Долгожданное обновление - новая версия OSAM: Autorun Manager

Добрый вечер!

Вышло долгожданное обновление [URL="http://www.online-solutions.ru/ru/osam_autorun_manager.php"]OSAM: Autorun Manager - v1.0.0.5974[/URL]. Очень кратко об изменениях по сравнению с предыдущей версией:
[LIST][*]введена [B]система фильтров[/B], позволяющая быстро и удобно анализировать только те компоненты автозагрузки, которые интересны в данный момент или вызывают наибольшее подозрение (например, изначально анализировать только заблокированные файлы, скрытые записи и т. п.);[*][U]новая функция[/U]: [B]частичное обновление[/B] - чтобы не пересканировать все области автозагрузки, можно обновить информацию по отдельной группе, что значительно экономит время;[*]появилась [B]возможность удаления ранее отключенных элементов[/B] одним кликом мыши (удаление из внутреннего хранилища);[*]доступен для использования [B]html-лог[/B];[*]добавлено [B]несколько новых способов автозагрузки[/B] ([U]внимание[/U]: в ближайшее время будет добавлено еще несколько);[*]исправлен ряд ошибок в "[B]двойном-сканировании[/B]", противодействующем руткитам (rootkits) на уровне ядра (RING0);[*][B]улучшен алгоритм поиска скрытых ключей[/B] на уровне приложений (RING3);[*]исправлены ошибки в обработке (анализе данных) некоторых ключей;[*][B]значительные улучшения[/B] в детальной информации о записях в реестре и файлах - теперь гораздо больше информации, которая позволяет судить о записях (дата добавления записи в реестр, тип загрузки драйвера/сервиса, его текущий статус - запущен или нет, дата отключения записи и т. п.);[*][B]улучшена система поиска[/B] в автозагрузке;[*][B]улучшен интерфейс[/B] ("легенда", настройки, подписи для кнопок на toolbar), что добавило привлекательности программе;[*]реализована поддержка Windows v2000 (полнофункциональная работа, как и на других ОС линейки NT).[/LIST]Скачать [B]OSAM: Autorun Manager v1.0.0.5974[/B] можно [URL="http://www.online-solutions.ru/ru/osam_autorun_manager.php"]здесь[/URL]. Расчитываем на ваши отзывы!

спасибо)
работать стало заметно приятнее

только немного как-то смущает:
[QUOTE]Но это не страшно: производится ли скрытый запуск драйвера руткита или речь о других скрытых ключах - любой из этих вариантов автозапуска будет обнаружен менеджером "OSAM".[/QUOTE]
-->>
[QUOTE]противодействие руткитам (rootkits) путем обнаружения скрытых ключей и записей в реестре, благодаря технологии прямого разбора данных реестра без использования системных функций ОС[/QUOTE]

:?

[quote=vidocq89;211158]спасибо)
работать стало заметно приятнее[/quote]
Спасибо за отзыв!

[quote=vidocq89;211158]только немного как-то смущает:[...] -->> [...]:?[/quote]
А в чем здесь противоречие? Извините, не понял.

[QUOTE]А в чем здесь противоречие?[/QUOTE]
вы неверно расшифровали те четыре знака...
к слову "противоречие" они никак не относятся...
скорее их можно расшифровать как "...и смотрим сюда еще...хм, интересно..."
от комментов пока воздержусь...

А почему Веб маневский KeeperID - это CorelDRAW shell extension component??

Добрый день!

[quote=psw;211164]А почему Веб маневский KeeperID - это CorelDRAW shell extension component??[/quote]
Спасибо за отзыв!

Если это действительно так, то, возможно, проблемы с кэшированием записей (но это только если Вы использовали функцию частичного обновления информации). Нужно разобраться. Для выяснения причин потребуется Ваша помощь. Если Вам несложно, сделайте пожалуйста скриншот этого и пришлите на [EMAIL="[email protected]"][email protected][/EMAIL]. Так же, в верхнем меню выберите опцию "Save log", а в формате сохраняемых данных - бинарный формат (не .log, не .html). И этот бинарный файл так же пришлите на [EMAIL="[email protected]"][email protected][/EMAIL]. Разберемся с проблемой. Возможно, потребуется еще какое-то Ваше участие.

