal.com/resultado.html?59b908678c0a86543ce0e4531d24deb9"]ложняк[/URL] при загрузке zip-архива AVZ4.27 с сайта. На virustotal.com (я сканировал уже отдельно avz.exe) отличились еще 2 антивируса. ;-). Это из-за новых фич?

[quote=GRom;130377]Олег, спасибо за новую версию, будем тестить.
Первые ласточки:
NOD32 2.70.39 выдал [URL="http://www.virustotal.com/resultado.html?59b908678c0a86543ce0e4531d24deb9"]ложняк[/URL] при загрузке zip-архива AVZ4.27 с сайта. На virustotal.com (я сканировал уже отдельно avz.exe) отличились еще 2 антивируса. ;-). Это из-за новых фич?[/quote]
Нет - это из-за "эвристики", основанной на поиске констант в теле файла, лидер тут NOD32 :( Реагируют они обычно на имена ключей реестра для экзотического автозапуска - я как раз добавил десяток, вот и результат.

Спасибо за разъяснения, Олег. Я им отписал посредством самого NOD32. Комментарий к файлу такой: "It's 100% false positive!!! It's an execution file from AVZ 4.27 program made by Oleg Zaicev. Please, update your bases as soon as possible!"

[quote=GRom;130382]Спасибо за разъяснения, Олег. Я им отписал посредством самого NOD32. Комментарий к файлу такой: "It's 100% false positive!!! It's an execution file from AVZ 4.27 program made by Oleg Zaicev. Please, update your bases as soon as possible!"[/quote]
Отлично, спасибо. Ситуация нехорошая - они же не просто детектят - удаляют avz.exe. Шквал писем с сообщениями о детекте огромный ...

нада будет в правилах пометочку сделать,о данной проблеме,чтоб пользователи нод32 не пугались.
ЗЫ.только что проверил,эвиристик отработал,удалив файл avz.exe :)

[quote=Muzzle;130385]нада будет в правилах пометочку сделать,о данной проблеме,чтоб пользователи нод32 не пугались.
ЗЫ.только что проверил,эвиристик отработал,удалив файл avz.exe :)[/quote]
Да, именно так. Если не поправят до конца дня, я сдалаю фильтр по слову "NOD" в почте саппорта AVZ и отрулю все это на них :)
Список отличившихся:
eSafe -> suspicious Trojan/Worm
NOD32v2 -> probably a variant of Win32/Genetik
Webwasher-Gateway->Worm.Win32.ModifiedUPX.gen!90 (suspicious)

Cамое главное,сказать о том чтоб не блокировали загрузку,ибо нод32 начинает орать ещё при закачки архива AVZ,а то пользователи его так и не скачают.

[quote=Muzzle;130387]Cамое главное,сказать о том чтоб не блокировали загрузку,ибо нод32 начинает орать ещё при закачки архива AVZ,а то пользователи его так и не скачают.[/quote]
Я написал им (с ящика ЛК) о проблеме, как AVZ детектится, ссылками на оф-сайт и архив

[quote=Зайцев Олег;130381]Нет - это из-за "эвристики", основанной на поиске констант в теле файла, лидер тут NOD32 :( Реагируют они обычно на имена ключей реестра для экзотического автозапуска - я как раз добавил десяток, вот и результат.[/quote]

Но ведь можно не хранить константы в теле программы целиком? Или хранить их в какой-то кодировке (ХOR $52?)?

[quote=Jef239;130389]Но ведь можно не хранить константы в теле программы целиком? Или хранить их в какой-то кодировке (ХOR $52?)?[/quote]
Это мое предположение, что детектятся константы ... зашифровать то их можно - тогда будет детект типа trojan.Cripter :)
По поводу поста чуть выше - файл C:\BOOT\OLD\NDOS.COM AVZ обложил правильно, это EXE файл с расширением COM, такие предупреждения выдаются при включении птички "расширенный анализ" (там ловятся пробелы в имени, несколько расширений, несоответствие расширения и содержимого). Очепятки в сообщениях - это святое :) По поводу приватных версий - они доступны хелперам virusinfo, со временем я организую раздел типа "бета-версии" у меня на сайте (сейчас ссылки есть только на стабильный релиз)

Файл успешно помещен в карантин (F:\Software\Internet\FlashGet\fgf140.exe)
F:\Software\Internet\FlashGet\fgf140.exe >>>>> AdvWare.Win32.Cydoor успешно удален

Это не вирус, это исталятор.. БЫЛ.:'-(

Там AdvWare сидит, всё правильно.