Вышла новая версия антивирусной утилиты AVZ - 4.43

Вышла новая версия антивирусной утилиты AVZ - 4.43. Архив с утилитой содержит базу вирусов от 23.02.2014 - 297614 сигнатур, 2 нейропрофиля, 56 микропрограмм лечения, 405 микропрограммы эвристики, 9 микропрограмм ИПУ, 236 микропрограммы поиска и устранения проблем, 649446 подписей безопасных файлов.

[B]Основные модификации:[/B]
[++] Новый функционал - диагностика сети для выявления проблем, создаваемых вредоносными программами (диагностические операции находятся в обновляемой БД)
[++] Добавлена эвристика для обнаружения вредоносных заданий планировщика
[++] Редактор скриптов - подсветка синтаксиса, всплывающее меню редактора и поддержка типовых горячих клавиш
[++] Фильтр в менеджере автозапуска (отображение всех или только неопознанных по БД чистых)
[++] Окно редактирования и выполнения скрипта : добавлена подсветка синтаксиса, выделение цветом специфических команд скрипт-языка AVZ, отображение строки и столбца курсора, поддерживаются стандартные клавиатурные сочетания типа Ctrl+A)
[+] Вывод MD5 по процессам в HTML отчет
[+] Вывод полного названия версии ОС в протокол и XML
[+] Доработана стратегия карантина (повышение качества карантина на x64, улучшен парсер)
[+] В просмотре карантина добавлено отображения сведений по выделенным файлам (количество и суммарный размер)
[+/-] Работа параметра spoollog изменена (если не указан полный путь, то он отсчитывается от каталога AVZ)
[+/-] В XML версия файлов выведена в формате x.x.x.x
[+/-] В описании задания планировщика в XML выведены все поля (ранее часть была доступна только в HTML логе, новые поля JobName, Status и FullCmd)
[+/-] XML: добавлено экранирование символов 0x00 (NUL), такие символы заменяются на пробелы для устранения проблем с парсерами протоколов
[-] Исправлена ошибка парсера имени файла в автозапуске и диспетчере процессов (было доступно в 4.41 через обновление баз)
[-] XML: Исправлена ошибка с дублирование имени параметра в XML, из за чего лог не проходил верификацию парсеров XML
[-] XML: Исправлена ошибка с отсутствием пробелов между параметрами в XML, из за чего лог не проходил верификацию парсеров XML
[-] Исправлена ошибка с локализацией MessageDlg (в английской локализации были русские надписи на кнопках)

Страница загрузки на обычном месте: [url]http://www.z-oleg.com/secur/avz/download.php[/url]

[URL="http://radikal.ru/fp/e55f3478465a4ab2a16c4ec406a8f8f4"][URL=http://radikal.ru/fp/e55f3478465a4ab2a16c4ec406a8f8f4][IMG]http://s020.radikal.ru/i719/1402/2a/811a90260fb9t.jpg[/IMG][/URL]
[/URL]

Нужно обновить базы или архив, и все будет как положено

да, теперь нормально

После выполнения стандартного скрипта №3 на Windows 8.1 32 битная с медиа центром компьютер начинает немного подтормаживать и в конце концов падает в BSOD. Выполнение 2 стандартного скрипта проходит нормально.

[ATTACH=CONFIG]463393[/ATTACH]

[QUOTE=mike 1;1093615]После выполнения стандартного скрипта №3 на Windows 8.1 32 битная с медиа центром компьютер начинает немного подтормаживать и в конце концов падает в BSOD. Выполнение 2 стандартного скрипта проходит нормально.

[ATTACH=CONFIG]463393[/ATTACH][/QUOTE]
Примерно понятно, в чем дело. Такого быть не должно, можно с указанного ПК получить лог, образовавшийся после завершения скрипта 2 ?

Вот. После окончания выполнения 3 стандартного скрипта компьютер спустя минуту-две упал в BSOD.

[QUOTE=mike 1;1093963]Вот. После окончания выполнения 3 стандартного скрипта компьютер спустя минуту-две упал в BSOD.[/QUOTE]
Спасибо. Обновил базы AVZ, в теории падение в BSOD должно пропасть.

Олег, как ваша программа реагирует на насильственно-маркетиговые внедрения? Когда сами собой подвешиваются подписки? Или в данном случае все зависит от самого пользователя? (Для примера - мегафон.про. Появляется совершенно независимо от клиента, а потом очень неприятные разборки с провайдером). На такие фокусы сети она реагирует?

[URL="http://virusinfo.info/showthread.php?t=155426"]Браузер самостоятельно открывает влкадки через опрделенное время с рекламой (заявка № 155426)[/URL] - зловред с MD5="B0766BC92DC9444730CC38912981E5A4" почему-то попал в базу проверенных.

[URL="http://virusinfo.info/showthread.php?t=155766"]Подмена стартовой страницы (заявка № 155766)[/URL] - обьект в автозапуске:[CODE]C:\Program Files (x86)\Norton Security\MUI\18.7.0.13\19\01\rcSvcHst.dll[/CODE]опять раздуплило.

[QUOTE=Samhit;1094015]Олег, как ваша программа реагирует на насильственно-маркетиговые внедрения? Когда сами собой подвешиваются подписки? Или в данном случае все зависит от самого пользователя? (Для примера - мегафон.про. Появляется совершенно независимо от клиента, а потом очень неприятные разборки с провайдером). На такие фокусы сети она реагирует?[/QUOTE]
Подписки - это же сотовый телефон и услуги оператора, тут AVZ не поможет.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE=Vvvyg;1094096]
1. [URL="http://virusinfo.info/showthread.php?t=155426"]Браузер самостоятельно открывает влкадки через опрделенное время с рекламой (заявка № 155426)[/URL] - зловред с MD5="B0766BC92DC9444730CC38912981E5A4" почему-то попал в базу проверенных.

