Вышла новая версия антивирусной утилиты AVZ - 4.45

[TABLE="width: 100%"]
[TR]
[TD][/TD]
[TD][B]Вышла новая версия антивирусной утилиты AVZ - 4.45[/B]. Архив с утилитой содержит базы от 4.09.2015 - 297614 сигнатур, 2 нейропрофиля, 56 микропрограмм лечения, 394 микропрограммы эвристики, 9 микропрограмм ИПУ, 339 микропрограммы поиска и устранения проблем, 759074 подписей безопасных файлов.

[B]Основные модификации:[/B]
[++] Расширена диагностика сети
[++] В HTML протоколе удалено форматирование имен файлов в виде ссылок, отображаемые ранее в всплывающем хинте сведения о файле статически помещены в отчете. Изменение сделано для всех визардов
[++] Модернизированы визарды чистки системы, поиска и устранения проблем (добавлены новые операции, устранен ряд ошибок)
[++] Скрипт-язык - поддержка работы с архивами из скриптов, функции [URL="http://z-oleg.com/secur/avz_doc/script_zip_createarchive.htm"]ZIP_CreateArchive[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_zip_extractarchive.htm"]ZIP_ExtractArchive[/URL]
[++] Скрипт-язык - поддержка проверки прав пользователя, функции [URL="http://z-oleg.com/secur/avz_doc/script_isadmin.htm"]IsAdmin[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_iselevated.htm"]IsElevated[/URL]
[++] Скрипт-язык: финкция [URL="http://z-oleg.com/secur/avz_doc/script_getlastexitcode.htm"]GetLastExitCode [/URL]для определения кода возврата запущенного процесса
[++] Скрипт-язык: функция [URL="http://z-oleg.com/secur/avz_doc/script_getcomputerdomain.htm"]GetComputerDomain[/URL] для определения домена ПК, [URL="http://z-oleg.com/secur/avz_doc/script_gethostbyname.htm"]GetHostByName [/URL]и [URL="http://z-oleg.com/secur/avz_doc/script_ping.htm"]Ping[/URL] для диагностики сети
[++] Скрипт-язык: процедуры [URL="http://z-oleg.com/secur/avz_doc/script_addquarantinefilter.htm"]AddQuarantineFilter[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_clearquarantinefilter.htm"]ClearQuarantineFilter[/URL] для фильтрации помещаемых в карантин файлов
[++] Скрипт-язык: функция [URL="http://z-oleg.com/secur/avz_doc/script_getavzdbdate.htm"]GetAVZDBDate[/URL] для получения даты и времени сборки базы AVZ в целом, или ее отдельных компонент
[++] Доработан парсер имен файлов
[+] Добавлена процедура чистки 23 - удаление политик Google, создаваемых в реестре вредоносными программами
[+] Добавлены сведения по файлам в планировщике заданий
[+] Добавлен параметр [URL="http://z-oleg.com/secur/avz_doc/t_commandlinespec.htm"]QrPWD[/URL], позволяющий задать нестандартный пароль, используемый при архивации карантина
[+] При выявлении синтаксической ошибке в скрипте курсор перемещается на место ошибки
[--] Исправлена ошибка, приводящая в ряде случаев к неправильной работы переменной %allusersprofile% в скрипте
[--] Устранен сбой формирования протокола исследования системы при анализе файла с поврежденной структурой VersionInfo
[--] Исправлен ряд ошибок в работе визардов поиска и устранения проблем
[--] Исправлена ошибка работы функции удаления ключей реестра (не учитывалось состояния редиректора)
[--] Исправлена ошибка с обнаружением предположительно скрытых процессов на серверных и x64 системах
[--] Исправлена ошибка, приводящая к обнаружению предположительно скрытых процессов
[-] Исправлена ошибка с экранированием кавычек в XML логе (в некоторых случаях экранировались не все двойные кавычки)
[-] Исправлена ошибка в менеджере протоколов - не работал парсер имен файлов


[URL="http://www.z-oleg.com/secur/avz/download.php"]Страница загрузки[/URL]
[/TD]
[/TR]
[/TABLE]

Ошибка с картридером исправлена, спасибо!

