Sys_Scan - маленький помощник

[CENTER][B]Sys_Scan - маленький помощник


[/B]
[LEFT]Sys_Scan 1.2 - мало распространенный небольшой сканер, собирающий информацию об опасных местах в системе:
Собирает информацию о системе и записывает ее в лог в html формате.

Изначально утилита создавалась для личного использования, автор включил в утилиту функции, которые посчитал особо нужными, также включил некоторые необычные функции (считывание списка файлов, считывание недавно запущенных исполняемых файлов и т.д).

А если перейти на технические подробности, то ситуация такая:
[B]"Джентельменский набор" собираемой информации:[/B]
[quote]
1. Версия OS
2. Версия IE
3. Запущенные в данный момент процессы, их PID, загрузка ЦП, заголовок окна (если он есть), информация от чьего имени запущен процесс.
4. Информация об установленных в системе драйверах: тип, состояние, путь до файла и по возможности описание драйвера.
5. Снимки мест в реестре, из которых можно автозапускаться
(CurrentVersion\Run, CurrentVersion\RunOnce, CurrentVersion\RunOnceEx, CurrentVersion\Winlogon, CurrentVersion\Winlogon\Notify и т.д)
6. Вывод подробной конфигурации браузера IE: стартовая страница, страница поиска, пустая страница, BHO, заголовок браузера и т.д
7. Активные службы, выполняющиеся в собственном процессе.
8. Версии браузеров Opera и Mozilla/Mozilla Firefox (если они установлены)
9. Текст файла hosts
10. Текст файла boot.ini
[/quote]
[B]Эксперимент автора:[/B]

[quote]
1. Файлы, добавленные в "исключения" системного (встроенного в систему) фаервола.
[COLOR=#0000ff][COLOR=Black]2. Недавно запущенные программы и путь до них.
3. Перечень файлов, находящихся в следующих папках (без учета каталогов): системная папка, system32, system, temp и Local Settings/temp.
[/COLOR][COLOR=#0000ff][COLOR=Black]4. Перечень файлов, находящиеся в корне дисков (если они существуют): A, C, D, E, F, G, H.
5. Установленные программы.[/COLOR]
[/COLOR][/COLOR][/quote]
[COLOR=#0000ff]
[COLOR=Black][B]FAQ по использованию, возможные проблемы и некоторые разъяснения:

[/B]1). Запускаем сканер
2). Ждем секунд 15 (в это время висит консольное окно - [B]его не трогаем[/B])
[B]*[/B]при сканировании программа может писать в консоль сообщения об ошибках и о не найденных путях - это вполне нормально.
3). Программа запрашивает следующее:
[/COLOR][/COLOR][quote]Read the installed Program? [Y\N][/quote]И в зависимости от того, хотим мы или нет, что бы программа производила считывание и логирование, установленных в системе программ, вводим Y или N и нажимаем Enter.
(лучше ввести N - тогда сканирование тут же закончиться)
4). В текущей папке появиться файл filelog.htm - это лог, созданный программой.*
5). Если в одном блоке вы видите нормальный русский язык, а в другом язык цивилизации Инков, то смените кодировку в браузере (866 (DOS) - > 1251 или 1251 -> 866) и все будет наоборот - где был русский язык вы обнаружите древние писмена, а где были нечитаемые символы - нормальный русский язык.

Автор программы просит прощения у Олега Зайцева за кражу вот этого: "#ffdfb7" и вот этого: "#00CC66". Сделано сие действие только для того, что бы было привычнее.... (если данное действие недопустимо, символы будут поменяны).


Тема опубликована и сканер выложен с разрешения автора.
Просьба от автора: хотелось бы услышать пожеланий и советов от профессионалов - чего внести, что убрать, чего не хватает, что не понравилось/понравилось...