[URL="http://virusinfo.info/showthread.php?t=155766"]
2. Подмена стартовой страницы (заявка № 155766)[/URL] - обьект в автозапуске:[CODE]C:\Program Files (x86)\Norton Security\MUI\18.7.0.13\19\01\rcSvcHst.dll[/CODE]опять раздуплило.[/QUOTE]
1. Это легитимная в общем-то программа, ставится с легальным софтом - а по сути адварь. Я выкинул ее из БД чистых AVZ, она будет появляться в логах...
2. Это нормально - сложный путь с кучей точек, вот парсер и перестарался. Я совершенствую его, чтобы свести к минимуму подобные эффекты

По багам из [URL="http://virusinfo.info/showthread.php?t=141836&p=1092410&viewfull=1#post1092410"]этого поста.[/URL]

1) Баг с тем, что не экранируется <local> не исправлен.
[HTML] <Key RegKey="HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" Name="ProxyOverride" VAL="<local>" />
[/HTML]
[URL="http://rghost.ru/52683145"]вот лог AVZ сделанный версией 4.43[/URL]

2) Баг, что не всегда экранируются кавычки, остался [url]http://rghost.ru/52684645[/url]
[HTML]<ITEM File=".dll" CheckResult="-1" Enabled="-1" Type="?" X1="HKEY_LOCAL_MACHINE" X2="System\CurrentControlSet\Control\Lsa" X3="Security Packages" X4="""" Is64="0"[/HTML]
По прежнему не понятно, откуда в этом логе берётся File=".dll" экспорт этого ключа есть [URL="http://virusinfo.info/showthread.php?t=141836&p=1092410&viewfull=1#post1092410"]здесь[/URL] (в пункте №5).
Если это поможет [URL="http://rghost.ru/52684615"]вот ещё лог[/URL] сделанный версий 4.42.152 private build
[spoiler][HTML]PROCESS>
<ITEM PID="1916" File="d:\Мои документы\autologger.exe" CheckResult="-1" Descr="Автоматический сборщик логов" LegalCopyright="Все права на AutoLogger принадлежат regist & Drongo © Copyright 2013" Hidden="0" CmdLine=""D:\Мои документы\AutoLogger.exe" " Size="19618869" Attr="rsAh" CreateDate="21.02.2014 20:07:47" ChangeDate="21.02.2014 01:00:04" MD5="DE9B6D47DB2C6C8214CF6A5E442319AD" Vendor="Company © regist & Drongo" Product="AutoLogger" OFN="AutoLogger.exe" Ver="1.0.0.1" NationalName="Y" IsPE="1"/>
<ITEM PID="4428" File="d:\Мои документы\autologger\avz\avz.exe" CheckResult="-1" Descr="" LegalCopyright="" Hidden="0" CmdLine=""D:\Мои документы\AutoLogger\AVZ\avz.exe" Script=AVZ\Script2.txt HiddenMode=0" Size="9316352" Attr="rsAh" CreateDate="21.02.2014 20:09:11" ChangeDate="17.02.2014 22:31:05" MD5="F3D80ED906772BB0574720DB65C8A43C" NationalName="Y" IsPE="1"/>
<ITEM PID="4028" File="c:\program files\common files\doctor web\scanning engine\dwarkdaemon.exe" CheckResult="-1" Descr="Dr.Web Anti-Rootkit Server" LegalCopyright="Copyright (c) Doctor Web, Ltd., 1992-2014" Hidden="0" CmdLine=""C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwarkdaemon.exe" -arkpipe:\pipe\ARServer" Size="774448" Attr="rsAh" CreateDate="19.02.2014 22:23:18" ChangeDate="19.02.2014 22:33:12" MD5="0E677D60EF39CEA96983BB1573EC5628" Vendor="Doctor Web, Ltd." Product="Dr.Web Anti-Virus" OFN="dwarkdaemon.exe" Ver="9.0.8.2070" IsPE="1"/>
<ITEM PID="4208" File="c:\program files\common files\doctor web\scanning engine\dwengine.exe" CheckResult="-1" Descr="Dr.Web Scanning Engine" LegalCopyright="Copyright (c) Doctor Web, Ltd., 1992-2014" Hidden="0" CmdLine="watcher 3468 524 dwe-spider-d8c-1cf2f18c1e9ddee-watch" Size="2665008" Attr="rsAh" CreateDate="19.02.2014 22:23:18" ChangeDate="19.02.2014 22:33:11" MD5="3093F7A2509892170B99C261ACA331D2" Vendor="Doctor Web, Ltd." Product="Dr.Web Anti-Virus" OFN="dwengine.exe" Ver="9.0.8.2070" IsPE="1"/>
<ITEM PID="3468" File="c:\program files\common files\doctor web\scanning engine\dwengine.exe" CheckResult="-1" Descr="Dr.Web Scanning Engine" LegalCopyright="Copyright (c) Doctor Web, Ltd., 1992-2014" Hidden="0" CmdLine=""C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwengine.exe"" Size="2665008" Attr="rsAh" CreateDate="19.02.2014 22:23:18" ChangeDate="19.02.2014 22:33:11" MD5="3093F7A2509892170B99C261ACA331D2" Vendor="Doctor Web, Ltd." Product="Dr.Web Anti-Virus" OFN="dwengine.exe" Ver="9.0.8.2070" IsPE="1"/>
<ITEM PID="2016" File="C:\Program Files\DrWeb\dwservice.exe" CheckResult="-1" Descr="Dr.Web Control Service" LegalCopyright="Copyright © Doctor Web, Ltd., 1992-2014" Hidden="1" CmdLine="" Size="8880896" Attr="rsAh" CreateDate="19.02.2014 22:23:32" ChangeDate="19.02.2014 22:33:18" MD5="C71868013CDD08EA503E560C4FCC6D4E" Vendor="Doctor Web, Ltd." Product="Dr.Web ®" OFN="dwservice.exe" Ver="9.0.6.1271" IsPE="1" IsPE64="1"/>
<ITEM PID="320" File="d:\mazila\firefox.exe" CheckResult="-1" Descr="Firefox" LegalCopyright="©Firefox and Mozilla Developers; available under the MPL 2 license." Hidden="0" CmdLine=""D:\Mazila\firefox.exe" " Size="275568" Attr="rsAh" CreateDate="19.02.2014 13:16:00" ChangeDate="13.02.2014 04:36:25" MD5="D9184C5FF3FD526761D518A95ABA74A3" Vendor="Mozilla Corporation" Product="Firefox" OFN="firefox.exe" Ver="27.0.1.5156" IsPE="1"/>
<ITEM PID="2684" File="C:\Program Files\DrWeb\frwl_notify.exe" CheckResult="-1" Descr="Dr.Web Firewall for Windows notify module" LegalCopyright="© Doctor Web, Ltd., 1992-2014" Hidden="1" CmdLine="" Size="2493720" Attr="rsAh" CreateDate="19.02.2014 22:23:41" ChangeDate="19.02.2014 22:23:41" MD5="1129189D42C2BA0B91C6D1F642573C1B" Vendor="Doctor Web, Ltd." Product="Dr.Web ®" OFN="frwl_notify.exe" Ver="9.0.4.1210" IsPE="1" IsPE64="1"/>
<ITEM PID="1668" File="C:\Program Files\DrWeb\frwl_svc.exe" CheckResult="-1" Descr="Dr.Web Firewall for Windows service" LegalCopyright="© Doctor Web, Ltd., 1992-2014" Hidden="1" CmdLine="" Size="1796096" Attr="rsAh" CreateDate="19.02.2014 22:23:41" ChangeDate="19.02.2014 22:23:41" MD5="83C840C35478B8D6CFFEC2C73B8AA38C" Vendor="Doctor Web, Ltd." Product="Dr.Web ®" OFN="frwl_svc.exe" Ver="9.0.4.1210" IsPE="1" IsPE64="1"/>
<ITEM PID="3928" File="c:\program files (x86)\internet explorer\iexplore.exe" CheckResult="0" Descr="Internet Explorer" LegalCopyright="© Корпорация Майкрософт. Все права защищены." Hidden="0" CmdLine=""C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE" SCODEF:1812 CREDAT:275457 /prefetch:2" Size="806096" Attr="rsAh" CreateDate="15.01.2014 19:10:03" ChangeDate="15.01.2014 19:10:03" MD5="C8A8321292A459B0A17FB39A782A5C74" Vendor="Microsoft Corporation" Product="Internet Explorer" OFN="IEXPLORE.EXE.MUI" Ver="11.0.9600.16428" IsPE="1"/>
</PROCESS>[/HTML][/spoiler]
Как видим почти у всех процессов в секции <PROCESS> у параметра CmdLine="" сдвоенные (не экранированные) кавычки.