При выполнении 3го стандартного скрипта AVZ зависает с ошибкой. [QUOTE]Имя сбойного приложения: avz.exe, версия: 4.45.0.94, метка времени: 0x2a425e19
Имя сбойного модуля: unknown, версия: 0.0.0.0, метка времени: 0x00000000
Код исключения: 0x00000000
Смещение ошибки: 0x00000000
Идентификатор сбойного процесса: 0x24a8
Время запуска сбойного приложения: 0x01d0fcef10c0f945
Путь сбойного приложения: C:\Users\it-03\Desktop\От вирусов\avz4\avz4\avz.exe
Путь сбойного модуля: unknown
Идентификатор отчета: aba7fc6b-76e9-4de5-aab2-5153403a6962
Полное имя сбойного пакета:
Код приложения, связанного со сбойным пакетом:[/QUOTE] Закрыть можно только через диспетчер.
Проблема с Windows 10 Pro. Установлен Eset Antivirus 8. Также установлена программа слежения за действиями пользователей Staffcop Enterprise.
Перед сканированием Nod и Staffcop предварительно были отключены.
При сборе логов 2м стандартным скриптом проблем нет.
Также зависает при работе антируткита. Если нужно, могу попробовать удалить staffcop и попробовать заново, в версии 4.44 при тех же условиях сканирование проходило успешно. Если нужны какие либо логи, либо доп. информация, готов предоставить.

[url]http://rghost.ru/6wwL9fMbd[/url]
Запуск задания [CODE]cmd.exe /c @echo objShell.Run "cmd.exe /c (attrib -H -R -S %WinDir%\system32\GroupPolicy\Machine\Registry.pol)&(copy/b/y %WinDir%\system32\GroupPolicy\Machine\R %WinDir%\system32\GroupPolicy\Machine\Registry.pol > nul)&(gpupdate/force)&(attrib +R %WinDir%\system32\GroupPolicy\Machine\Registry.pol)", 0, True >> %TEMP%\R.vbs[/CODE]
Наверно стоит подобные задания CheckResult="[B]3[/B]" помечать.

Чтобы другие не наступили на теже грабли с ошибками AVZ напишу сюда актуальные на данный момент баги AVZ. И некоторые пожелания, может хоть в следующей версии они будут реализованы.

1) Состояние восстановления системы по прежнему неправильно показывает на windows 7 и выше. На 10-ке восстановление системы отключено по умолчанию, а AVZ всегда в логах показывает, что оно включено. Как правильно проверять состояние восстановление системы на windows 7 написано в [URL="http://virusinfo.info/showthread.php?t=141836&page=2&p=1025447&viewfull=1#post1025447"]теме AVZ - 4.41[/URL].

2) Параметры в реестре из ветки
[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg[/CODE]
до сих пор не удаляются.

3) ZIP_ExtractArchive по справке должно вернуть [QUOTE]4 - архив не является ZIP архивом, или поврежден, или указан неверный пароль[/QUOTE] в реальности выполнение скрипта прекращается и выходит ошибка AVZ
[IMG]http://i69.fastpic.ru/big/2015/1008/33/d09fca6b33abb8c4e135e13244735b33.png[/IMG]

4) [url]http://z-oleg.com/avz4.zip[/url] в архиве с AVZ лежит старая англ. справка от 2011 года, а как следствие в ней нет описания новых команд.

