Вышла новая версия антивирусной утилиты AVZ - 4.45

[TABLE="width: 100%"]
[TR]
[TD][/TD]
[TD][B]Вышла новая версия антивирусной утилиты AVZ - 4.45[/B]. Архив с утилитой содержит базы от 4.09.2015 - 297614 сигнатур, 2 нейропрофиля, 56 микропрограмм лечения, 394 микропрограммы эвристики, 9 микропрограмм ИПУ, 339 микропрограммы поиска и устранения проблем, 759074 подписей безопасных файлов.

[B]Основные модификации:[/B]
[++] Расширена диагностика сети
[++] В HTML протоколе удалено форматирование имен файлов в виде ссылок, отображаемые ранее в всплывающем хинте сведения о файле статически помещены в отчете. Изменение сделано для всех визардов
[++] Модернизированы визарды чистки системы, поиска и устранения проблем (добавлены новые операции, устранен ряд ошибок)
[++] Скрипт-язык - поддержка работы с архивами из скриптов, функции [URL="http://z-oleg.com/secur/avz_doc/script_zip_createarchive.htm"]ZIP_CreateArchive[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_zip_extractarchive.htm"]ZIP_ExtractArchive[/URL]
[++] Скрипт-язык - поддержка проверки прав пользователя, функции [URL="http://z-oleg.com/secur/avz_doc/script_isadmin.htm"]IsAdmin[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_iselevated.htm"]IsElevated[/URL]
[++] Скрипт-язык: финкция [URL="http://z-oleg.com/secur/avz_doc/script_getlastexitcode.htm"]GetLastExitCode [/URL]для определения кода возврата запущенного процесса
[++] Скрипт-язык: функция [URL="http://z-oleg.com/secur/avz_doc/script_getcomputerdomain.htm"]GetComputerDomain[/URL] для определения домена ПК, [URL="http://z-oleg.com/secur/avz_doc/script_gethostbyname.htm"]GetHostByName [/URL]и [URL="http://z-oleg.com/secur/avz_doc/script_ping.htm"]Ping[/URL] для диагностики сети
[++] Скрипт-язык: процедуры [URL="http://z-oleg.com/secur/avz_doc/script_addquarantinefilter.htm"]AddQuarantineFilter[/URL] и [URL="http://z-oleg.com/secur/avz_doc/script_clearquarantinefilter.htm"]ClearQuarantineFilter[/URL] для фильтрации помещаемых в карантин файлов
[++] Скрипт-язык: функция [URL="http://z-oleg.com/secur/avz_doc/script_getavzdbdate.htm"]GetAVZDBDate[/URL] для получения даты и времени сборки базы AVZ в целом, или ее отдельных компонент
[++] Доработан парсер имен файлов
[+] Добавлена процедура чистки 23 - удаление политик Google, создаваемых в реестре вредоносными программами
[+] Добавлены сведения по файлам в планировщике заданий
[+] Добавлен параметр [URL="http://z-oleg.com/secur/avz_doc/t_commandlinespec.htm"]QrPWD[/URL], позволяющий задать нестандартный пароль, используемый при архивации карантина
[+] При выявлении синтаксической ошибке в скрипте курсор перемещается на место ошибки
[--] Исправлена ошибка, приводящая в ряде случаев к неправильной работы переменной %allusersprofile% в скрипте
[--] Устранен сбой формирования протокола исследования системы при анализе файла с поврежденной структурой VersionInfo
[--] Исправлен ряд ошибок в работе визардов поиска и устранения проблем
[--] Исправлена ошибка работы функции удаления ключей реестра (не учитывалось состояния редиректора)
[--] Исправлена ошибка с обнаружением предположительно скрытых процессов на серверных и x64 системах
[--] Исправлена ошибка, приводящая к обнаружению предположительно скрытых процессов
[-] Исправлена ошибка с экранированием кавычек в XML логе (в некоторых случаях экранировались не все двойные кавычки)
[-] Исправлена ошибка в менеджере протоколов - не работал парсер имен файлов


[URL="http://www.z-oleg.com/secur/avz/download.php"]Страница загрузки[/URL]
[/TD]
[/TR]
[/TABLE]

Ошибка с картридером исправлена, спасибо!

При выполнении 3го стандартного скрипта AVZ зависает с ошибкой. [QUOTE]Имя сбойного приложения: avz.exe, версия: 4.45.0.94, метка времени: 0x2a425e19
Имя сбойного модуля: unknown, версия: 0.0.0.0, метка времени: 0x00000000
Код исключения: 0x00000000
Смещение ошибки: 0x00000000
Идентификатор сбойного процесса: 0x24a8
Время запуска сбойного приложения: 0x01d0fcef10c0f945
Путь сбойного приложения: C:\Users\it-03\Desktop\От вирусов\avz4\avz4\avz.exe
Путь сбойного модуля: unknown
Идентификатор отчета: aba7fc6b-76e9-4de5-aab2-5153403a6962
Полное имя сбойного пакета:
Код приложения, связанного со сбойным пакетом:[/QUOTE] Закрыть можно только через диспетчер.
Проблема с Windows 10 Pro. Установлен Eset Antivirus 8. Также установлена программа слежения за действиями пользователей Staffcop Enterprise.
Перед сканированием Nod и Staffcop предварительно были отключены.
При сборе логов 2м стандартным скриптом проблем нет.
Также зависает при работе антируткита. Если нужно, могу попробовать удалить staffcop и попробовать заново, в версии 4.44 при тех же условиях сканирование проходило успешно. Если нужны какие либо логи, либо доп. информация, готов предоставить.

[url]http://rghost.ru/6wwL9fMbd[/url]
Запуск задания [CODE]cmd.exe /c @echo objShell.Run "cmd.exe /c (attrib -H -R -S %WinDir%\system32\GroupPolicy\Machine\Registry.pol)&(copy/b/y %WinDir%\system32\GroupPolicy\Machine\R %WinDir%\system32\GroupPolicy\Machine\Registry.pol > nul)&(gpupdate/force)&(attrib +R %WinDir%\system32\GroupPolicy\Machine\Registry.pol)", 0, True >> %TEMP%\R.vbs[/CODE]
Наверно стоит подобные задания CheckResult="[B]3[/B]" помечать.