3) Ключ автозапуска в реестре на запуск браузера с командной строки по прежнему не видит баг воспроизвёлся на 7 х64, 8.1 x64 при этом браузер успешно стартует. Лог выложенный мной в предыдущем пункте с windows 8.1 как раз сделан с системы, где добавлен этот ключ. Как видим этот ключ который создаётся малварой ("babakan" сейчас очень популярен) AVZ не (всегда ?) видит на этих системах.

4) AVZ также не видит ярлык в автозагрузке указывающий на такое расположение
[CODE]C:\WINDOWS\system32\regsvr32.exe /n /i /s trojan.dll[/CODE]
Пример темы где подобный способ был использован вирусописателями [URL="http://www.cyberforum.ru/viruses/thread1096302.html"]здесь[/URL].

5) Баг с завершения процесса на х64 системах у меня больше не воспроизводится.

Но остался вопрос, что за команда [B]KillProcess[/B] ? Она по прежнему у меня выдаёт ошибку [I]Ошибка [2, KILLPROCESS][/I].
6) SpoolLog лог тоже теперь отрабатывает нормально.

7) regedit из менеджера автозагрузки теперь как и нужно открывается на просматриваемом ключе.

8 ) Хотелось бы чтобы в справку было добавлено описание с примерами команды Ping.
В частности я относительно часто использую вот такой слегка модифицированные скрипт от [url=http://virusinfo.info/member.php?u=25279][b]Vvvyg[/b][/url]

[CODE]var
STR : TStringList;
CMDFile: string;
begin
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
STR := TStringList.Create;
STR.Add('ipconfig /all > diag.log');
STR.Add('ping vk.com >> diag.log');
STR.Add('tracert vk.com >> diag.log');
STR.Add('nslookup vk.com 8.8.8.8>> diag.log');
STR.SaveToFile(GetAVZDirectory + 'diag.cmd');
CMDFile:= GetAVZDirectory + 'diag.cmd';
ExecuteFile(CMDFile, '', 0, 200000, true);
ExecuteFile('cmd.exe', '/u /c type diag.log > diag1.log', 0, 10000, true);
DeleteFile(GetAVZDirectory + 'diag.log');
DeleteFile(GetAVZDirectory + 'diag.cmd');
end.[/CODE]

С учётом появления команды Ping его можно было бы обновить, да и в других места она думаю нашла бы применение.

9) AVZ проверяет и выводит в лог информацию запущено AVZ с учетки пользователя с правами администратора или нет. С помощью команд AVZ скриптом это можно посмотреть/проверить? Если такой команды нет, то хотелось бы чтобы она была добавлена.

[QUOTE=regist;1094792]По багам из [URL="http://virusinfo.info/showthread.php?t=141836&p=1092410&viewfull=1#post1092410"]этого поста.[/URL] 1...9
[/QUOTE]
1,2. Ерунда какая-то, буду проверять, в чем дело. Двойные кавычки видны где - в XML при просмотре блокнотом, или IE ? Если в IE, то это не баг, а фича - он при отображении XML экранированные символы показывает как надо, но выделяет цветом - кавычки в тексте строки вокруг нее отличаются. При копировании из IE цветовое выделение теряется и визуально выглядит как неэкранированный символ.
По ".dll" все просто - когда идет поиск файла, там задается ожидаемое расширение, которое используется в качестве дефолтного. При пустом пути они не должно применяться, проверю
3. Нужны примеры таких ключей, чтобы мне не искать (чем больше, тем лучше), настрою парсер на их обнаружение
4. Изменил. Базы обновлены, можно пробовать
5. Это хорошо, помечу его как пофикшенный
6. KillProcess - мертвая команда. Когда-то была, для внутренних целей, сейчас в документации она не описана, и оставлена для совместимости. При попытке вызова пишет в лог ошибку
7. Это глюк, причем регедита (там же ключ нельзя открыть документированным путем. Можно только "проиграть" окну процесса последовательность нажатий клавиш и надеяться, что откроется что надо. Любое несоответствие по задержкам, наличие утилит типа Punto - и все, сбой
8. Сейчас она пока недокументированная, не факт, что в ней ничего не поменяется. К следующей версии она будет описана в справке в своем итоговом виде.
9. Такой команды скрипта нет, добавить ее можно, толку будет мало. Дело в том, что скажем Win7 + UAC сообщает любому приложению, что права админа есть (а на деле или виртуализация записи в реестр, или блокировка)

2) Двойные кавычки в приложенном логе отобразились нормально, значит действительно из-за браузера ошибся. Но ещё понаблюдаю за логами.

3) Ключ выкладывал в том посте, на всякий случай дублирую

[CODE]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Babakan"="cmd.exe /k if %date:~6,4%%date:~3,2%%date:~0,2% LEQ 20131017 (exit) else (start http://virusinfo.info && exit)"
[/CODE]
Повторюсь, что на х86 нормально видит. Баг только на х64. Насчёт других ключей не проверял, аналогичную запись (просто с другим сайтом) очень часто вижу в разделе помогите поэтому её и протестировал.