5) [url]http://virusinfo.info/showthread.php?t=155719&p=1264590&viewfull=1#post1264590[/url]
поправили в справке, но всё равно там перепутано.[QUOTE]function [b]CreateQurantineArchive[/b](AFileName : string; AQrInfoFiles : string = '') : boolean;

Функция создает архив с файлами, помещенными сегодня в папку карантина (т.е. берутся все файлы из папки [b][color=#FF0000]Infected[/color][/b][/QUOTE]
Должно быть берутся все файлы из папки [B]Quarantine[/B]
[url]http://z-oleg.com/secur/avz_doc/index.html?script_createinfectedarchive.htm[/url]

6) В редакторе скриптов по открытие справки по команде regkeystrparamread открывается неправильная ссылка [url]http://z-oleg.com/secur/avz_doc/index.html?script_regkeystrparamread.htm[/url]

7) Вместо того чтобы просто открыть нужную ветку реестра, AVZ эмулирует нажатие клавиш. В итоге часто далеко не с первой попытки открывается нужная ветка реестра. А если в системе установлены программы типо пунто-свитчера, то может так и не открыться. [URL="http://virusinfo.info/showthread.php?t=155719&p=1253459&viewfull=1#post1253459"]Тут[/URL] написано как сделать это нормально.

8) При копирование текста в AVZ или редактор скриптов на windows 7 вместо русского текста вставляются вопросы. Как это исправить написано [URL="http://forum.kaspersky.com/index.php?showtopic=327882&pid=2441228&st=0&#entry2441228"]здесь[/URL].

9) [url]http://virusinfo.info/showthread.php?t=155719&p=1095056&viewfull=1#post1095056[/url]
[quote="Зайцев Олег"]По ".dll" все просто - когда идет поиск файла, там задается ожидаемое расширение, которое используется в качестве дефолтного. При пустом пути они не должно применяться, проверю[/quote]Эта бага до сих пор актуальна, как минимум на windows 8.1.

10) [quote="Зайцев Олег"]В принципе можно что-то смудрить ... при автоанализе это учитывается (там есть дата формирования лога по часам ПК и дата его получения, если первое на сутки больше второго, то значит часы ПК сбиты)[/QUOTE]

11) [QUOTE]Если в папке Qurantine есть папка например с названием Test, то вместо обещанного в документации карантина за сегодняшнее число упакованы будут файлы из этой тестовой папки.[/QUOTE]

12) При удаление заданий через AVZ в реестре информация о них не чистится (поэтому на данный момент лучше чистить другими утилитами, либо потом их удалять).

13) В MessageDLG название кнопки mbIgnore не помещается в русской локализации
[IMG]http://i67.fastpic.ru/big/2015/0912/b6/0069a613fc747f3dc6e94ab8af3126b6.png[/IMG]

[url]http://forum.ru-board.com/topic.cgi?forum=5&topic=13590&start=1660#6[/url]

Базы AVZ не обновляются. Я перепроверил и архивом и через программу и с зеркал и с сайта z-oleg.com качаются базы с датой обновления от 06.11.2015 04:00.

Сегодня утром базы похоже наконец пересобрались, но в XML со списком обновлённых файлов (file.dta) мне кажется ошибка.
Сейчас там
[HTML]<AVZ CurVer="4.43" MinVer="4.41" BuildDate="06.07.2015 4:00:11">[/HTML]
То есть строка от XML для обновления баз предыдущей версии, CurVer - указан неправильно.
А для актуальной раньше была строка
[HTML]<AVZ CurVer="4.45" MinVer="4.45" BuildDate="06.11.2015 4:00:10">[/HTML]

[url]http://virusinfo.info/attachment.php?attachmentid=601772&d=1448178898[/url] и на всякий случай перезалил его [URL="http://rghost.ru/6PvTrB4kL"]сюда[/URL].

В XML логе продублированы секци [B]<NET_DIAG>[/B] и [B]<WMI_INFO>[/B]

А также ещё просьба добавить в HTML лог разрядность системы (чтобы знать команды бутклинера и антируткит нужны или нет). Имхо это в HTML намного нужнее и чаще требуется , чем дата установки ОС, которая нужна только в отдельных случаях и для которой достачно было бы просто параметра в XML.

Можно ли добавить поддержку юникода в команды удаления/карантина?

Например, чтобы строка
[code]
DeleteFile('c:\temp\test' + #3333 + '.txt','');
[/code]
передавалась по указателю к DeleteFileW.

В формате 8.3 не всегда удобно указывать. Имен может быть несколько, следовательно префикс ~1 или ~2... заранее неизвестен.
Или такой алиас может быть вообще отключен.