Отправил.

[quote=psw;211304]Отправил.[/quote]
Проблема в целом понятна (выводится default значение ключа, к нему приплюсовывается какой-то совершенно посторонний файл из внутренних структур). Пока просто не обращайте внимание на это.

Создан тикет OSPD-3114. Будет исправлено в ближайшее время.

Спасибо за найденную ошибку!

Есть предложение - создать еще одну тему для обсуждения этой программы в закрытом разделе. Идея данной утилиты весьма достойная, но как оказалось, ее крайне просто нейтрализовать ... а обсуждать технологии нейтрализации и защиту от них в публичном разделе нехорошо.
Вот тема в коллегиальном разделе (он закрыт для обычных посетителей): [url]http://virusinfo.info/showthread.php?t=21161[/url]

[QUOTE]Идея данной утилиты весьма достойная[/QUOTE]
а что за идея?..
в чем кардинальное отличие от аналогов?..

а почему никто никогда не вспоминает про "Авз-сервис-менеджер автозапуска" и никогда не пробует сравнивать подобные программы с этим модулем авз?
лично у меня простыми записями в разные хитрые ключи реестра (без всяких руткитов) ни разу не получилось спрятать что-то в автозагрузке, что бы авз этим сервисом не нашел:)

[quote=vidocq89;212346]а что за идея?..
в чем кардинальное отличие от аналогов?..

а почему никто никогда не вспоминает про "Авз-сервис-менеджер автозапуска" и никогда не пробует сравнивать подобные программы с этим модулем авз?
лично у меня простыми записями в разные хитрые ключи реестра (без всяких руткитов) ни разу не получилось спрятать что-то в автозагрузке, что бы авз этим сервисом не нашел:)[/quote]
В эту утилиту заложена идея читать реестр не через классическое API, а дампировать его на диск и анализировать дампы. Это позволяет обходить некоторые виды руткитов, что в других менеджерах автозапуска не встречатеся ... AVZ тут не в счет, так как туда помещено много всего, а в данном случае речь идет о узкоспециализированной утилите

спасибо за ответ...
правда оригинальный способ.

[QUOTE]AVZ тут не в счет, так как туда помещено много всего[/QUOTE]
я говорил исключительно про Сервис - Менеджер автозапуска. Только про него!..
:(

[QUOTE]AVZ тут не в счет[/QUOTE]
подкиньте тогда, пожалуйста линк на тему, где этот сервис Авз, как раз "в счет":)

Добрый день, Олег!

[quote=Зайцев Олег;212220]Есть предложение - создать еще одну тему для обсуждения этой программы в закрытом разделе.[/quote]
Спасибо.

[quote=Зайцев Олег;212220]Идея данной утилиты весьма достойная, но как оказалось, ее крайне просто нейтрализовать ... а обсуждать технологии нейтрализации и защиту от них в публичном разделе нехорошо.
Вот тема в коллегиальном разделе (он закрыт для обычных посетителей): [URL]http://virusinfo.info/showthread.php?t=21161[/URL][/quote]
Дело в том, что наша компания не является приверженцем принципа "[B]security through obscurity[/B]" ("[b]безопасность через сокрытие[/b]"), поэтому мы абсолютно открыты к обсуждениям любых технологий, направленных на нейтрализацию или обход механизмов защиты (security leaks). Зачем скрывать от пользователей информацию, касающуюся их безопасности?

Так как полное сообщение помещено в закрытом разделе, наверно, его запрещено скопировать сюда (если автор разрешит скопировать, то размещу его). Кратко изложу его суть для тех пользователей, кто не имеет доступа в тот раздел.

Как уже упоминалось в обзорных описаниях (да и обсуждалось на этом и некоторых других форумах) в [B]OSAM[/B] реализована технология "[b]двойного сканирования[/b]", направленная на противодействие руткитам, скрывающих какие-либо записи в реестре. Эта технология реализована через прямой разбор реестра без использования функций операционной системы.

На данном этапе развития [B]OSAM[/B] им используется функция ZwSaveKey() для сохранения отдельных веток реестра в виде hive'ов. В дальнейшем hive'ы разбираются самостоятельно.