7) Я имел ввиду что в версии 4.43 он у меня нормально открылся - исправлено, а на 4.42.152 private build баг у меня воспроизводился.

9) Хотелось, чтобы добавили. А для обхода UAC при необходимости можно вставить запрос на элевацию прав.

И ещё забыл спросить, вот такая строка в логе, это нормально?
[CODE][COLOR="#0000FF"][B]\\?\[/B][/COLOR]C:\ProgramData\Microsoft\Windows\DRM\Cache\Indiv_SID_S-1-5-20\Indiv01.key[/CODE]
подобный путь не должен исправляться? Несколько раз за последнее время видел подобную строчку.

P.S. и по добавлению новых фич. Хотелось бы ещё добавление работы с ZIP архивом и команду для получения информации о дате обновления баз.

[QUOTE=regist;1095076].... P.S. и по добавлению новых фич. Хотелось бы ещё добавление работы с ZIP архивом и команду для получения информации о дате обновления баз.[/QUOTE]
2. я так и думал - так как вроде всюду есть экранирование, на указанных параметрах точно есть и кавычки пролезть не могли
3. Базы обновились, можно попробовать - в теории такие ключи должны гарантировано попадать в логи и помечаться цветом как подозрительные
9. Хорошо, добавлю

Про "\\?\": в начале пути он должен отрезаться, в текущих правилах такое прописано. Но есть важная тонкость - если парсер видит, что путь корректный и позволяет открыть файл на диске, то парсинг не проводится и парсер не трогает имя и не обрабатывает его правилами, возможно как раз мы видим работу этой логики

[quote="Зайцев Олег;1095093"]3. Базы обновились, можно попробовать - в теории такие ключи должны гарантировано попадать в логи и помечаться цветом как подозрительные[/quote]
да, теперь попадают даже на х64 системах и ярлыки про которые писал выше тоже попали в лог и подсвечиваются.

[IMG]http://i33.fastpic.ru/big/2014/0227/98/9aa484ed487078b33e6738b280b43498.png[/IMG]

По ярлыкам вопрос
[HTML]<ITEM File="C:\WINDOWS\system32\regsvr32.exe /n /i /s miqiomjx.uwy" CheckResult="3" Enabled="1" Type="LNK" X1="C:\Documents and Settings\User\Start Menu\Programs\Startup\" X2="C:\Documents and Settings\User\Start Menu\Programs\Startup\regsvr32.exe.lnk" X3="" X4="" Is64="0"[/HTML]
Type="LNK" - означает ли это, что если у этой записи в логе HTML нажать удалить, то будет удалён этот ярлык? Если нет, то можно добавить кнопку удалить аналогично, как это сделано у ключей реестра?

1) А исправить экранирование VAL="<local>" возможно будет только выпустив новую версию AVZ ?
2) Заметил ещё, что в XML логе параметр Is64="" присутствует только в секции <AUTORUN>, а в остальных секциях его нет :(.

[QUOTE=regist;1095944]1) А исправить экранирование VAL="<local>" возможно будет только выпустив новую версию AVZ ?
2) Заметил ещё, что в XML логе параметр Is64="" присутствует только в секции <AUTORUN>, а в остальных секциях его нет :(.[/QUOTE]
1. А где этот параметр неправильный ? Нужен пример ... если в диагностике сети, то там установлено экранирование. Не исключено, что файл базы не попал в апдейт, обновил принудительно.
2. Он есть в списке процессов (где точно известна разрядность процесса) и главное, в автозапуске - там сканируются ключи как x32, так и x64 (за счет включения и выключения редиректора)

1) Да, в диагностике сети. После сегодняшнего обновления баз ошибка ушла.
2) Перепроверил в XML логе есть только в секции автозапуск, в секции процессы параметра Is64 нету. И в HTML при генерации команды удаления для скрипта этот параметр вставляется для файлов из любой секции. Почему тогда это не отображать и во всех секциях XML лога?

По словам пользователя после выполнения 7 стандартного скрипта компьютер не грузится.

Тема: [url]http://forum.kaspersky.com/index.php?showtopic=289435[/url]

Исправили с удаленным помощником?
[url=http://i33.fastpic.ru/big/2014/0304/79/748ffa9a730562f57dca6288f94ebb79.jpg][img]http://i33.fastpic.ru/thumb/2014/0304/79/748ffa9a730562f57dca6288f94ebb79.jpeg[/img][/url]

[quote="mike 1;1096752"]По словам пользователя после выполнения 7 стандартного скрипта[/quote]Причем здесь стандартный скрипт №7, если система перестала стартовать после Вашего скрипта?

[QUOTE=thyrex;1097269]Причем здесь стандартный скрипт №7, если система перестала стартовать после Вашего скрипта?[/QUOTE]
По словам пользователя система не стартовала после попытки выполнить 7 стандартный скрипт. Я специально этот момент уточнял.

1) [QUOTE]Внимание !!! База поcледний раз обновлялась [B]23.02.2014[/B] [U]необходимо обновить базы[/U] при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.43
Сканирование запущено в [B]07.02.2014[/B] 18:50:30[/QUOTE]
Может стоит для того случая заменить сообщение на исправьте системную дату или что-то подобное?

2) Если язык для программ не поддерживающих юникод стоит англ., то вот такая вещь
[IMG]http://i33.fastpic.ru/big/2014/0307/a6/98a55bca66b83438a25fe5d45223a4a6.png[/IMG]

3)[URL="http://rghost.ru/52890167"] Вот лог[/URL] со сложной командной строкой. Возможно будет интересен вам для отладки парсинга таких строк.
По этому же логу
[CODE]C:\Windows\system32\drivers\etc\hosts[/CODE]
Думаю вообще не стоит выводить эту строку в лог, как заведомо легальную. Содержимое hosts выводится в другой части лога, там же находится кнопка для вставки команды очищения hosts.

[QUOTE=regist;1098043]
1) Может стоит для того случая заменить сообщение на исправьте системную дату или что-то подобное?