Чтобы другие не наступили на теже грабли с ошибками AVZ напишу сюда актуальные на данный момент баги AVZ. И некоторые пожелания, может хоть в следующей версии они будут реализованы.

1) Состояние восстановления системы по прежнему неправильно показывает на windows 7 и выше. На 10-ке восстановление системы отключено по умолчанию, а AVZ всегда в логах показывает, что оно включено. Как правильно проверять состояние восстановление системы на windows 7 написано в [URL="http://virusinfo.info/showthread.php?t=141836&page=2&p=1025447&viewfull=1#post1025447"]теме AVZ - 4.41[/URL].

2) Параметры в реестре из ветки
[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg[/CODE]
до сих пор не удаляются.

3) ZIP_ExtractArchive по справке должно вернуть [QUOTE]4 - архив не является ZIP архивом, или поврежден, или указан неверный пароль[/QUOTE] в реальности выполнение скрипта прекращается и выходит ошибка AVZ
[IMG]http://i69.fastpic.ru/big/2015/1008/33/d09fca6b33abb8c4e135e13244735b33.png[/IMG]

4) [url]http://z-oleg.com/avz4.zip[/url] в архиве с AVZ лежит старая англ. справка от 2011 года, а как следствие в ней нет описания новых команд.

5) [url]http://virusinfo.info/showthread.php?t=155719&p=1264590&viewfull=1#post1264590[/url]
поправили в справке, но всё равно там перепутано.[QUOTE]function [b]CreateQurantineArchive[/b](AFileName : string; AQrInfoFiles : string = '') : boolean;

Функция создает архив с файлами, помещенными сегодня в папку карантина (т.е. берутся все файлы из папки [b][color=#FF0000]Infected[/color][/b][/QUOTE]
Должно быть берутся все файлы из папки [B]Quarantine[/B]
[url]http://z-oleg.com/secur/avz_doc/index.html?script_createinfectedarchive.htm[/url]

6) В редакторе скриптов по открытие справки по команде regkeystrparamread открывается неправильная ссылка [url]http://z-oleg.com/secur/avz_doc/index.html?script_regkeystrparamread.htm[/url]

7) Вместо того чтобы просто открыть нужную ветку реестра, AVZ эмулирует нажатие клавиш. В итоге часто далеко не с первой попытки открывается нужная ветка реестра. А если в системе установлены программы типо пунто-свитчера, то может так и не открыться. [URL="http://virusinfo.info/showthread.php?t=155719&p=1253459&viewfull=1#post1253459"]Тут[/URL] написано как сделать это нормально.

8) При копирование текста в AVZ или редактор скриптов на windows 7 вместо русского текста вставляются вопросы. Как это исправить написано [URL="http://forum.kaspersky.com/index.php?showtopic=327882&pid=2441228&st=0&#entry2441228"]здесь[/URL].

9) [url]http://virusinfo.info/showthread.php?t=155719&p=1095056&viewfull=1#post1095056[/url]
[quote="Зайцев Олег"]По ".dll" все просто - когда идет поиск файла, там задается ожидаемое расширение, которое используется в качестве дефолтного. При пустом пути они не должно применяться, проверю[/quote]Эта бага до сих пор актуальна, как минимум на windows 8.1.

10) [quote="Зайцев Олег"]В принципе можно что-то смудрить ... при автоанализе это учитывается (там есть дата формирования лога по часам ПК и дата его получения, если первое на сутки больше второго, то значит часы ПК сбиты)[/QUOTE]

11) [QUOTE]Если в папке Qurantine есть папка например с названием Test, то вместо обещанного в документации карантина за сегодняшнее число упакованы будут файлы из этой тестовой папки.[/QUOTE]

12) При удаление заданий через AVZ в реестре информация о них не чистится (поэтому на данный момент лучше чистить другими утилитами, либо потом их удалять).

13) В MessageDLG название кнопки mbIgnore не помещается в русской локализации
[IMG]http://i67.fastpic.ru/big/2015/0912/b6/0069a613fc747f3dc6e94ab8af3126b6.png[/IMG]

[url]http://forum.ru-board.com/topic.cgi?forum=5&topic=13590&start=1660#6[/url]

Базы AVZ не обновляются. Я перепроверил и архивом и через программу и с зеркал и с сайта z-oleg.com качаются базы с датой обновления от 06.11.2015 04:00.

Сегодня утром базы похоже наконец пересобрались, но в XML со списком обновлённых файлов (file.dta) мне кажется ошибка.
Сейчас там
[HTML]<AVZ CurVer="4.43" MinVer="4.41" BuildDate="06.07.2015 4:00:11">[/HTML]
То есть строка от XML для обновления баз предыдущей версии, CurVer - указан неправильно.
А для актуальной раньше была строка
[HTML]<AVZ CurVer="4.45" MinVer="4.45" BuildDate="06.11.2015 4:00:10">[/HTML]

[url]http://virusinfo.info/attachment.php?attachmentid=601772&d=1448178898[/url] и на всякий случай перезалил его [URL="http://rghost.ru/6PvTrB4kL"]сюда[/URL].

В XML логе продублированы секци [B]<NET_DIAG>[/B] и [B]<WMI_INFO>[/B]

А также ещё просьба добавить в HTML лог разрядность системы (чтобы знать команды бутклинера и антируткит нужны или нет). Имхо это в HTML намного нужнее и чаще требуется , чем дата установки ОС, которая нужна только в отдельных случаях и для которой достачно было бы просто параметра в XML.

Можно ли добавить поддержку юникода в команды удаления/карантина?

Например, чтобы строка
[code]
DeleteFile('c:\temp\test' + #3333 + '.txt','');
[/code]
передавалась по указателю к DeleteFileW.