Олег указал на то, что использование низкоуровнего API ZwSaveKey() на уровне приложений (RING3) является узким местом этой технологии. И привел тестовое приложение, написанное на Delphi, которое делает перехват этой функции, посредством внедрения во все процессы своей .dll. Данное тестовое приложение просто убивает любой процесс, который вызывает указанную выше функцию. Крайне небезопасное действие. Во-первых, потому что есть вполне легитимные процессы, не из области информационной безопасности, использующие эту функцию для своих целей (registry backup, например). Во-вторых, убивание какого-либо сканирующего процесса является активным противодействием, заметным пользователю, и автоматически демаскирует присутствие руткита в системе. Но вся суть технологии руткитов состоит в том, чтобы оставаться незаметными как для пользователей, так и для сканирующих и анализирующих программ, направленных на борьбу с вредоносными программами. То есть теряется весь смысл.

С тем же успехом, можно просто не позволять запускаться процессу "osam.exe", искать его окно (заголовок, класс или другие характеристики) и проч. подобные "легкие" методики, применяемые обычно в студенческих adware/spyware и описанных в различных книгах.

В прочем, нужно обратить внимание, что существует вполне себе реальный руткит - [B]Rustock[/B], который мы очень хорошо знаем "со всех сторон", использующий более хитрый (и правильный) способ обхода данного API (молча и незаметно ни для кого). Олег, не стал его почему-то называть, просто обозначил, что это вредоносный код, существующий in-the-wild.

В этом плане, кстати, есть вопрос к Олегу, через которого, вероятно, проходит гораздо больше различных вредоносных программ. Может ли он назвать еще какие-либо вредоносные программы in-the-wild, использующие такой или схожий механзим обхода (кроме [B]Rustock[/B]). Это было бы интересно, потому что мы на данный момент такой информацией, к сожалению, не располагаем совершенно.

Самое главное, что данный вопрос поднимался еще 23-25 октября 2007 года (то есть полгода назад, с первой бетой), абсолютно открыто и публично. И велось обсуждение с нашей компанией. Посмотреть можно [URL="http://rootkits.ru/viewtopic.php?pid=3093"]здесь[/URL].

На данный момент у нас существует еще как минимум две технологии, позволяющие работать с активным реестром напрямую, не используя какого-либо API вообще. В зависимости от отведенного времени на проект [b]OSAM[/b], в ближайшее время будет реализована либо первая (достаточно хорошая и несколько проще второй в реализации), либо вторая (принципиально новая, нигде и ни в каком виде, даже частичном, не применявшаяся). Обе технологии - know-how, поэтому до реализации информация по ним, к сожалению, не излагается даже в обзорном виде. Оценивать же, конечно, имеет смысл только после реализации.

И напоследок,
1. В релиз не пошла (из-за возможных трудностей при использовании обычными пользователями), но существует, версия [B]OSAM[/B] с сервисом. В этом случае, какие-либо RING3-перехваты не помогут. Тестовое приложение выполнять заявленнный функционал не будет.
2. [B]OSAM[/B] поставляется и в составе [B][URL="http://www.online-solutions.ru/ru/ospd_antispyware.php"]OSPD[/URL][/B] ([B]Proactive Defense[/B]). После принудительного разрешения всех "вредоносных" (потенциально опасных) действий тестового приложения Олега, можно наблюдать, что OSAM (OSPD) продолжает прекрасно работать. В данном случае сработал тот же принцип, что и в п. 1. Но здесь могу показать наглядный скриншот (при нажатии на него откроется полноэкранная версия):

[url=http://www.online-solutions.ru/temp/www/osam-ospd.jpg][IMG]http://www.online-solutions.ru/temp/www/tn_osam-ospd.jpg[/IMG][/url]

Резюмируя:
1. Реальный (и единственный?) пример руткита, применяющего эту технологию обхода, in-the-wild ("в дикой природе", то есть может встретиться) - [b]Rustock[/b]. (Данная информация может быть откорректирована!). Все остальные malware и, что главное, руткиты, оставляющие следы, прекрасно опознаются.
2. В ближайшее время будут реализованы технологии, противодействие которым в сейчас не существует. А что касается второй технологии, то и вряд ли будет существовать вообще (кроме как на уровне теоретических рассуждений).