2) Если язык для программ не поддерживающих юникод стоит англ., то вот такая вещь
[IMG]http://i33.fastpic.ru/big/2014/0307/a6/98a55bca66b83438a25fe5d45223a4a6.png[/IMG]

3)[URL="http://rghost.ru/52890167"] Вот лог[/URL] со сложной командной строкой. Возможно будет интересен вам для отладки парсинга таких строк.
По этому же логу
[CODE]C:\Windows\system32\drivers\etc\hosts[/CODE]
Думаю вообще не стоит выводить эту строку в лог, как заведомо легальную. Содержимое hosts выводится в другой части лога, там же находится кнопка для вставки команды очищения hosts.[/QUOTE]

1. В принципе можно что-то смудрить ... при автоанализе это учитывается (там есть дата формирования лога по часам ПК и дата его получения, если первое на сутки больше второго, то значит часы ПК сбиты)
2. Глюк в БД локализации. Поправил, после 16:00 при плановом обновлении баз проблема уйдет
3. Интересно, на ПК, с которого получен лог, есть файл "C:\Disney Interactive Studios\История игрушек\Game-TS3.exe" (парсер рассуждает так - ищет файл с именем "C:\Disney Interactive Studios\История игрушек\Game-TS3.exe", если не находит, то рассуждает, что раз имя не в кавычках, то быть может речь идет о двух разных файлах - "C:\Disney Interactive Studios\История" и "игрушек\Game-TS3.exe".

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[QUOTE=mike 1;1097305]По словам пользователя система не стартовала после попытки выполнить 7 стандартный скрипт. Я специально этот момент уточнял.[/QUOTE]
Случай единичный, видимо какая-то проблема именно в ПК пользователя или в реакции на скрипт

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

[QUOTE=glax24;1096878]Исправили с удаленным помощником?
[url=http://i33.fastpic.ru/big/2014/0304/79/748ffa9a730562f57dca6288f94ebb79.jpg][img]http://i33.fastpic.ru/thumb/2014/0304/79/748ffa9a730562f57dca6288f94ebb79.jpeg[/img][/url][/QUOTE]
Да, исправил. Только базу забыл обновить в сборке - исправленная база придет через автоапдейт

1) [quote="Зайцев Олег;1098383"]2. Глюк в БД локализации. Поправил, после 16:00 при плановом обновлении баз проблема уйдет[/quote]
проверил, теперь нормально - строчка полностью на англ.

А самой базы адвари в AVZ пока нет?

2) [QUOTE][B]\\?\[/B]c:\documents and settings\user\desktop\uvs_v382pack_ru\sphknb[/QUOTE]
[URL="http://rghost.ru/52940625"]Сделал лог AVZ [/URL]при запущенном uVS. Проверил физически на диске файла с именем
[CODE]c:\documents and settings\user\desktop\uvs_v382pack_ru\[B]sphknb[/B][/CODE]
нету (создаётся с другим рандомным именем, но не тем, которое в логе AVZ). Собственно вопрос почему AVZ не исправил этот путь?

3) [QUOTE]3. Сканирование дисков
[B]Ошибка[/B] при сканировании каталога (C:\Users\Александр\AppData\Local\Microsoft\Windows\INetCache\Content.Word\, [B]Privileged instruction, 11,[/B]~WRS{DE9BD2A7-850E-4A15-BC31-672EA62BC685}.tmp
[/QUOTE]
Что означает эта ошибка? И как понимаю это не совсем нормально. Сам [URL="http://rghost.ru/52940737"]лог тут.[/URL]

4) Может можно отключить разбиение строк по пробелу при чтение параметров из раздела
[CODE]HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\Eventlog[/CODE]
Очень часто рвёт пути к файлам при чтение записей оттуда. [URL="http://rghost.ru/52940896"]Вот хороший пример.[/URL]

5) Всё-таки хотелось бы в логе кнопку для удаления ярлыков из папки автозагрузка, например как для случая указанного [URL="http://virusinfo.info/showthread.php?t=155719&p=1095348&viewfull=1#post1095348"]здесь[/URL]

6) На всякий случай ещё раз напомню просьбу выводить в XML лог параметр Is64="" во всех секциях.

7) При просмотре карантина в AVZ хотелось бы чтобы подсвечивалось другим цветом не только название, а вся выделенная строка. А то неудобно смотреть и надо присмотриваться к примеру это смотришь информацию по файлу avz00052.dta или по avz00051.dta
И желательно, чтобы соседние строки, тоже слегка отличались по оттенку [spoiler=примерно так][IMG]http://i58.fastpic.ru/big/2014/0309/ff/3815e04daa7ad9b462335bda8d656dff.png[/IMG][/spoiler]
но это наверно пожелание уже к будущей версии AVZ :).

[b]Зайцев Олег[/b], амперсанд не экранируется в секции <AntiSpywareProduct>

[HTML] <AntiSpywareProduct>
<Data Name="Windows Defender" pathToSignedProductExe="%ProgramFiles%\Windows Defender\MSASCui.exe" ProductState="397584" />
<Data Name="Spybot - Search and Destroy" pathToSignedProductExe="C:\Program Files (x86)\Spybot - Search & Destroy 2\SDWSCSvc.exe" ProductState="393232" />
<Data Name="Emsisoft Anti-Malware" pathToSignedProductExe="C:\Program Files (x86)\Emsisoft Anti-Malware\a2start.exe" ProductState="262144" />
</AntiSpywareProduct>[/HTML]
[URL="http://rghost.ru/52978421"]вот лог.[/URL]

[QUOTE=regist;1098999][b]Зайцев Олег[/b], амперсанд не экранируется в секции <AntiSpywareProduct>

[HTML] <AntiSpywareProduct>
<Data Name="Windows Defender" pathToSignedProductExe="%ProgramFiles%\Windows Defender\MSASCui.exe" ProductState="397584" />
<Data Name="Spybot - Search and Destroy" pathToSignedProductExe="C:\Program Files (x86)\Spybot - Search & Destroy 2\SDWSCSvc.exe" ProductState="393232" />
<Data Name="Emsisoft Anti-Malware" pathToSignedProductExe="C:\Program Files (x86)\Emsisoft Anti-Malware\a2start.exe" ProductState="262144" />
</AntiSpywareProduct>[/HTML]
[URL="http://rghost.ru/52978421"]вот лог.[/URL][/QUOTE]
Да, подтверждаю такой баг. Исправил, базы обновлены - можно пробовать.