Если сделаете, то нужно добавить и отрицательные коды:
[code]DeleteFile('c:\temp\test' + #-3333 + '.txt','');[/code]
Сейчас синтаксический анализатор выдает ошибку.

Также, хотелось бы чтобы карантин всех файлов в папке не пропускал файлы с именами, в которых есть символы за пределами ASCII.
[code]begin
QuarantineFileF('c:\temp', '*', false, '', 0, 0);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip', '');
end.[/code]

Или, к примеру, путь в 8.3. на системе с японской локалью система отдает в таком вот виде:
[quote]"C:\DOCUME~1\ADMINI~1\Desktop\セック~1.LNK"[/quote]
И никакого ANSI.

2) Ошибка при получении списка дисков:
[ATTACH=CONFIG]605250[/ATTACH]
Все бы ничего, но кнопку "Продолжить" приходится нажимать ровно 18 раз.
Система: XP SP3, VmWare. Диск - виртуальный, расшаренный на виртуалку из хоста (DT, без смонтированного образа).

[quote="Dragokas;1339990"]на системе с японской локалью[/quote]
да, что там с японской, у AVZ глюки начинаются даже с украинской локалью :).



1) Ставим язык для программ не поддерживающих юникод Украинский. AVZ запускается с англ. локализацией.
[b]Зайцев Олег[/b], думаю стоит приравнять украинский к русскому и для него также запускать на русском.

2) Выполняем для примера такой скрипт
[CODE]begin
if MessageDLG('Файл открытьььььььь', mtConfirmation, mbYes+mbNo, 0) = 6 then
clearlog;
end.[/CODE]
И любуемся
[IMG]http://i75.fastpic.ru/big/2015/1209/d1/76d412d1e8942a55c19f62fd99af36d1.png[/IMG]

Как видим AVZ проглотил часть букв и куда-то исчезли кнопки Yes и No. Закрыть окно можно только по крестику. Закрываем крестиком получаем опять окно без кнопки Ок.
[IMG]http://i75.fastpic.ru/big/2015/1209/55/d83992b909bdd25f90304bef148af355.png[/IMG]

3) В предыдущих версиях AVZ была бага, что вместо юникодных символов он в лог выводит какие-то служебные символы (из начала ANSI диапазона). В версии 4.45 в теории эта проблема была решена, тем что эти "юникодные символы" замещаются на пробелы. Но увы, проблема осталась. [URL="http://www36.zippyshare.com/v/xQZy5wf6/file.html"]Пример лога.[/URL]

4) Есть вирус, который прописывает в реестр такой ключ
[CODE][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\]
"C"="cmd /c (@attrib -H -R -S C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@copy/b/y C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\R C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@attrib +R C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@start/b gpupdate.exe /Force >L)"[/CODE]
AVZ нормально парсит строку, но думаю ещё стоит подсвечивать эти файлы CheckResult="3", чтобы хелпер обратил на них внимание. Всё-таки там через cmd копируются и подменяются файлы.

5) В логе XML очень часто параметр SHPath="" пустой. А для JOB файлов он вообще всегда пустой. Хотелось бы чтобы это было исправлено, хотя бы в следующей полиморфной сборке AVZ.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="regist;1340189"]В версии 4.45 в теории эта проблема была решена, тем что эти "юникодные символы" замещаются на пробелы.[/quote]
кстати как следствие мы опять получим искаженное имя файла :(.

[QUOTE=regist;1340189]AVZ нормально парсит строку, но думаю ещё стоит подсвечивать эти файлы CheckResult="3", чтобы хелпер обратил на них внимание. Всё-таки там через cmd копируются и подменяются файлы.
[/QUOTE]
За копирование строчку подсвечивать может и не очень правильно, я подумаю и посмотрю статистику. А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.