Спасибо за отзыв, Олег!

Тема в закрытом разделе опубликована потому, что там есть пример лик-теста, а подобные примеры публиковать для открытого доступа недопустимо. Пример показывал [B]простейшую[/B] реализацию (более сложную писать просто лень - ведь речь шла о проверке концепции), но совершенно тривиально можно спрятать ключ от ZwSaveKey, он же получает хендл ключа и файла, т.е нетрудно узнать, что за ключ дампируется и соответственно замаскироваться. Аналогично с Ring-3 - это просто демо пример, не более того - реальный зловред работает из Ring0. Кроме рустока есть еще ряд троянов, которые или блокируют ZwSaveKey, или блокируют открытие защищаемых ключей, что не позволит их сдампировать ... Кроме того, есть туча зловредов, против которых удаление ключа реестра или его правка не отключает автозапуск зверя - он по таймеру 1-2 раза в секунду проверяет свои ключи и восстанавливает их.

[quote=Зайцев Олег;212648]Тема в закрытом разделе опубликована потому, что там есть пример лик-теста, а подобные примеры публиковать для открытого доступа недопустимо.[/quote]
Если это не исходный код, то почему бы и нет? Мы в целом, даже не против опубликования и исходного кода. Несколько странная политика, потому что, например, в Вашей книге опубликовано гораздо больше кода, который можно нарезать кусками, соединить, и написать не один вредноносный "продукт" (что многие студенты и делают). Все равно в интернете сейчас настолько много информации в открытом доступе, что "только ленивый" не делает.

[quote=Зайцев Олег;212648]Пример показывал [B]простейшую[/B] реализацию (более сложную писать просто лень - ведь речь шла о проверке концепции), но совершенно тривиально можно спрятать ключ от ZwSaveKey, он же получает хендл ключа и файла, т.е нетрудно узнать, что за ключ дампируется и соответственно замаскироваться. Аналогично с Ring-3 - это просто демо пример, не более того - реальный зловред работает из Ring0.[/quote]
Для этого есть тяжелая артиллерия - [B]OSPD[/B] и [B]OSAM[/B] с драйвером.

Первая из технологий, про которую я упоминал выше, кстати, работает так же на RING3, без каких-либо [своих] драйверов. В том ее и прелесть. При этом стойкость ее очень высокая.

Вторая из технологий - с драйвером. Но очень и очень хитрым, лазающим очень далеко и глубоко.

[quote=Зайцев Олег;212648]Кроме рустока есть еще ряд троянов, которые или блокируют ZwSaveKey,[/quote]
Какие? (Не хочу быть понятым неправильно: я это спрашиваю именно в плане тестирования/анализа. Было бы просто хорошо их иметь под рукой, для обката технологий).

[quote=Зайцев Олег;212648]или блокируют открытие защищаемых ключей, что не позволит их сдампировать ...[/quote]
Блокирует каким образом? Просто получение хэндла ключа?

[quote=Зайцев Олег;212648]Кроме того, есть туча зловредов, против которых удаление ключа реестра или его правка не отключает автозапуск зверя - он по таймеру 1-2 раза в секунду проверяет свои ключи и восстанавливает их.[/quote]
Про это мы, безусловно, в курсе. С этим бороться будем скоро (всему свое время). Если посмотрите в раздел "[B]Settings[/B]" в [B]OSAM[/B], в этой версии появилась опция удаления через драйвер. Пока что она отключена, так как ведется доработка и процесс тестирования. Но очень скоро этот функционал будет включен. И тоже будет развиваться (от "простого" удаления к предотвращению каких-либо действий).

И, опять, - [B]OSPD[/B] :). Он противодействует любому из того, что было Вами перечисленно выше. Хотя это уже не "утилита", а более серьезный продукт.

[quote=Online Solution;212661]Какие? (Не хочу быть понятым неправильно: я это спрашиваю именно в плане тестирования/анализа. Было бы просто хорошо их иметь под рукой, для обката технологий).[/quote]
Я не помню на память, но я взял этот вопрос "на карандаш", когда будет очередной цикл изучения свежих руткитов, я отслежу этот момент и отпишу тогда.