В формате 8.3 не всегда удобно указывать. Имен может быть несколько, следовательно префикс ~1 или ~2... заранее неизвестен.
Или такой алиас может быть вообще отключен.

Если сделаете, то нужно добавить и отрицательные коды:
[code]DeleteFile('c:\temp\test' + #-3333 + '.txt','');[/code]
Сейчас синтаксический анализатор выдает ошибку.

Также, хотелось бы чтобы карантин всех файлов в папке не пропускал файлы с именами, в которых есть символы за пределами ASCII.
[code]begin
QuarantineFileF('c:\temp', '*', false, '', 0, 0);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip', '');
end.[/code]

Или, к примеру, путь в 8.3. на системе с японской локалью система отдает в таком вот виде:
[quote]"C:\DOCUME~1\ADMINI~1\Desktop\セック~1.LNK"[/quote]
И никакого ANSI.

2) Ошибка при получении списка дисков:
[ATTACH=CONFIG]605250[/ATTACH]
Все бы ничего, но кнопку "Продолжить" приходится нажимать ровно 18 раз.
Система: XP SP3, VmWare. Диск - виртуальный, расшаренный на виртуалку из хоста (DT, без смонтированного образа).

[quote="Dragokas;1339990"]на системе с японской локалью[/quote]
да, что там с японской, у AVZ глюки начинаются даже с украинской локалью :).



1) Ставим язык для программ не поддерживающих юникод Украинский. AVZ запускается с англ. локализацией.
[b]Зайцев Олег[/b], думаю стоит приравнять украинский к русскому и для него также запускать на русском.

2) Выполняем для примера такой скрипт
[CODE]begin
if MessageDLG('Файл открытьььььььь', mtConfirmation, mbYes+mbNo, 0) = 6 then
clearlog;
end.[/CODE]
И любуемся
[IMG]http://i75.fastpic.ru/big/2015/1209/d1/76d412d1e8942a55c19f62fd99af36d1.png[/IMG]

Как видим AVZ проглотил часть букв и куда-то исчезли кнопки Yes и No. Закрыть окно можно только по крестику. Закрываем крестиком получаем опять окно без кнопки Ок.
[IMG]http://i75.fastpic.ru/big/2015/1209/55/d83992b909bdd25f90304bef148af355.png[/IMG]

3) В предыдущих версиях AVZ была бага, что вместо юникодных символов он в лог выводит какие-то служебные символы (из начала ANSI диапазона). В версии 4.45 в теории эта проблема была решена, тем что эти "юникодные символы" замещаются на пробелы. Но увы, проблема осталась. [URL="http://www36.zippyshare.com/v/xQZy5wf6/file.html"]Пример лога.[/URL]

4) Есть вирус, который прописывает в реестр такой ключ
[CODE][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\]
"C"="cmd /c (@attrib -H -R -S C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@copy/b/y C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\R C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@attrib +R C:\\WINDOWS\\system32\\GroupPolicy\\Machine\\Registry.pol >nul)&(@start/b gpupdate.exe /Force >L)"[/CODE]
AVZ нормально парсит строку, но думаю ещё стоит подсвечивать эти файлы CheckResult="3", чтобы хелпер обратил на них внимание. Всё-таки там через cmd копируются и подменяются файлы.

5) В логе XML очень часто параметр SHPath="" пустой. А для JOB файлов он вообще всегда пустой. Хотелось бы чтобы это было исправлено, хотя бы в следующей полиморфной сборке AVZ.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="regist;1340189"]В версии 4.45 в теории эта проблема была решена, тем что эти "юникодные символы" замещаются на пробелы.[/quote]
кстати как следствие мы опять получим искаженное имя файла :(.

[QUOTE=regist;1340189]AVZ нормально парсит строку, но думаю ещё стоит подсвечивать эти файлы CheckResult="3", чтобы хелпер обратил на них внимание. Всё-таки там через cmd копируются и подменяются файлы.
[/QUOTE]
За копирование строчку подсвечивать может и не очень правильно, я подумаю и посмотрю статистику. А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.

[quote="Зайцев Олег;1341001"]А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.[/quote]
Протестировал с сегодняшними базами и этим твиком. Ничего пока не подсвечивается
[IMG]http://i75.fastpic.ru/big/2015/1212/27/bced2d25e7c94ff813b8689fe3e43727.png[/IMG]
[url]http://i75.fastpic.ru/big/2015/1212/27/bced2d25e7c94ff813b8689fe3e43727.png[/url]

[b]Зайцев Олег[/b],
1) [quote="regist;1340189"]вместо юникодных символов он в лог выводит какие-то служебные символы (из начала ANSI диапазона).[/quote]
Вот [URL="http://rghost.ru/7zB2WXPPD"]ещё один лог[/URL] со служебными символами.
[IMG]http://i65.fastpic.ru/big/2015/1216/8b/f3c2d8bb3252ad6c662de8c0dda8928b.png[/IMG]

2) В меню лишняя кнопка (пункт) Справка, а как следствие пункт не рабочий (при нажатие ничего не происходит).
[IMG]http://i76.fastpic.ru/big/2015/1216/17/089422aa9ea6c3f1aae3d10e945f4617.png[/IMG]

3) AVZ, кажись уже несколько лет не удаляет папки при применение команды DeleteFileMask даже если они пустые. И вы давно тут в какой-то теме по обсуждению предыдущей версии ответили, что это не баг, а сделано осознанно. А тем не менее в справке до сих пор находится неверная информация
[QUOTE]function DeleteFileMask(ADir, AMask : string; ARecurse : boolean; ASDFormula : string := '') : boolean;



Выполняет поиск и удаление файлов в папке ADir, имена которых соответствуют маске AMask. Параметр ARecurse управляет отработкой вложенных каталогов - если ARecurse = true, то будет выполнен рекурсивный обход папок начиная от заданной и в каждой из папок будет выполнен поиск и удаление файлов по маске AMask. После завершения обработки папки в данном случае производится проверка, остались ли в ней файлы - [B]если файлов не осталось, то папка автоматически удаляется. [/B]Если ARecurse = false, то поиск и удаление файлов производится только в заданной папке.