[quote="Зайцев Олег;1341001"]А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.[/quote]
Протестировал с сегодняшними базами и этим твиком. Ничего пока не подсвечивается
[IMG]http://i75.fastpic.ru/big/2015/1212/27/bced2d25e7c94ff813b8689fe3e43727.png[/IMG]
[url]http://i75.fastpic.ru/big/2015/1212/27/bced2d25e7c94ff813b8689fe3e43727.png[/url]

[b]Зайцев Олег[/b],
1) [quote="regist;1340189"]вместо юникодных символов он в лог выводит какие-то служебные символы (из начала ANSI диапазона).[/quote]
Вот [URL="http://rghost.ru/7zB2WXPPD"]ещё один лог[/URL] со служебными символами.
[IMG]http://i65.fastpic.ru/big/2015/1216/8b/f3c2d8bb3252ad6c662de8c0dda8928b.png[/IMG]

2) В меню лишняя кнопка (пункт) Справка, а как следствие пункт не рабочий (при нажатие ничего не происходит).
[IMG]http://i76.fastpic.ru/big/2015/1216/17/089422aa9ea6c3f1aae3d10e945f4617.png[/IMG]

3) AVZ, кажись уже несколько лет не удаляет папки при применение команды DeleteFileMask даже если они пустые. И вы давно тут в какой-то теме по обсуждению предыдущей версии ответили, что это не баг, а сделано осознанно. А тем не менее в справке до сих пор находится неверная информация
[QUOTE]function DeleteFileMask(ADir, AMask : string; ARecurse : boolean; ASDFormula : string := '') : boolean;



Выполняет поиск и удаление файлов в папке ADir, имена которых соответствуют маске AMask. Параметр ARecurse управляет отработкой вложенных каталогов - если ARecurse = true, то будет выполнен рекурсивный обход папок начиная от заданной и в каждой из папок будет выполнен поиск и удаление файлов по маске AMask. После завершения обработки папки в данном случае производится проверка, остались ли в ней файлы - [B]если файлов не осталось, то папка автоматически удаляется. [/B]Если ARecurse = false, то поиск и удаление файлов производится только в заданной папке.

В параметре AMask можно указать одну или несколько масок. В случае задания нескольких масок они разделяются пробелами, запятыми или точкой с запятой. Т.е. данный варианты задания маски являются эквивалентными:[/QUOTE]А начинающие хелперы и студенты изучающие AVZ вводятся в заблуждение по поводу работы этой команды. И возможно не только начинающие, не считая вашего ответа затерянного тут в обсуждение (который наверняка большинство использующих AVZ не видело), нигде информации про это нет. Пока человек сам не наткнётся, что в справке написано неправильно (устаревшая информация) он будет думать, что если папка пуста команда её удалит.

[b]Зайцев Олег[/b]
[URL="http://virusinfo.info/showthread.php?t=194863"]Реклама в браузерах, медленно работает интернет, всплывающие окна[/URL] - интересное задание в логах FRST обнаружилось:[CODE]powershell.exe -windowstyle hidden -noninteractive -ExecutionPolicy bypass -EncodedCommand[/CODE]и далее длинная команда в Base64 кодировке, явно нехорошая. В логе AVZ не было этого задания.
После декодирования видно, что загружается что-то с theget.biz.

1) [quote="Зайцев Олег;1341001"]За копирование строчку подсвечивать может и не очень правильно, я подумаю и посмотрю статистику. А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.[/quote]

[quote="regist;1341160"]Протестировал с сегодняшними базами и этим твиком. Ничего пока не подсвечивается[/quote]
Вот ещё один [URL="http://virusinfo.info/attachment.php?attachmentid=609329&d=1451476725"]лог[/URL], [URL="http://rghost.ru/76HdtMXmJ"]отзеркалил[/URL].
В логе такое задание
[CODE]cmd.exe /c @echo objShell.Run "cmd.exe /c (attrib -H -R -S %WinDir%\system32\GroupPolicy\Machine\Registry.pol)&(copy/b/y %WinDir%\system32\GroupPolicy\Machine\R %WinDir%\system32\GroupPolicy\Machine\Registry.pol > nul)&(gpupdate/force)&(attrib +R %WinDir%\system32\GroupPolicy\Machine\Registry.pol)", 0, True >> %TEMP%\R.vbs[/CODE]
и всё равно ничего не подсветило.