[quote=Зайцев Олег;212673]Я не помню на память, но я взял этот вопрос "на карандаш", когда будет очередной цикл изучения свежих руткитов, я отслежу этот момент и отпишу тогда.[/quote]
Хорошо, спасибо!

[quote]а почему никто никогда не вспоминает про "Авз-сервис-менеджер автозапуска"[/quote]
Хотя бы потому, что там нет служб и драйверов, а в соответственном Диспетчере нет информации о типе их запуска.
[quote]Кроме того, есть туча зловредов, против которых удаление ключа реестра или его правка не отключает автозапуск зверя - он по таймеру 1-2 раза в секунду проверяет свои ключи и восстанавливает их.[/quote]
Да, такое имеется, - отключение программой или действует ненадолго, или невозможно.
Несколько родственная проблема, когда файл пытается скрываться и на диске. Например, OSAM показал в сервисах руткит-активность oqtxde.chm (Trojan-Clicker.Win32.Costrat.es, которого в списке сервисов просто не было, а искать самому в папке Help ведь не всегда додумаешься, тем более, если стационарный АВ (Аваст) его не знает). Файл отказывался удалиться или скопироваться, защищаясь маскировкой (System cannot find the file specified), но OSAM засек его "физически". Но другие заразы (Jqr60.sys - Trojan-Downloader.Win32.Agent.ggt, Qvq63.sys из той же плеяды), ведшие себя так же (но по причине "занятости другим процессом"), были показаны, как "несуществующие файлы".

[QUOTE]Хотя бы потому, что там нет служб и драйверов, а в соответственном Диспетчере нет информации о типе их запуска.[/QUOTE]
именно в этом сервисе - нету, но есть по соседству, поэтому говорить о нем продолжать можно. :D

"Сервис - Диспетчер служб и драйверов"
(очень удобный, кстати)

[quote=Erekle;213133]Несколько родственная проблема, когда файл пытается скрываться и на диске. Например, OSAM показал в сервисах руткит-активность oqtxde.chm (Trojan-Clicker.Win32.Costrat.es, которого в списке сервисов просто не было, а искать самому в папке Help ведь не всегда додумаешься, тем более, если стационарный АВ (Аваст) его не знает).[/quote]
А как он был прописан в сервисы? Без указания конкретного пути? Можно скриншот на [EMAIL="[email protected]"][email protected][/EMAIL]? И можно ли получить данные автозагрузки в бинарном формате (для изучения)? osam.bin на тот же e-mail. Так же сильно не помешал бы образец этого вредокода (запаковать с паролем).
[quote=Erekle;213133]Файл отказывался удалиться или скопироваться, защищаясь маскировкой (System cannot find the file specified), но OSAM засек его "физически".[/quote]
Что под этим подразумевается? Запись в реестре?
[quote=Erekle;213133]Но другие заразы (Jqr60.sys - Trojan-Downloader.Win32.Agent.ggt, Qvq63.sys из той же плеяды), ведшие себя так же (но по причине "занятости другим процессом"), были показаны, как "несуществующие файлы".[/quote]
Именно как "not found"? Не как "access blocked"? А файлы на диске реально присутствовали или все-таки скрыты были? Если существует возможность, хотелось бы так же скриншот, osam.bin и образцы этих вредокодов для прояснения ситуации и решения возможных проблем.

Спасибо.

[quote]А как он был прописан в сервисы? Без указания конкретного пути?[/quote]
Нет, с указанием. К сожалению, не смог сохранить: когда зашел в папку с LiveCD и решил добавочно проверить KAV-ом (и сам этот KAV, и этот LiveCD), тот сразу удалил его (этот файл - размер ~4.. кб - в сообщениях на форуме упоминается, должен быть у експертов). Экспорт данных не делал, остался некачественный скриншот окна OSAM, который будет выслан.
[quote]Что под этим подразумевается? Запись в реестре?[/quote]
"Подразумевается" - точно сказано, это я по мере своего незнания. :(
В Эксплорере oqtxde.chm был виден, но при попытке удалить, а затем скопировать Эксплорер вынес - The System cannot find the file specified - и повис.
Главное, что OSAM прошел к этому файлу, а к тем двум драйверам - нет, квалифицируя их как [I]"not found"[/I]. файлы на диске тоже были на виду и не скрывались, но их обладателем был системный процесс.
С Jqr.. приключилось то же самое с KAV-ом, Qvq.. - присовокуплен.