В параметре AMask можно указать одну или несколько масок. В случае задания нескольких масок они разделяются пробелами, запятыми или точкой с запятой. Т.е. данный варианты задания маски являются эквивалентными:[/QUOTE]А начинающие хелперы и студенты изучающие AVZ вводятся в заблуждение по поводу работы этой команды. И возможно не только начинающие, не считая вашего ответа затерянного тут в обсуждение (который наверняка большинство использующих AVZ не видело), нигде информации про это нет. Пока человек сам не наткнётся, что в справке написано неправильно (устаревшая информация) он будет думать, что если папка пуста команда её удалит.

[b]Зайцев Олег[/b]
[URL="http://virusinfo.info/showthread.php?t=194863"]Реклама в браузерах, медленно работает интернет, всплывающие окна[/URL] - интересное задание в логах FRST обнаружилось:[CODE]powershell.exe -windowstyle hidden -noninteractive -ExecutionPolicy bypass -EncodedCommand[/CODE]и далее длинная команда в Base64 кодировке, явно нехорошая. В логе AVZ не было этого задания.
После декодирования видно, что загружается что-то с theget.biz.

1) [quote="Зайцев Олег;1341001"]За копирование строчку подсвечивать может и не очень правильно, я подумаю и посмотрю статистику. А вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.[/quote]

[quote="regist;1341160"]Протестировал с сегодняшними базами и этим твиком. Ничего пока не подсвечивается[/quote]
Вот ещё один [URL="http://virusinfo.info/attachment.php?attachmentid=609329&d=1451476725"]лог[/URL], [URL="http://rghost.ru/76HdtMXmJ"]отзеркалил[/URL].
В логе такое задание
[CODE]cmd.exe /c @echo objShell.Run "cmd.exe /c (attrib -H -R -S %WinDir%\system32\GroupPolicy\Machine\Registry.pol)&(copy/b/y %WinDir%\system32\GroupPolicy\Machine\R %WinDir%\system32\GroupPolicy\Machine\Registry.pol > nul)&(gpupdate/force)&(attrib +R %WinDir%\system32\GroupPolicy\Machine\Registry.pol)", 0, True >> %TEMP%\R.vbs[/CODE]
и всё равно ничего не подсветило.

2) [url]http://z-oleg.com/secur/avz_doc/index.html?script_getlastexitcode.htm[/url]
Надо дописать в справку, что

- код возврата процесса, если процесс нормально завершился,
- $FFFFFFFF - если была ошибка запуска и процесс не запустился вообще (или не было вызовов ExecuteFile)
- $FFFFFFFE - если процесс запустился и был прибит по таймауту

[b]Зайцев Олег[/b], В разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes, параметр DefaultScope по идее должен исправляться таблеткой №4. но по факту параметр остается в неизменном состоянии, не могли бы Вы исправить данную проблему?

[b]Зайцев Олег[/b], добрый день!
[url]http://z-oleg.com/secur/avz_doc/index.html?script_getlastexitcode.htm[/url]
Прошу задокументировать в справку AVZ коды ошибок, возникающие при запуске внешних программ
[U]Пример[/U]: 7z ReturnCode [B]4294967295[/B]
Т.к. информации по ним нет ни где.

[b]Зайцев Олег[/b], можно узнать, что было исправлено в полиморфе от 29-го числа?
Бага с переводом русских букв осталась, остальное не проверял, только посмотрел что реестр по прежнему эмулирует нажатие клавиш вместо того чтобы сразу открыть нужную ветку. Напомню, что [URL="http://forum.kaspersky.com/index.php?showtopic=327882&pid=2441228&st=0&#entry2441228"]здесь[/URL] есть решение как исправить проблему с вопросиками, а [URL="http://virusinfo.info/showthread.php?t=155719&page=8&p=1253459&viewfull=1#post1253459"]здесь[/URL] с регедитом.

___________________
[url]http://www40.zippyshare.com/v/GmGQKGl3/file.html[/url] опять битый лог
[IMG]http://i74.fastpic.ru/big/2016/0204/a8/826670856bbf084b549337d0d3178da8.png[/IMG]
В HTML также искажено. Может пора со следующей версии переводить AVZ на юникод?

[url]http://virusinfo.info/showthread.php?t=196640[/url] AVZ не подсветил батники в ярлыках.
Карантин батников и ярлыков здесь [url]http://virusinfo.info/virusdetector/report.php?md5=AF4F5E491E59811DDAFF67C03902FF46[/url]

1) Прописываем в
[CODE]HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit[/CODE]
следующее значение
[CODE]wscript C:\Windows\run.vbs,[/CODE]
AVZ не видит никакой анамалии в нестадартномном значение ключа и не выводит в лог.
Хорошо, что в uVS видно отклонение.
[IMG]http://i76.fastpic.ru/big/2016/0211/58/f2eb92e4dbaaa5da83a99ed6093f7858.png[/IMG]

2) Последнее несколько месяцев попадаются логи с ложным подозрением
[QUOTE]C:\Windows\system32\migwiz\migwiz.exe
Подозрение эвристического анализа ЭПС: подозрение на Trojan-Ransom.Win32.Scatter (высокая степень вероятности)[/QUOTE]
Как понимаю эвристика добавлена не кибером, а человеком, так что кибер её автоматом скорректировать не сможет.
[URL="http://www34.zippyshare.com/v/5eJqU5Jd/file.html"]Пример лога[/URL].
Навсякий случай отчёт и хеши по файлу [url]https://www.virustotal.com/ru/file/be04509deb13735c2a9a026724d92d3f6a50662ed61a64d7ac81b8c8306127b4/analysis/[/url]


3) Присоединяюсь к этой просьбе [url]http://forum.kaspersky.com/index.php?showtopic=326375&pid=2544119[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="regist;1357697"]AVZ не видит никакой анамалии в нестадартномном значение ключа и не выводит в лог.
Хорошо, что в uVS видно отклонение.[/quote]
Добавлю, что не только не видит, но и не и исправляет. Применил восстановление системы №16 но не исправило :(. Мастер поиска и устранения проблем также этого не видит.