[B]Файл в аттаче[/B]
[/LEFT]
[/CENTER]

Запустил. Некоторые вопросы и замечания:

1) В разделах Running processes и Installed drivers у меня НИЧЕГО не видно. См. скриншот. Чем это связано? Защиты как таковой не стоит - препятствий нет никаких эту инфу читать из системы (XP Home SP2)

[IMG]http://i041.radikal.ru/0803/23/31a33db1bef7.jpg[/IMG]

2) Проблемы с кодировкой НАДО как-нибудь решать, иначе это не серьёзно. Ещё для тех, которые пользуются Firefox'ом с NoScript: Надо разрешить скрипты для домена file:// ;)
3) Надо бы делать ползунок в окнах отчёта, чтобы можно было быстро крутить вверх и вниз (особенно там, где перечисляется содержание System32). Неудобно маневрировать в окнах отчёта - только курсором (клавиша стрелка вниз удержать) туда-сюда (придётся достаточно долго ждать до того, как крутить до конца).
4) Потом сканнер организует содержимое системных папок по дате. Жаль, что нельзя по алфавиту (мне лично более удобно искать - там же огромная куча инфы)

Paul

[quote]2) Проблемы с кодировкой НАДО как-нибудь решать, иначе это не серьёзно.[/quote]
+1 Согласен с Паулем, как-то не совсем удобно менять кодировку, что бы прочитать или верхнюю или нижнюю часть лога. Тут нужно что-то решать. :)

[QUOTE] 1) В разделах Running processes и Installed drivers у меня НИЧЕГО не видно. См. скриншот. Чем это связано?[/QUOTE]
забыл упомянуть в первом топике - сканер только для ХР SP2 - т.е для ХР, работоспособность на других ОСях не гарантируется в силу следующих причин:
*разная структура реестра
*система может не поддерживать используемые "операторы"

[QUOTE]2) Проблемы с кодировкой НАДО как-нибудь решать[/QUOTE]
[QUOTE]+1 Согласен с Паулем, как-то не совсем удобно менять кодировку, что бы прочитать или верхнюю или нижнюю часть лога. Тут нужно что-то решать. [/QUOTE]
Согласен. Думать, думать и еще раз думать...
"Стратегический план в разработке"
:pardon:

[QUOTE]Ещё для тех, которые пользуются Firefox'ом с NoScript: Надо разрешить скрипты для домена file:// ;)[/QUOTE]
Можно заюзать осла в этом случае - у меня например с логом авз в лисе работать не выходит вообще, также можно все-таки включить этот скрипт.
Со яваскриптом удобнее - без него в предыдущей версии было хуже.
+ к этому вывод с помощью яваскрипта инфы на экран прямо в лог, а не в текстовую область частично решает проблему кодировки...

[QUOTE]
3) Надо бы делать ползунок в окнах отчёта, чтобы можно было быстро крутить вверх и вниз (особенно там, где перечисляется содержание System32). Неудобно маневрировать в окнах отчёта - только курсором (клавиша стрелка вниз удержать) туда-сюда (придётся достаточно долго ждать до того, как крутить до конца).
[/QUOTE]
я ничего не понял(((
поэтому на всякий случай сделал скрин:
[URL=http://radikal.ru/F/i019.radikal.ru/0803/39/7b94c18cca61.png.html][IMG]http://i019.radikal.ru/0803/39/7b94c18cca61t.jpg[/IMG][/URL]
у вас монитор ЖК "пятнашка", кстати?


[QUOTE]4) Потом сканнер организует содержимое системных папок по дате. Жаль, что нельзя по алфавиту (мне лично более удобно искать - там же огромная куча инфы)[/QUOTE]
Раньше был вывод по алфавиту, но по дате вроде как удобнее - сверху последние файлы - так проще искать зловреда - скорее всего он будет в числе последних.
Вывод можно изменить самому по вкусу - код без "обфускации" можно модифицировать для себя по вкусу...

[quote=vidocq89;209002] у вас монитор ЖК "пятнашка", кстати?[/quote]
Мда... Эта критика про неудобство отпадает. У меня действительно временно стоит другой монитор (HP75) так как плазменный накрылся. Не поместился просто ползунок в экран. И мышь тоже временная и старинная... :D

Paul

Интересно, а как быть с руткитами? Если вирус изменил некоторые ветки реестра, такие например как запуск диспетчера задач, редактор реестра, показ скрытых и системных файлов это как-то отражается или нет?

[quote]Вывод можно изменить самому по вкусу - код без "обфускации" можно модифицировать для себя по вкусу...[/quote]
Т.е. Вы предлагаете пользователю изучить батник и внести самостоятельно в него измения? А как по-Вашему, многие пользователи самостоятельно это смогут сделать?