1) Баг с экранированием кавычек всё-таки есть, [URL="http://rghost.ru/53047970"]вот лог.[/URL]
[HTML]<ITEM PID="6944" File="c:\program files (x86)\microsoft office\office15\winword.exe" CheckResult="-1" Descr="Microsoft Word" LegalCopyright="" Hidden="0" CmdLine="&quot;C:\Program Files (x86)\Microsoft Office\Office15\WINWORD.EXE&quot; /n &quot;G:\!!!ФОРЕКС\!!!Представительство Forex Club\Для Сергея Мисионевича\Клиенты\Обучение\Вводный_Семинар.doc /o """ Size="1922720" Attr="rsAh" CreateDate="23.01.2014 15:56:28" ChangeDate="23.01.2014 15:56:28" MD5="70E0815BADCAA9A7CF24BB6EA0ED686B" Vendor="Microsoft Corporation" Product="Microsoft Office 2013" OFN="WinWord.exe" Ver="15.0.4569.1504" IsPE="1" />[/HTML]

2) Хочется получить ответ на [URL="http://virusinfo.info/showthread.php?t=141836&p=1019730&viewfull=1#post1019730"]этот вопрос.[/URL]
Что делать, когда AVZ не может штатными средставами отключить AVZPM?
Снова попалась [URL="http://forum.oszone.net/post-2323089.html#post2323089"]тема[/URL], где не удаётся отключить AVZPM. В личку юзер писал, что уже пять-шесть раз пытался отключить драйвер через GUI с последующей перезагрузкой и он по прежнему включён.
Когда в прошлый раз я спрашивал у вас этот вопрос, то указал, что вручную удалить его через диспетчер устройств на виртуалке удалить не удалось. Так что как же его надо отключать/удалять в подобных случаях? Тут XP и драйвер не особенно мешает, а на 7-ке из-за этого лог вообще был бы не читабельный.

3) [quote="Зайцев Олег;1095056"]По ".dll" все просто - когда идет поиск файла, там задается ожидаемое расширение, которое используется в качестве дефолтного. При пустом пути они не должно применяться, проверю[/quote]
это по прежнему актуально.

4) Хотелось бы получить комментарии по поводу вопросов в [URL="http://virusinfo.info/showthread.php?t=155719&p=1098548&viewfull=1#post1098548"]посте №26.[/URL]

1) При использование англ. локализации AVZ, на кнопке mbAbort написано [B]$[/B]Abort
[IMG]http://i57.fastpic.ru/big/2014/0320/ba/e7426e9cc2c5f1880cd255dcbd8c00ba.png[/IMG]

2) [quote="regist;1099956"]2) Хочется получить ответ на этот вопрос.
Что делать, когда AVZ не может штатными средставами отключить AVZPM?[/quote]

3) В [URL="http://rghost.ru/53199720"]этом логе[/URL]
[CODE]C:\Windows\system32\Drivers\uti2odky.sys[/CODE]
Это драйвер от AVZ ? AVZ подозревает сам себя?

4) [url]http://rghost.ru/53199745[/url]
mobogenie (в частности c:\program files\mobogenie\daemonprocess.exe ) в базе чистых файлов, а это адварь которую приходится выносить в каждой второй теме в разделе помогите.

5) [URL="http://rghost.ru/53199799"]Тут[/URL] в планировщике заданий есть такое
[CODE]C:\Program Files (x86)\Windows Sidebar\sidebar.exe /SL5="$815B8,3780238,54272,C:\Users\SentinelDead\Desktop\Tunngle_Setup_v4.5.1.3.exe"[/CODE]
AVZ не смог корректно распарсить этот путь.

6) В этом же логе (из. предыдущего пункта) в текстовой части есть
[QUOTE]Обнаружен вызов интерпретатора командной строки в автозапуске [DR=1] HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Adobe Flash Player SU = [C:\Windows\System32\cmd.exe /k start [url]http://3zz.info/[/url] && exit][/QUOTE]
В табличной части лога этого не видно. А [quote="Зайцев Олег;1095093"] такие ключи должны гарантировано попадать в логи и помечаться цветом как подозрительные[/quote]
[url]http://virusinfo.info/showthread.php?t=155719&p=1095348&viewfull=1#post1095348[/url]

7) Сейчас очень популярно заражения с подменой и дописыванием параметров в ярлыки браузеров. Когда происходит подмена и вместо browser.exe запускается browser.url AVZ это в логе отображает, а вот если использовать например такой ярлык
[CODE]"C:\Program Files\Internet Explorer\iexplore.exe" www.virus.ru[/CODE]
То так как IE проходит по базе безопасных AVZ, то такой ярлык остаётся абсолютно невидимым для AVZ.
Имхо, если в ярлыке есть нестандартные дописки параметров, то такие ярлыки стоит выводить в лог. И было бы неплохо если бы был визард для исправления подобных ярлыков.

8) По поводу визарда, может добавить ещё один визард для детекта и исправления, когда в реестре повреждён путь %SystemRoot%\ например когда там %[B]f[/B]ystemroot% или %syste[B]n[/B]root% такие логи периодически встречаются.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="regist;1101492"]5) Тут в планировщике заданий есть такое[/quote]
вот что в самом задание прописано
[HTML]<Exec>
<Command>C:\Program Files (x86)\Windows Sidebar\sidebar.exe</Command>
<Arguments>/SL5="$815B8,3780238,54272,C:\Users\SentinelDead\Desktop\Tunngle_Setup_v4.5.1.3.exe"</Arguments>
</Exec>
[/HTML]

[QUOTE=regist;1101492]1) ... 8) [/QUOTE]
1. А что это за окно ? Видимо, глюк какой-то в базе локализации
2+3. Такого быть не должно. Я изменю скрипт удаления драйверов AVZ и проблема устранится. Опознать драйвера можно по MD5: D565AD44C6C4D934AFAD3CA4196B09AA, 524D8D450622DB4A7875B111C299A76B и 8698843A69A239FF023AEC6CAF3939CC
4. daemonprocess в БД чистых, так как ничего такого непристойного он не делает. Уверенность в том, что это адварь чем-то подкреплена ? Я временно убрал файл из БД чистых, но повторю - ничего такого зловредного я в нем не вижу.
5. да, парсер выделяет "$815B8,3780238,54272,C:\Users\SentinelDead\Desktop\Tunngle_Setup_v4.5.1.3.exe" - так как текст в кавычках, парсер рассматривает его как единое целое. Я подумаю, как такое распарсить корректно (проблема в том, что запятая допустима с имени файла, а в кавычках находится как имя файла, как и несколько цифр перед ним. При этом естественно "C:\Program Files (x86)\Windows Sidebar\sidebar.exe" парсером выделяется корректно
6. Такая конструкция не попадает в таблицу. Внес изменения в БД, сейчас такие строки должны быть видны в таблице и помечаться как подозрительные (пока только все, что открывает странички в инет)
7. часто такие ярлыки бывают легитимными (открывается стартовая страничка, или некий корпоративный портал). Подумаю по поводу эвристики для таких случаев. По поводу %SystemRoot%\ - нет проблем, нужен пример характерной малвари, или пара-тройка характерных логов, далее дело техники