Зайцев Олег,
После последних обновлений Microsoft заметил такую ошибку Win 10 PRO x64 build 10586.104 при попытки выполнить 2-ой стандартный скрипт:
[QUOTE]Имя сбойного приложения: avz.exe, версия: 4.45.0.94, метка времени: 0x2a425e19
Имя сбойного модуля: unknown, версия: 0.0.0.0, метка времени: 0x00000000
Код исключения: 0xc0000005
Смещение ошибки: 0x0fbba2da
Идентификатор сбойного процесса: 0x1230
Время запуска сбойного приложения: 0x01d166b39cfd23de
Путь сбойного приложения: C:\avz4\avz.exe
Путь сбойного модуля: unknown
Идентификатор отчета: bbf774a3-828a-4a1a-85dd-1a0e487ab0e0
Полное имя сбойного пакета:
Код приложения, связанного со сбойным пакетом: [/QUOTE]

В безопасном режиме AVZ завершается сам по себе без ошибки.

1) [quote="SQ;1358258"]После последних обновлений Microsoft заметил такую ошибку Win 10[/quote]
похоже ошибка после обновления [url]https://support.microsoft.com/ru-ru/kb/3135173[/url]
Теперь даже стандартный скрипт№2 вылетает, так что собрать логи на windows 10 нельзя.

Вот три дампа с ошибками:
[url]http://rghost.ru/7hd6Bk7Zb[/url]
[url]http://rghost.ru/8QyWtTnXj[/url]
[url]http://rghost.ru/7kFZpklfr[/url]

2) Хотел загрузить дампы через форму на вашем сайте выдало ошибку из-за большого размера.[QUOTE]413 Request Entity Too Large[/QUOTE] Может поправите там лимиты?

3) Из справки по SpoolLog [QUOTE]Дублирование протокола в указанный текстовый файл.[/QUOTE]
на практике протокол работы AVZ не дублируется (подразумеваю протокол, который пишется в нижней части окна AVZ) в файл указанный в SpoolLog, правда в текстовую часть лога HTML записываются. Например при выполнение скрипта №2 на XP в этот отчёт записало только [QUOTE]Выполняется стандартный скрипт: 2. Скрипт сбора информации для раздела "Помогите" virusinfo.info[/QUOTE]. А как понимаю должно было полностью продублировать протокол работы AVZ.

4) Надеюсь, что если для исправления работы AVZ на 10-ке надо будет выпускать новую версию, то исправите и остальные баги/выполните пожелания написанные в этой теме.

Windows 10 Enterprise Insider Preview x64. Обновления последние.
Пробная версия. Build 14257.rs1_release.160131-1800.
Выполнились скрипты 2 и 3.
Логи нужны?
___________________________________________________
Windows 10 Pro Insider Preview x32. Обновления последние.
Пробная версия. Build 11099.rs1_release.160109-1156.
Выполнился скрипт 2.
На скрипте 3 перезагрузка.
Дамп:
[url]http://rghost.ru/8PKZP7D8z[/url]

Если нужны еще дампы падения AVZ, могу добавить несколько.

ещё дампы [url]http://my-files.ru/0hjqef[/url]

Дампы падения AVZ:
[url]https://dropmefiles.com/nPfsp/[/url]
[url]http://my-files.ru/Save/ffqqxu/Report.7z[/url]
[url]http://файлообменник.рф/1thvmt50af00/Report.7z.html[/url]
Все падения происходят на Windows 10х64.
+
Хотелось бы в новом релизе увидеть и решение по [URL="https://forum.kaspersky.com/index.php?showtopic=326375&pid=2544119"]этим проблемам[/URL].

Вышла новая версия AVZ

[SIZE=3]--- 29.02.2016 --- ver 4.46
[+/-] Доработки и модификации для совместимости с Windows 10[/SIZE]


Интересно, а что-нибудь из остального перечисленного в этой теме исправлено? Если да, то что именно.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

и на сайте [url]http://z-oleg.com/index.php[/url]
в правом верхнему углу до сих пор указана версия 4.43
[IMG]http://i76.fastpic.ru/big/2016/0229/d9/1938801c62d88d93dbb2471703d62cd9.png[/IMG]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скорее всего и другие заметят в логе [QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]
CRC новой версии AVZ не успело попасть в базы и с обновлением баз это будет исправлено.

[b]Зайцев Олег[/b], спасибо за обновление v4.46!

1) Но опять "падает" уже в другом месте.
Проблема наблюдается на x64 Win 10 Pro Build 10.586, которая была установлена с дистрибутива 10.240, и на нее накатаны все обновления
Список обновлений в аттаче. Дамп падения: [url]http://dragokas.com/temp/avz.exe_160229_161625.zip[/url]
(если установить с дистрибутива сразу 10.586 и все обновления, то проблема не наблюдается).

2) А Вы не хотите собирать AVZ с отладочными символами?
И заодно продублировать контрольные точки в коде функцией OutputDebugString.
Я так сделал у себя в программе. Теперь, в отладчике сразу видно всю последовательность переходов между функциями внутренней реализации, и где "упало", и любая вспомогательная инфа, которую пожелаешь добавить к отладке.

[b]Зайцев Олег[/b], в этой теме [url]http://virusinfo.info/showthread.php?t=197643&p=1362437&viewfull=1#post1362437[/url]
AVZ на 10-ке падает при выполнение скрипта. Похоже из-за загрузки драйвера.
[QUOTE]Версия Windows: 10.0.10586, "Windows 10 Home", дата инсталляции 28.02.2016 17:20:27 ; AVZ работает с правами администратора (+)[/QUOTE]
Система x32, кстати напомню просьбу указывать разрядность в HTML логе рядом с версией ОС вместо даты инсталяции. Была бы намного удобней и полезней. Дата инсталяции нужна очень редко, если что можно и в XML посмотреть, а разрядность надо учитывать практически при написание каждого скрипта.