OSAM квалифицировал руткитами oqtxde.chm (KAV: Trojan-Clicker.Win32.Costrat.es) и [SIZE=2]Gxxk82.sys (AVZ: Rootkit.Win32.Agent.aag Symantec: [SIZE=2]Trojan.Srizbi, высылается).[/SIZE][/SIZE]
[SIZE=2][SIZE=2]В автозагрузку прописаны не были symavc32.sys ([/SIZE][/SIZE][SIZE=2][SIZE=2]KAV: Rootkit.Win32.Agent.aag, тоже был удален им безвозвратно) и [/SIZE][/SIZE][SIZE=2][SIZE=2][SIZE=2]hdrd427.exe (AVZ: Trojan-Clicker.Win32.Costrat.es Symantec: [SIZE=2]Backdoor.Rustock), так что программа не должна была их детектировать.[/SIZE][/SIZE][/SIZE]
[/SIZE]

[quote=vidocq89;213141][quote=Erekle;213133]Хотя бы потому, что там нет служб и драйверов, а [B][U]в соответственном Диспетчере нет информации о типе их запуска[/U][/B].[/quote]именно в этом сервисе - нету, но есть по соседству, поэтому говорить о нем продолжать можно. :D "Сервис - Диспетчер служб и драйверов" (очень удобный, кстати)[/quote]
Сам не видел, к сожалению. Откомментирую просто по тому, что выше было написано. [B]Erekle[/B] упомянул об этом диспетчере и прокомментировал, чем он ему не нравится. См. выделенное в его цитате.

@ [b]Online Solutions[/b]:

Кстати, отдельный комплимент за то, что ваша программа удаляется без следов. До того, как установить самую последнюю версию, я удалил 'старую' с помощью [url=http://www.revouninstaller.com/]Revo Uninstaller[/url] - дополнительной уборки в реестре не требовалось как у многих других программ.

Paul

На сайте небольшое обновление у них, версия от 9 мая.

Дата релиза: 03 июня 2008
Появился модуль онлайн проверки и выгрузки файлов им на анализ :)

Достаточно создать раздел
[B]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\osam.exe[/B]
в реестре Windows и создать в нем параметр [B]Debugger[/B] со значением [B]scrnsave.scr /s[/B]

Добрый день!

[quote=bolshoy kot;257144]Достаточно создать раздел
[B]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\osam.exe[/B]
в реестре Windows и создать в нем параметр [B]Debugger[/B] со значением [B]scrnsave.scr /s[/B][/quote]
Спасибо за отзыв!

Существует еще по меньшей мере одно место в реестре (а вообще - даже два), где можно прописать соответствие "имя программы" = "запускаемый файл". Имя любой программы, естественно.

Но данному "противодействию" активно противодействует консольная команда (выполнять через cmd.exe в каталоге с [B]OSAM[/B]):
[B]ren osam.exe antidumb.exe[/B]

Online Solutions- вы меня простите)) но уж раз об отзывах речь? Нельзя ли сию прогу под русский язык заточить?

Здравствуйте!

[quote=rdog;259265]Online Solutions- вы меня простите)) но уж раз об отзывах речь? Нельзя ли сию прогу под русский язык заточить?[/quote]
Да, мы планируем локализацию (в настройках даже есть под это диалог), но я не готов сейчас назвать конкретные сроки или номер релиза, в котором будет возможность воспользоваться этой локализацией. :( К сожалению, на реализацию всего задуманного не хватает времени. И сейчас реализуется более "технические" функции, нежели "внешние" и "интерфейсные". Возможно, один из релизов будет посвящен этому. В общем, мы помним об этой проблеме и помним о вас. 8) Пока что на [URL="http://forum.online-solutions.ru"]нашем форуме[/URL] можно читать отдельные статьи по использованию некоторых из функций. Статьи на русском.