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=regist;1099956]1) Баг с экранированием кавычек всё-таки есть, [URL="http://rghost.ru/53047970"]вот лог.[/URL]
[HTML]<ITEM PID="6944" File="c:\program files (x86)\microsoft office\office15\winword.exe" CheckResult="-1" Descr="Microsoft Word" LegalCopyright="" Hidden="0" CmdLine=""C:\Program Files (x86)\Microsoft Office\Office15\WINWORD.EXE" /n "G:\!!!ФОРЕКС\!!!Представительство Forex Club\Для Сергея Мисионевича\Клиенты\Обучение\Вводный_Семинар.doc /o """ Size="1922720" Attr="rsAh" CreateDate="23.01.2014 15:56:28" ChangeDate="23.01.2014 15:56:28" MD5="70E0815BADCAA9A7CF24BB6EA0ED686B" Vendor="Microsoft Corporation" Product="Microsoft Office 2013" OFN="WinWord.exe" Ver="15.0.4569.1504" IsPE="1" />[/HTML]

2) Хочется получить ответ на [URL="http://virusinfo.info/showthread.php?t=141836&p=1019730&viewfull=1#post1019730"]этот вопрос.[/URL]
Что делать, когда AVZ не может штатными средставами отключить AVZPM?
Снова попалась [URL="http://forum.oszone.net/post-2323089.html#post2323089"]тема[/URL], где не удаётся отключить AVZPM. В личку юзер писал, что уже пять-шесть раз пытался отключить драйвер через GUI с последующей перезагрузкой и он по прежнему включён.
Когда в прошлый раз я спрашивал у вас этот вопрос, то указал, что вручную удалить его через диспетчер устройств на виртуалке удалить не удалось. Так что как же его надо отключать/удалять в подобных случаях? Тут XP и драйвер не особенно мешает, а на 7-ке из-за этого лог вообще был бы не читабельный.

3)
это по прежнему актуально.

4) Хотелось бы получить комментарии по поводу вопросов в [URL="http://virusinfo.info/showthread.php?t=155719&p=1098548&viewfull=1#post1098548"]посте №26.[/URL][/QUOTE]

1. Странно, мне не удается такое воспроизвести
2.

1)[quote="Зайцев Олег;1102486"]1. А что это за окно ?[/quote]
MessageDlg - но думаю, что дело не в окне, а именно ошибка в локализации.
2) [quote="Зайцев Олег;1102486"]4. daemonprocess в БД чистых, так как ничего такого непристойного он не делает. Уверенность в том, что это адварь чем-то подкреплена ? Я временно убрал файл из БД чистых, но повторю - ничего такого зловредного я в нем не вижу.[/quote]
[QUOTE]drweb - Adware.NextLive.1
Kaspersky - not-a-virus:AdWare.Win32.Agent.ahgx
gdata - Win32.Adware.NextLive.A[/QUOTE]
[url]https://home.mcafee.com/virusinfo/VirusProfile.aspx?key=6591285[/url]
[url]https://www.google.ru/search?ie=UTF-8&hl=ru&q=mobogenie%20site%3Avirusinfo.info[/url]
[url]http://yandex.ru/yandsearch?text=%5CLocal%5CMobogenie&clid=9582&lr=10277[/url]
это сойдёт за доказательство?
И в частности из-за процесса daemonprocess пользователи жалуются на большую загрузку (тормоза) на компьютере.

3)[quote="Зайцев Олег;1102486"]По поводу %SystemRoot%\ - нет проблем, нужен пример характерной малвари, или пара-тройка характерных логов, далее дело техники[/quote]
ок, постараюсь подобрать логи

4) [url]http://rghost.ru/53280507[/url]
[QUOTE][B]globalroot[/B]\systemroot\system32\Qzwi4Nm.exe[/QUOTE]
AVZ вроде должен исправлять такие пути.

5) Пару дней назад в помогите мне снова встретился Backdoor.Win32.Javik.a, вот [URL="http://virusinfo.info/virusdetector/report.php?md5=21C245F22E2A5C64AA2D918459FCA1B6"]отчёт вирусдетектора[/URL] того юзера. Проверил на виртуалке AVZ до сих пор не умеет корректно его удалять (хотя эта проблема была ещё на ver 4.39). После удаления по прежнему проблемы с отображением меню пуск. А также при удаление с помощью AVZ через uVS видно, что следы от файла в системе остались (ExecuteSysClean разумеется использовался).
[IMG]http://i57.fastpic.ru/big/2014/0323/fa/9efe85af0e947837fb3bbe3a5e1996fa.png[/IMG]

6) [quote="Зайцев Олег;1095056"]По ".dll" все просто - когда идет поиск файла, там задается ожидаемое расширение, которое используется в качестве дефолтного. При пустом пути они не должно применяться, проверю
[/quote]
Похоже аналогичная проблема и .sys вот [URL="http://rghost.ru/53280747"]пример лога[/URL] в помогите подобное уже несколько раз встретил.

7) Последнее время часто HTML логи как-то непонятно отображаются. Вот [URL="http://rghost.ru/53280797"]лог для примера[/URL]
В Opera Presto и Google Chrome выглядит [spoiler][IMG]http://i57.fastpic.ru/big/2014/0323/3e/8d49cbd2c4a05a09c476dfa7dc563d3e.png[/IMG][/spoiler]
в IE выглядит [spoiler][IMG]http://i59.fastpic.ru/big/2014/0323/1f/828ad27ee2e45653bafaf91022eec71f.png[/IMG][/spoiler]

1) [quote="regist;1101492"]1) При использование англ. локализации AVZ, на кнопке mbAbort написано $Abort[/quote]
при использование русской локализации аналогичная проблема

[IMG]http://i33.fastpic.ru/big/2014/0324/5d/f439945ae46db435d063063cffc8e75d.png[/IMG]

2) [quote="Зайцев Олег;1102486"]1. А что это за окно ? Видимо, глюк какой-то в базе локализации
2+3. Такого быть не должно. Я изменю скрипт удаления драйверов AVZ и проблема устранится.[/quote]
для этих исправлений надо ждать выхода новой версии или это придёт с обновением баз?