Дебаг лог тут [url]http://virusinfo.info/attachment.php?attachmentid=619128&d=1457010232[/url]
Обрывается на [QUOTE]Драйвер успешно загружен[/QUOTE]дальше идут символы 0x00

[b]Зайцев Олег[/b],
1) Опять "отвалилось автоматическое обновление баз", точней в архиве с кумулятивным обновлением базы [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
отсутствует большая часть файлов, в том числе файлы локализации. Да и сам архив весит меньше 100Kb хотя должен весить несколько Mb.

2) На Версия Windows: 10.0.10586, "Windows 10 Pro" x32 при выполнение такого скрипта
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RebootWindows(false);
end.[/CODE]

Вылетает BSOD. [URL="http://www27.zippyshare.com/v/gPVRFXEm/file.html"]Тут[/URL] дамп падения, [URL="http://www27.zippyshare.com/v/C2fwf7eW/file.html"]тут[/URL] дебаг лог работы скрипта. Может это связано с тем, что вы пытаетесь грузить неподписанный драйвер в ядро? На windows 10 насколько знаю ужесточили требования к драйверам.

3) [quote="regist;1357697"]AVZ не видит никакой анамалии в нестадартномном значение ключа и не выводит в лог.[/quote]
Новая версия AVZ также не видит вирусного VBS скрипта прописанного в Userinit

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

4) [quote="regist;1320806"]12) При удаление заданий через AVZ в реестре информация о них не чистится (поэтому на данный момент лучше чистить другими утилитами, либо потом их удалять).[/quote]
[URL="http://www29.zippyshare.com/v/vpOXPMMD/file.html"]тут в архиве[/URL] экспорт веток реестра с вирусными заданиями, которые нужны чистить при удаление заданий. Неплохо было бы если при удаление задания ExecuteSysClean чистила в этих двух ключах.
А также в разделе лечения мне встретилось несколько пользователей с 10-кой, который жаловались на запуск dota2game.org после перезагрузки компьютера. После удаление задания через AVZ (по сути просто удаления XML файлы из папки заданий) со слов пользователя проблема не ушла, хотя из лога AVZ задание пропало. А после того как почистил следы за заданием и в реестре проблема была решана.
Поясню, что запуск этого сайта происходит через запланированное задание через 15 минут после включения системы. Точней в планировщике был прописан сайт хttp://gamezonenews.net а уже он перенаправлял на dota2game.org

5) [url]http://virusinfo.info/virusdetector/report.php?md5=8AEC0445BC812FA5ACED74EBAE6351E3[/url]
Просьба выкинуть "Tencent" из базы чистых (например по цифровой подписи, хотя у него не всегда файлы подписаны). Причина, то что в половине тем в разделе Помогите просят помочь избаваться от без спросу установившегося этого "китайского вируса".

______________
Просил юзера пополнить базу безопасных, он прислал такую ссылку [url]http://virusinfo.info/virusdetector/report.php?md5=9EF3A62A3087D19F9CA31368979665E0[/url]
[QUOTE]Общее количество файлов: 0[/QUOTE]
как это возможно?

[QUOTE=regist;1363901][b]Зайцев Олег[/b],
1) Опять "отвалилось автоматическое обновление баз", точней в архиве с кумулятивным обновлением базы [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
отсутствует большая часть файлов, в том числе файлы локализации. Да и сам архив весит меньше 100Kb хотя должен весить несколько Mb.

2) На Версия Windows: 10.0.10586, "Windows 10 Pro" x32 при выполнение такого скрипта
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RebootWindows(false);
end.[/CODE]

Вылетает BSOD. [URL="http://www27.zippyshare.com/v/gPVRFXEm/file.html"]Тут[/URL] дамп падения, [URL="http://www27.zippyshare.com/v/C2fwf7eW/file.html"]тут[/URL] дебаг лог работы скрипта. Может это связано с тем, что вы пытаетесь грузить неподписанный драйвер в ядро? На windows 10 насколько знаю ужесточили требования к драйверам.

3)
Новая версия AVZ также не видит вирусного VBS скрипта прописанного в Userinit

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

4)
[URL="http://www29.zippyshare.com/v/vpOXPMMD/file.html"]тут в архиве[/URL] экспорт веток реестра с вирусными заданиями, которые нужны чистить при удаление заданий. Неплохо было бы если при удаление задания ExecuteSysClean чистила в этих двух ключах.
А также в разделе лечения мне встретилось несколько пользователей с 10-кой, который жаловались на запуск dota2game.org после перезагрузки компьютера. После удаление задания через AVZ (по сути просто удаления XML файлы из папки заданий) со слов пользователя проблема не ушла, хотя из лога AVZ задание пропало. А после того как почистил следы за заданием и в реестре проблема была решана.
Поясню, что запуск этого сайта происходит через запланированное задание через 15 минут после включения системы. Точней в планировщике был прописан сайт хttp://gamezonenews.net а уже он перенаправлял на dota2game.org

5) [url]http://virusinfo.info/virusdetector/report.php?md5=8AEC0445BC812FA5ACED74EBAE6351E3[/url]
Просьба выкинуть "Tencent" из базы чистых (например по цифровой подписи, хотя у него не всегда файлы подписаны). Причина, то что в половине тем в разделе Помогите просят помочь избаваться от без спросу установившегося этого "китайского вируса".

______________
Просил юзера пополнить базу безопасных, он прислал такую ссылку [url]http://virusinfo.info/virusdetector/report.php?md5=9EF3A62A3087D19F9CA31368979665E0[/url]

как это возможно?[/QUOTE]
1. Починил
2. В логе видно, что антируткит отработал, но видно несколько моментов, которые следует подрегулировать через базы
3. Да, там есть злобный глюк, проявляющийся именно та таком примере ключа. Он исправлен, но в 4.46 фикс не попал.
4. Такая чистка реестра появится в ближайшей версии
5. Выкинуть то его можно, но по сути своей это не вирус, рано или поздно опять пролезет

Здравствуйте, Олег. Еще можно как нибудь обновить английскую версию справки AVZ, а то некоторые хелперы с форума geekstogo просят обновить английскую справку по AVZ.