[QUOTE] Интересно, а как быть с руткитами?[/QUOTE]
только методами СИ - путем просматривания всех разделов лога в поисках подозрительного)) )
+ к этому:
отдельно от АВЗ любые подобные утилиты использовать не рационально:)


[QUOTE]Если вирус изменил некоторые ветки реестра, такие например как запуск диспетчера задач, редактор реестра, показ скрытых и системных файлов[/QUOTE]
хм, ну по-моему это не отразиться на работе тулзы...
попробуйте залочьте в реестре запуск диспетчера задач и проверьте будет ли пахать тулза...
я не особо уверен, тут главное способ, если просто в ключе
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System параметру disabletaskmgr выставить значение единица, то сканеру от этого ни жарко ни холодно не будет...
Вы про это?


[QUOTE]Т.е. Вы предлагаете пользователю изучить батник и внести самостоятельно в него измения? А как по-Вашему, многие пользователи самостоятельно это смогут сделать?[/QUOTE]
А сколько пользователей обычных вообще могут утилитой воспользоваться и самостоятельно провести анализ дров и сервисов в логе (надо же знать какие системные, а какие лишние), и реестр при анализе знать не помешало бы...
Утилита все-таки не для домохозяек, также как и все другие программы подобного типа (троянфайндинфо, гетсусинфо, хжт, авз и т.д)

Кстати, это я предложил не всем, это был мой ответ p2u, на вот это:
[QUOTE]мне лично более удобно искать - там же огромная куча инфы[/QUOTE]
т.е я предложил [B]лично p2u[/B] решить проблему таким способом.
(там всего пару буковок поменять)
...


PS: Спасибо за проявленный интерес к тулзе...
Мысли правда интересные...надо поэкспериментировать ...

[quote]Вы про это?[/quote]
Нет я про то, что если эта тулза анализирует реестр, то неплохо было бы отображать такие вещи. Если человек заметил, что заблокирован реестр например или не показывает скрытые файлы то такая информация не была бы лишней. Насколько я помню АВЗ не показывает заблокирован ли показ скрытых файлов (о реесте и диспетчер задач АВЗ информирует).

[quote]т.е я предложил лично p2u решить проблему таким способом.[/quote]
Это понятно, просто ещё кому-то по примеру p2u захочется в алфавитном порядке отображать, так нужно просматривать весь батник, что бы внести изменения.

[QUOTE]заблокирован реестр например или не показывает скрытые файлы[/QUOTE]
каким способом?
приведите конкретный пример.
А то не совсем понятно о чем вообще идет речь.

Об этом? :
[URL=http://radikal.ru/F/i037.radikal.ru/0803/c8/9d5d370227cf.png.html][IMG]http://i037.radikal.ru/0803/c8/9d5d370227cft.jpg[/IMG][/URL]

почти все подобные идиотские, вандальские "приколы" делаются путем внесения/изменения записей в реестре...
Вы имеете в виду включить мониторинг этого?
(так это уже другая тулза получиться:))

[QUOTE]
Это понятно, просто ещё кому-то по примеру p2u захочется в алфавитном порядке отображать, так нужно просматривать весь батник, что бы внести изменения.[/QUOTE]

в таком случае так будет - если много людей станет говорить о том, что в алфавитном порядке удобнее, то сделано будет отображение в алфавитном порядке...
(предыдущая версия была как раз в алфавитном порядке ... именно по просьбам трудящихся был сделан вывод по дате - сильно упрощает анализ лога - не надо скроллить и искать файлы - просто смотрим на названия последних)

Простите, если несовсем понятно выразился. Да я спрашивал именно о мониторинге. Теперь после Ваших объяснений стало понятнее. Увлекаетесь генераторами вирусов?

[QUOTE]Да я спрашивал именно о мониторинге
[/QUOTE]
[QUOTE]Насколько я помню АВЗ не показывает заблокирован ли показ скрытых файлов (о реесте и диспетчер задач АВЗ информирует).[/QUOTE]
ну нечто подобное в АВЗ все-таки есть..
подобные проблемы авз вроде палит? я там видел нечто похожее...
"Файл - Мастер поиска и устранения проблем"
:)
[QUOTE]Увлекаетесь генераторами вирусов?[/QUOTE]
что вы вкладываете в этот вопрос? меня интересует сфера вирусологии со всех сторон, а если говорить про генераторы - то про них я писал кой-какие статьи, писал сами генераторы (для ознакомления только у себя на компе...потом в ЛК отсылал), ковырял их, чистил, изучал, но в своем большинстве эти генераторы вирусов представляют из себя программы, которые в зависимости от проставленных галочек пишут в файл список "команд" (dos or vbs) - ничего интересного, все примитивно и тупо. Если же выходит в итоге ехе_шник, то в большинстве случаев этот тот же самый дос или вбс перегнанный в ехе (т.е скрипт извлекается во временную папку и там запускаеться>:().
По моим тестам, антивирус от ЛК знает больше всех этих генераторов и их "продукты жизнедеятельности" и палит такие создания достаточно хорошо.