3) [quote="regist;1102543"]ок, постараюсь подобрать логи[/quote]
[URL="http://rghost.ru/53309282"]вот подборка логов.[/URL]

[QUOTE=regist;1102854]1)
при использование русской локализации аналогичная проблема

[IMG]http://i33.fastpic.ru/big/2014/0324/5d/f439945ae46db435d063063cffc8e75d.png[/IMG]

2)
для этих исправлений надо ждать выхода новой версии или это придёт с обновением баз?
[/QUOTE]
Баг пофикшен, исправится при обновлении версии (там просто вместо "&" затесался "$")

[quote="Зайцев Олег;1102486"]Я изменю скрипт удаления драйверов AVZ и проблема устранится.[/quote]
для этого тоже надо ждать обновления версии?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[URL="http://rghost.ru/53363888"]Опять косяк с кавычками.[/URL] Строка 550
[HTML]<ITEM File="C:\Program Files\Rockwell Software\RSView\PRJHOOK32.dll" Verdict="Реагирует на события: клавиатура
Передает данные процессу: 4320 E:\МАЕ\virus\avz4\avz4\avz.exe (окно = "Стандартные скрипты")
Выясняет, какое окно находится в фокусе ввода" CheckResult="-1" Size="5632" Attr="rsah" CreateDate="14.11.2013 10:42:39" ChangeDate="05.11.2004 10:05:00" MD5="50E7AA7D6DA6385341A2726BDEF9E7F4" Vendor="Rockwell Software Inc." Product="DSICmn" OFN="PRJHOOK32.DLL" Ver="7.10.10.0" IsPE="1" IsDLL="1"/>[/HTML]
Вот [URL="http://virusinfo.info/showthread.php?t=156912"]ссылка на тему.[/URL]

[QUOTE=regist;1103452]для этого тоже надо ждать обновления версии?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[URL="http://rghost.ru/53363888"]Опять косяк с кавычками.[/URL] Строка 550
[HTML]<ITEM File="C:\Program Files\Rockwell Software\RSView\PRJHOOK32.dll" Verdict="Реагирует на события: клавиатура
Передает данные процессу: 4320 E:\МАЕ\virus\avz4\avz4\avz.exe (окно = "Стандартные скрипты")
Выясняет, какое окно находится в фокусе ввода" CheckResult="-1" Size="5632" Attr="rsah" CreateDate="14.11.2013 10:42:39" ChangeDate="05.11.2004 10:05:00" MD5="50E7AA7D6DA6385341A2726BDEF9E7F4" Vendor="Rockwell Software Inc." Product="DSICmn" OFN="PRJHOOK32.DLL" Ver="7.10.10.0" IsPE="1" IsDLL="1"/>[/HTML]
Вот [URL="http://virusinfo.info/showthread.php?t=156912"]ссылка на тему.[/URL][/QUOTE]
Нет, скрипт появится через автоапдейт.
А вот бага из строки 550 пофикшена, но фикс появится только в новой версии

В этой [url]http://virusinfo.info/showthread.php?t=157342[/url] теме у AVZ какая-то проблема с определением кодировки.

[QUOTE]7. Эвристичеcкая проверка системы
>>> Подозрение на маскировку ключа реестра службы\драйвера [B]"????????t¦""[/B][/QUOTE]

В логе TDSSKiller отображается имя так:

[QUOTE]
楗敳潂瑯獁楳瑳湡t¦"
[/QUOTE]

После конвертации удалось понять что эта служба от

[QUOTE]
WiseBootAssistant
[/QUOTE]

1) [quote="Зайцев Олег;1103561"]Нет, скрипт появится через автоапдейт.[/quote]
Скрипт для отключения AVZPM уже обновился или пока нет? Пользователь говорит, что AVZPM по прежнему [URL="http://forum.oszone.net/post-2329265.html#post2329265"]не отключается.[/URL] В стандартном скрипте №6 скрипт тоже обновился? Я там им посоветовал удалить драйвера и следы AVZ.

2) Очень часто в логах в секции подозрительные файлы видно у .msi файлов Подозрение на Exploit.Win32.IH_Infector.12
у .tmp (часто они от принтера эпсон) - Trojan.Win32.Agent2.byu
То есть именно эти эвристики давно и постоянно фолсят, можно и как-то скорректировать? Вот [URL="http://rghost.ru/53556539"]лог для примера.[/URL]

1) [URL="http://gfile.ru/a8aRC"]Опять лог с не экранированными кавычками.[/URL]
[HTML] <ITEM PID="3860" File="c:\program files (x86)\newtech infosystems\acer backup manager\backupmanagertray.exe" CheckResult="-1" Descr="Acer Backup Manager" LegalCopyright="Copyright (C) 2009, NewTech Infosystems, Inc. All rights reserved." Hidden="0" CmdLine=""C:\Program Files (x86)\NewTech Infosystems\Acer Backup Manager\BackupManagerTray.exe" -h -k" Size="265984" Attr="rsAh" CreateDate="29.06.2010 05:22:46" ChangeDate="29.06.2010 05:22:46" MD5="E2787B4F27F598BFA501B1971A4D5378" Vendor="NewTech Infosystems, Inc." Product="Acer Backup Manager" Ver="2.0.1.68" IsPE="1" />[/HTML]

2) [IMG]http://i59.fastpic.ru/big/2014/0401/71/a233274e53a945caa5f165f7593c1071.png[/IMG]
[url]http://gfile.ru/a5CHk[/url]
Это новая фича? Подробней про неё можно? У того юзера потом запросил лог Gmer никаких следов руткита там не было.

3) [URL="http://gfile.ru/a5cVr"]ещё один лог[/URL]
[QUOTE]Нестандартный ключ реестра для системной службы: wuauserv ImagePath=""[/QUOTE]

4) Про баг в AVZ когда в логе вместо пути отображается только .dll или только .sys уже писал. [URL="http://gfile.ru/a891L"]Вот для комплекта только .exe [/URL]
[IMG]http://i57.fastpic.ru/big/2014/0408/08/6f6ba886b3f64a936b0c6c26b82bbf08.png[/IMG]

5) По поводу того, что
[quote="regist;1102543"]7) Последнее время часто HTML логи как-то непонятно отображаются. Вот лог для примера
В Opera Presto и Google Chrome выглядит[/quote]
добавлю скрин
[IMG]http://i57.fastpic.ru/big/2014/0408/f6/48034a5fa628b995429534f7341777f6.png[/IMG]

Загрузка AVZ с офиц. сайта блокируется браузером google как опасная.