[quote="mike 1;1364032"]Еще можно как нибудь обновить английскую версию справки AVZ[/quote]
Да и русскую обновить надо. Например:
[url]http://virusinfo.info/showthread.php?t=189507&p=1355750&viewfull=1#post1355750[/url]
Опечатки/ошибки:
[url]http://virusinfo.info/showthread.php?t=189507&p=1320806&viewfull=1#post1320806[/url]
[url]http://virusinfo.info/showthread.php?t=155719&p=1119840&viewfull=1#post1119840[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Зайцев Олег;1364007"]Он исправлен, но в 4.46 фикс не попал.[/quote][b]Зайцев Олег[/b], а можно узнать кроме работы фикса работы на win 10, чтобы было исправлено/добавлено в версии 4.46 ?
Например сейчас проверил [URL="http://virusinfo.info/showthread.php?t=189507&p=1340189&viewfull=1#post1340189"]бага при выставление языка для не юникодных программ украинского[/URL] исправлена (правда AVZ по прежнему по дефолту запускается на англ., а для большинства пользователей таких систем думаю русский привычней).
А
[quote="regist;1320806"]В MessageDLG название кнопки mbIgnore не помещается в русской локализации[/quote]по прежнему надпись не помешается.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Зайцев Олег;1364007"]Выкинуть то его можно, но по сути своей это не вирус, рано или поздно опять пролезет[/quote]
Как понимаю в кибере вы можете и вручную указать степень доверия файла при этом этом, ваше мнение (степень доверия) приоритетней мнения кибера. То есть вы скажете, что этой подписи не надо доверять, то он и не будет. Или он потом может самостоятельно изменить мнения в обход вашего указания?

Уже в нескольких темах попадаются одинаково "битые" Html логи.
[IMG]http://i76.fastpic.ru/big/2016/0307/89/1cc66c5d4ae40663acc664fab0adc989.png[/IMG]
Вот пара примеров:
[url]http://virusinfo.info/attachment.php?attachmentid=619447&d=1457204667[/url]
[url]http://virusinfo.info/attachment.php?attachmentid=619607&d=1457303677[/url]
На всякий случай перезалил их на обменник (если вдруг юзер удалит из вложений).
[URL="http://www107.zippyshare.com/v/UxaDmi1C/file.html"]Раз[/URL] и [URL="http://www107.zippyshare.com/v/CbybeJSN/file.html"]два[/URL].
Может сможете через обновление баз это исправить?

Такие попадались и на версии 4.45

[QUOTE=regist;1364326]Уже в нескольких темах попадаются одинаково "битые" Html логи.
[IMG]http://i76.fastpic.ru/big/2016/0307/89/1cc66c5d4ae40663acc664fab0adc989.png[/IMG]
Вот пара примеров:
[url]http://virusinfo.info/attachment.php?attachmentid=619447&d=1457204667[/url]
[url]http://virusinfo.info/attachment.php?attachmentid=619607&d=1457303677[/url]
На всякий случай перезалил их на обменник (если вдруг юзер удалит из вложений).
[URL="http://www107.zippyshare.com/v/UxaDmi1C/file.html"]Раз[/URL] и [URL="http://www107.zippyshare.com/v/CbybeJSN/file.html"]два[/URL].
Может сможете через обновление баз это исправить?[/QUOTE]
Через обновление - нет, невозможно. Причина состоит в параметрах командной строки типа AutomaticTabDiscarding[B]<[/B]AutomaticTabDiscarding --disable-features=UpdateRendererPriorityOnStartup[B]<[/B]UpdateRendererPriorityOnStartup - они сбивают форматирование. Добавил экранирование таких спец. символов, что решит проблему

[b]Зайцев Олег[/b], AVZ теперь стал выводить в лог задания с powershell, но из-за очень длинной строки аргументов лог смотреть очень неудобно. В частности трудно посмотреть название задания или кликнуть чтобы его удалить. Вот [URL="http://www20.zippyshare.com/v/xOToekRV/file.html"]пример лога[/URL].
Может в случае таких длинных строк сделать прокрутку? Например [URL="http://www116.zippyshare.com/v/WL5wiNCT/file.html"]вот так[/URL].

Олег, кажется, об этом ранее уже писал. В логе в разделе [B]Подозрительные объекты[/B] есть запись:
[PHP]C:\Program Files (x86)\Justinmind\Justinmind Prototyper 7.1.0\plugins\org.eclipse.gef_3.8.0.201206112118.jar Вредоносный объект Trojan.BAT.DelAutoexec.e[/PHP]
И ниже:[QUOTE]3. Сканирование дисков
C:\Program Files (x86)\Justinmind\Justinmind Prototyper 7.1.0\plugins\org.eclipse.gef_3.8.0.201206112118.jar/{ZIP}/org/eclipse/gef/editpolicies/package.html >>>>> Trojan.BAT.DelAutoexec.e [/QUOTE]
Наверняка фолс, но проверить без карантина невозможно - в .xml не только MD5 нет, обьект этот вообще не упомянут.
Лог во вложении:
[ATTACH=CONFIG]620410[/ATTACH]

И, как я понимаю, сигнатурные проверки Non-PE файлов продолжаются?

[quote="regist;1364046"]Да и русскую обновить надо.[/quote]
Кроме перечисленного в том посте, в справке ещё надо обновить пункт №3 из [URL="http://virusinfo.info/showthread.php?t=189507&p=1342491&viewfull=1#post1342491"]этого поста[/URL]
[quote="regist;1342491"]AVZ, кажись уже несколько лет не удаляет папки при применение команды DeleteFileMask даже если они пустые. И вы давно тут в какой-то теме по обсуждению предыдущей версии ответили, что это не баг, а сделано осознанно. А тем не менее в справке до сих пор находится неверная информация[/quote]

_______________________
[quote="regist;1362449"]Интересно, а что-нибудь из остального перечисленного в этой теме исправлено? Если да, то что именно.[/quote]
Простестировал сам, результат ниже.