Но самое интересное в генераторах - это самописные алгоритмы шифрования и криптовки скриптов - автор их придумывает по ходу дела сам и проводить обратный процесс и изучать алгоритм - достаточно интересно бывает...

Но IMHO создателям таких генераторов надо руки и ноги вырывать - вандализм - зло.

Интересный батничек

ап
за старания автору респ ;)

Э.... А что за файлики ныкаются в ...StandardProfile\AuthorizedApplications\List,мне кажется что это на автозагрузку не смахивает, да и на пончики со сгущёнкой она то же не похожа т.к эти программы не загружаються. На кой это там есть и что оно делает, если делает = )

[QUOTE]А что за файлики ныкаются в ...StandardProfile\AuthorizedApplications\List[/QUOTE]
это сканер считывает список программ добавленных в список исключений системного фаервола, тут могут быть как ваши программы, так и различные псв-трои, бекдоры и т.д (те, кто ломиться в сеть), т.к многие из них обходят системный фаервол простой записью в эти ветки реестра...
К примеру вот небезызвестный всем пинч:
[url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=147349[/url]

Как видите, функция достаточно интересная...
Неизвестные вам файлы советую по пути найти и проверить что это такое:)

Но изначально эта функция была против пинчей и им подобных - узнать были они или нет и где именно были... (пинчей трущих за собой эти хвосты я пока не встречал...)
:)

PS: что интересно - пинч вносит себя в список исключений системного фаера независимо о того включен фаер или нет... у многих (если не сказать что у большинства) фаервол отключен системный и поэтому в этом списке находятся в основном только зловреды (за исключением какого-нибудь месенджера). )

[quote=vidocq89;211837] PS: что интересно - пинч вносит себя в список исключений системного фаера независимо о того включен фаер или нет...[/quote]
..., и даже если вы задали 'Не разрешать исключения'. Типичный пример Майкрософтских способов 'защиты'...

Paul

утилита немного доработана до следующей версии:)

[B]sys_scan v1.3 beta_1

[/B]стала собираться следующая информация и появились следующие добавления/нововведения:

[B]1[/B]). включено/отключено восстановление системы
[B]2[/B]). включен/отключен системный фаервол
[B]3[/B]). стартовая страница в Опере
[B]4[/B]). стартовая страница в Мозилла/Лиса
[B]5[/B]). программа поумнела - стала знать больше мест автозагрузки
[B]6[/B]). в паре мест исправлены неудобства с кодировкой
[B]7[/B]). пути до папок автозагрузки стали считываться из реестра (теперь нету зависимости от языка системы и пути).

Просьба потестировать, рассказать о найденных багах. Предложить новые функции или/и доработку/изменение старых.

Заранее спасибо

Посмотри RegRun & Reanimator. Они показывают очень много точек откуда могут стартовать программы. По логам с моей машины они примерно на 20% показывают больше чем HijackThis.

[QUOTE]Посмотри RegRun & Reanimator. Они показывают очень много точек откуда могут стартовать программы. По логам с моей машины они примерно на 20% показывают больше чем HijackThis.[/QUOTE]
спасибо за совет...
Если у вас есть список таких мест с описашками (в двух словах и если можно с примерами:D) , а не просто перечисление ключей (этот список можно выдрать из любой проги ... даже из либ того же самого ОСАМ), буду благодарен если пришлете в ЛС...

По Хиджаку есть описание на сайте у Сауле.
Других не видел.

Кстати из программ есть еще RunScanner. Тоже много чего показывает.

[QUOTE]По Хиджаку есть описание на сайте у Сауле.
Других не видел.

Кстати из программ есть еще RunScanner. Тоже много чего показывает.[/QUOTE]

спасибо, все это я видел...
работа по добавлению в сканер мест автозагрузки идет полным ходом..
только этот ход не особо быстрый, к сожалению...:(

Утилита доработана и улучшена, исправлены ошибки и недочеты. Добавилось много новых функций.
Утилита сильно поумнела - добавлены не только новые функции, но и улучшены и проработаны старые, например программа стала знать в 2 раза больше мест автозагрузки.