2) [url]http://z-oleg.com/secur/avz_doc/index.html?script_getlastexitcode.htm[/url]
Надо дописать в справку, что

- код возврата процесса, если процесс нормально завершился,
- $FFFFFFFF - если была ошибка запуска и процесс не запустился вообще (или не было вызовов ExecuteFile)
- $FFFFFFFE - если процесс запустился и был прибит по таймауту

[b]Зайцев Олег[/b], В разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes, параметр DefaultScope по идее должен исправляться таблеткой №4. но по факту параметр остается в неизменном состоянии, не могли бы Вы исправить данную проблему?

[b]Зайцев Олег[/b], добрый день!
[url]http://z-oleg.com/secur/avz_doc/index.html?script_getlastexitcode.htm[/url]
Прошу задокументировать в справку AVZ коды ошибок, возникающие при запуске внешних программ
[U]Пример[/U]: 7z ReturnCode [B]4294967295[/B]
Т.к. информации по ним нет ни где.

[b]Зайцев Олег[/b], можно узнать, что было исправлено в полиморфе от 29-го числа?
Бага с переводом русских букв осталась, остальное не проверял, только посмотрел что реестр по прежнему эмулирует нажатие клавиш вместо того чтобы сразу открыть нужную ветку. Напомню, что [URL="http://forum.kaspersky.com/index.php?showtopic=327882&pid=2441228&st=0&#entry2441228"]здесь[/URL] есть решение как исправить проблему с вопросиками, а [URL="http://virusinfo.info/showthread.php?t=155719&page=8&p=1253459&viewfull=1#post1253459"]здесь[/URL] с регедитом.

___________________
[url]http://www40.zippyshare.com/v/GmGQKGl3/file.html[/url] опять битый лог
[IMG]http://i74.fastpic.ru/big/2016/0204/a8/826670856bbf084b549337d0d3178da8.png[/IMG]
В HTML также искажено. Может пора со следующей версии переводить AVZ на юникод?

[url]http://virusinfo.info/showthread.php?t=196640[/url] AVZ не подсветил батники в ярлыках.
Карантин батников и ярлыков здесь [url]http://virusinfo.info/virusdetector/report.php?md5=AF4F5E491E59811DDAFF67C03902FF46[/url]

1) Прописываем в
[CODE]HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit[/CODE]
следующее значение
[CODE]wscript C:\Windows\run.vbs,[/CODE]
AVZ не видит никакой анамалии в нестадартномном значение ключа и не выводит в лог.
Хорошо, что в uVS видно отклонение.
[IMG]http://i76.fastpic.ru/big/2016/0211/58/f2eb92e4dbaaa5da83a99ed6093f7858.png[/IMG]

2) Последнее несколько месяцев попадаются логи с ложным подозрением
[QUOTE]C:\Windows\system32\migwiz\migwiz.exe
Подозрение эвристического анализа ЭПС: подозрение на Trojan-Ransom.Win32.Scatter (высокая степень вероятности)[/QUOTE]
Как понимаю эвристика добавлена не кибером, а человеком, так что кибер её автоматом скорректировать не сможет.
[URL="http://www34.zippyshare.com/v/5eJqU5Jd/file.html"]Пример лога[/URL].
Навсякий случай отчёт и хеши по файлу [url]https://www.virustotal.com/ru/file/be04509deb13735c2a9a026724d92d3f6a50662ed61a64d7ac81b8c8306127b4/analysis/[/url]


3) Присоединяюсь к этой просьбе [url]http://forum.kaspersky.com/index.php?showtopic=326375&pid=2544119[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="regist;1357697"]AVZ не видит никакой анамалии в нестадартномном значение ключа и не выводит в лог.
Хорошо, что в uVS видно отклонение.[/quote]
Добавлю, что не только не видит, но и не и исправляет. Применил восстановление системы №16 но не исправило :(. Мастер поиска и устранения проблем также этого не видит.