[url]http://virusinfo.info/showthread.php?t=189507&p=1320806&viewfull=1#post1320806[/url]
Актуальны почти всё пункты, но по некоторым поправки:
1) Восстановление системы на windows 7 теперь показывает правильно. Windows 8.1 - 10 показывает неправильно.
2) Так до сих пор и не удаляет.
3) Ошибка с PKZIP если файл не является архивом осталась. + Когда файл не найден вместо указанного в справке кода возврата [B]1[/B] вернуло [B]4294967295[/B].
4, 5) - актуально.
6) Исправлено.
7, 8, 9, 10, 11) - актуально.
12) - пока актуально, но [URL="http://virusinfo.info/showthread.php?t=189507&p=1364007&viewfull=1#post1364007"]тут[/URL] написали, что исправите в следующей версии (4-й пункт). И на всякий случай дополню, что для XP ключи в реестре будут другие.
13) Актуально.

_______________________
Это можно реализовать? [url]http://virusinfo.info/showthread.php?t=189507&p=1339091&viewfull=1#post1339091[/url]

_______________________
[url]http://virusinfo.info/showthread.php?t=189507&p=1340189&viewfull=1#post1340189[/url]
1) - осталась по старому (но это не баг).
2) - исправлено.
3) Пока не попадались такие логи.
4) [quote="Зайцев Олег;1341001"]вот за манипуляции с групповыми политиками и вызовы gpupdate - очень даже, добавил такую эвристику в базы.[/quote]
до сих пор с актуальными базами не подсвечивает.
5) Актуально. Как минимум на XP AVZ по прежнему вставляет в XML лог пустой параметр SHPath="".

_______________________
[url]http://virusinfo.info/showthread.php?t=189507&p=1345093&viewfull=1#post1345093[/url] - исправлено.
_______________________

[url]http://virusinfo.info/showthread.php?t=189507&p=1357697&viewfull=1#post1357697[/url]

1) В текущей версии актуально, но в следующей должно быть исправлено [quote="Зайцев Олег;1364007"] Да, там есть злобный глюк, проявляющийся именно та таком примере ключа. Он исправлен, но в 4.46 фикс не попал.[/quote]
2) Такие логи пока не попадались.
3) Актуально.

[B]Зайцев Олег[/B],
1) Хочу [URL='http://virusinfo.info/showthread.php?t=155719&page=8&highlight=Lastkey']еще раз[/URL] попросить на счет "Сервис -> Поиск в реестре -> [B]Открыть в Regedit[/B]" ускорить открытие ветки вместо клавиатурных имитаций, т.к. периодически пользуемся и не только я.
Regedit записывает последнюю открытую ветку в этом параметре:
[code]Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]
"LastKey"="Компьютер\\HKEY_CURRENT_USER\\Software"
[/code]
Если открыть Regedit еще раз, ветка, прописанная в Lastkey, откроется сразу же. Нет необходимости имитировать переход с клавиатуры (он не всегда корректно отрабатывает, и приходится делать это еще раз).

Алгоритм такой:
1. Считываем параметр Lastkey. Забираем слово до первого \
Там может быть либо Computer\ либо Компьютер\ (зависит от локализации, но на нее лучше не ориентироваться)
2. Записываем в параметр Lastkey нужный ключ для прыжка (только ключ, без параметра!), добавив префикс из п.1.
3. Запускаем Regedit, имитируем с клавиатуры переход к нужному параметру в [U]уже открытом[/U] подразделе.

-----------------------------------
2) "Поиск в реестре" на Windows 7 x64 [B]зацикливается[/B] и бывает почти нереально дождаться когда завершается скан (на разных системах Win 7 по-разному).
Приложил пример лога.
Если я правильно воспроизвел ситуацию и у Вас такой же код, то проблема возникает из-за того, что функция RegQueryInfoKey возвращает неверное кол-во подразделов (больше, чем реальное), когда читает HKCR\Wow6432Node. Из-за этого RegEnumKeyEx заполняет только часть массива, и в нём остается много пустых имен ключей, что в итоге ссылается на этот же HKCR\Wow6432Node и сканирует его еще много раз.
[U]Решением будет[/U] - добавить флаг KEY_WOW64_64KEY при получении хендла в RegOpenKeyEx. Это позволит узнать реальное кол-во ключей.
Пока не готов объяснить, почему это влияет именно на данный ключ, но в любом случае отключение редиректора при поиске по реестру не помешает и в моем случае помогает.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

3) На счет "Ошибка получения информации о файле" в логе.

[ATTACH=CONFIG]621325[/ATTACH]

У меня такие мысли почему это происходит:
1) C:\Windows\System32\WUDFHost.exe - потому что проверяется без отключенного редиректора, а файла в SysWOW64 нет.
2) C:\Program Files (x86)\Internet Explorer\iexplore.exe hxxp://virus.com/ - потому что проверяется не iexplore.exe, а вся строка,
ведь по аналогичному пути на примере хрома атрибуты нормально видит.
Думаю, несложно подправить.

4) Ярлык IE по логу выше ведет на неверную папку. Должна быть - "C:\Program Files". В ярлык в доп. секцию "вшита" переменная %ProgramFiles%, которая раскрывается под Wow64 и файловый редиректор на этот путь не влияет. Есть предложение проверять, если файла по пути "C:\Program Files (x86)" нет, то смотреть в соседнюю - "C:\Program Files". Если он там есть, то в лог выводить не "переадресованную" папку, а Program Files. Знаю, что Вы какую-то работу делали в этом направлении. Но я пробовал переименовать iexplore.exe внутри "C:\Program Files (x86)", но лог не изменился.