[B]Версия: v1.4[/B]
Размер утилиты: примерно 65 Кб (в RAR-архиве 6 Кб)
Размер получаемого лога: в среднем 200 Кб
Формат лога: html
Время сканирования: примерно 90 секунд

Принцип работы:
Собирает информацию о системе и записывает ее в лог

[B]Собираемая информация:[/B]
1. Версия OS
2. Версия браузера IE
3. Версия браузера Opera
4. Версия браузера Mozilla Firefox
5. Считывание расширенной информации о системе - пункт "All System Info"
(дата установки OS, версия BIOS, системные папки, файл подкачки, сетевые адаптеры, виртуальная/физическая память, установленные исправления)
6. Определяет включено/выключено восстановление системы
7. Определяет включен/выключен системный фаервол
8. Определяет включено/выключено автоматическое обновление системы
9. Недавно запущенные файлы и путь до них [B]*[/B]
10. Вывод подробной конфигурации браузера IE: меню, страница поиска, пустая страница, BHO, заголовок браузера и т.д
11. Запущенные в данный момент процессы, их PID, загрузка ЦП, заголовок окна (если он есть), информация от чьего имени запущен процесс.
12. Информация об установленных в системе драйверах: тип, состояние, путь до файла и по возможности описание драйвера.
13. Снимки мест в системе, из которых можно автозапускаться
(CurrentVersion\Run, CurrentVersion\RunOnce, CurrentVersion\RunOnceEx, CurrentVersion\Winlogon, CurrentVersion\Winlogon\Notify... в общей сложности более 60 ключей)
14. Активные службы, выполняющиеся в собственном процессе.
15. Перечень файлов, находящихся в следующих папках (без учета каталогов): системная папка, system32, system, temp и Local Settings/temp
(располагаются в порядке "от новых к старым")
16. Перечень файлов, находящиеся в корне дисков (если они существуют): A, C, D, E, F, G, H
17. Файлы, добавленные в "исключения" системного фаервола. [B]**[/B]
18. Текст файла hosts
19. Текст файла boot.ini
20. Адреса подозрительных файлов - ищет по фиксированным именам в системной и временной папке - эвристический анализатор. [B]***[/B]
21. Установленные программы (есть возможность отказаться от этого пункта - процесс необязателен и длится много времени)

[B]*[/B] Если этот ключ не очищался вручную/твикерами, то тут будут адреса исполняемых файлов с момента установки системы. Очень полезно знать, какие файлы были не так давно запущены
на компьютере.
[B]**[/B] Важно знать какие приложения ведут сетевую активность - многие малваре пишут свой адрес в этот ключ для того что бы системный фаервол выпускал их в сеть.
(свой адрес пишет в этот ключ даже пинч - таким способом обходится встроенный в систему фаервол)
[B]***[/B] 1). В системной папке ищет файлы с подозрительными именами - бекдоры/трояны с фиксированными именами файлов.
2). Во временной папке ищет не только фиксированные имена троянов, которые пишут свои файлы в эту папку, но и имена файлов заданных по дефолту в популярных связках эксплоитов.



[B]Также не забываем про кодировку:[/B]
Если в одном блоке вы видите нормальный русский язык, а в другом язык цивилизации Инков, то смените кодировку в браузере (866 (DOS) - > 1251 или 1251 -> 866) и все будет наоборот - где был русский язык вы обнаружите древние писмена, а где были нечитаемые символы - нормальный русский язык.


[B]И не забываем про ява-скрипт:[/B]

[IMG]http://i029.radikal.ru/0806/65/2ad033cb41c2.jpg[/IMG]

[IMG]http://i053.radikal.ru/0806/7d/6cdde05810e1.jpg[/IMG]

На этих полосках можно щелкать курсором и будет выпадать (скрываться) список.

Хорошая вещь в хозяйстве, пригодится, логи дает очень и очень приличные :)
Автору респект!

))
на самом деле, очень многое вытащено из АВЗ и ХЖТ - путем мониторинга, например)
да и многое сделано благодаря мониторингу (как пассивному так и активному), файлов и реестра.

2vidocq89
М.б. пригодиться для дальнейшего совершенствования.
[url]http://www.diamondcs.com.au/freeutilities/autostartlocations.php[/url]