Лечим и иммунизируем ПК от Autorun червей

Вот, написал небольшую утилиту, которая помогает лечить ПК от автозапускных червей.
Имя программки в честь любимой девушки - Юлия.

Особенности:
- Мылый размер
- Не надо обновлять никаких баз
- Лечит активные заражения 12 версий червя
- Имеет эвристический сканер, который поможет удалить еще неизветсные виды вируса
- Иммунизирует ПК от повторного заражения червем
- Восстанавливает измененные настройки системы
- Не конфликтует с антивирусным ПО
- Не требует инсталляции
- Бесплатный

Написана она затем, что на сегодняшний день данный вирус встречется у многих пользователей, и антивирус зачастую не может с ним справится. Вобщем, пишите комменты, буду рад узнать Ваше мнение.

[QUOTE=The Bulka;302941]
- Иммунизирует ПК от повторного заражения червем[/QUOTE]
Интересно. А как она это делает? Её постоянно надо использовать на компе? :)

Paul

Паул, я сейчас мельком посмотрел программу, в основе лежат ваши рекомендации по противодействию автозапуску :)

[QUOTE=Гриша;302968]Паул, я сейчас мельком посмотрел программу, в основе лежат ваши рекомендации по противодействию автозапуску :)[/QUOTE]
Молодец автор, я не против. Но сказать, что это полностью имунизирует комп от таких червей, я не стал бы.

Paul

[quote=p2u;302964]Интересно. А как она это делает? Её постоянно надо использовать на компе? :)

Paul[/quote]
Очередная убивалка файлов по именам а-ля антивирус Калинина, мочит всех без разбора и запроса. Алгоритм:
1. Сканирование процессов. Процессы Flash зловредов не убивает, смысл сканирования неясен
2. Убивает без запроса и проверки наличия на диске следующие файлы:
<папка автозапуска в профиле>\msn.exe
и далее по всем дискам:
X:\KESHA.EXE
X:\Recycled\KESHA.EXE
X:\UFO.exe
X:\WINDOWS\system32\amvo.exe
X:\WINDOWS\system32\amvo0.dll
X:\WINDOWS\system32\amvo1.dll
X:\WINDOWS\system32\avpo.exe
X:\WINDOWS\system32\avpo0.dll
X:\WINDOWS\system32\desktop.dll
X:\WINDOWS\system32\esp10.dll
X:\WINDOWS\system32\msn.exe
X:\WINDOWS\system32\mstmdm.dll
X:\WINDOWS\system32\oinnls.dll
X:\WINDOWS\system32\secpol.exe
X:\WINDOWS\system32\thumb.dd
X:\WINDOWS\system32\wincab.sys
X:\WINDOWS\system32\[B]e[/B]xplorer.exe
X:\autorun.inf
X:\desktop.dll
X:\msn.exe
X:\nideiect.com
X:\ntde1ect.com
X:\resycled\autorun.inf
X:\resycled\boot.com
X:\thumb.dd
X:\usdeiect.com
X:\uxdeiect.com
При этом функции отложенного удаления нет, активного зловреда как следствие убить не может. И о том, что бывают полезные autorun.inf в корене флешек и съемных дисков автор не слышал видимо ...
3. Открывает HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run и удаляет параметры с именами amva, avpa и rundll32 не проверяя их наличия
4. Прописывает значения:
[CODE]
HKLM\SYSTEM\ControlSet001\Services\ShellHWDetection\Start = 4
REGISTRY\USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun=000000FF
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoDriveTypeAutoRun=000000FF
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue=00000001
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf\=@SYS:DoesNotExist
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files\*.*
[/CODE]
Собственно модифкации известные, автозапуску после этого каюк :)
5. Удаляет ключ реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 и его содержимое
6. Сообщает, что злобные вирусы вылечены и перезагружает ПК

Исключительно ради опыта я запустил на полигонную машинку несколько Worm.Win32.AutoRun.*, они понятное дело пережили лечение

Паул я имел ввиду только реестр :D

[QUOTE=Гриша;302976]Паул я имел ввиду только реестр :D[/QUOTE]
А я имел в виду заявление автора:
[quote]- Иммунизирует ПК от повторного заражения червем[/quote]
;)

P.S.: Автору следовало бы по крайне мере указать против каких именно червей программка должна помочь. Autorun червей куча, и простыми методами удаления они далеко не все 'лечатся'...

Paul

Кроме внесения этих ключей ни какой "иммунизации" нет...

Вы делали reg файл, а тут exe+попытка удаления файлов малваре по именам, которые хранятся в теле программы...

[quote=Гриша;302979]Кроме внесения этих ключей ни какой "иммунизации" нет...

Вы делали reg файл, а тут exe+попытка удаления файлов малваре по именам, которые хранятся в теле программы...[/quote]

Иммунизации нет, зато эвристика есть - найдя autorun.inf файл, данная тулза ищет, на что он ссылается, и пытается уничтожать это без запроса. Т.е. если подключена флешка скажем с крипто-тулзой или менеджером бекапа на ней, но ему c некоторой вероятностью будет кирдык :)

У меня эвристика не срабатывает :) удаляется только сам файл autorun.inf, файл на который он ссылается остается на месте, я проверил 10 раз, с успехом можно сказать, что эвристический алгоритм кривоват :)

Так, по порядку.

2 Зайцев Олег
Насчет не лечения. У меня и у моих коллег он прекрасно вылечил активное заражение как минимум 10 из 12 видов червя.
Насчет простого удаления по имени. По-моему файл amvo встречается НУ ПРОСТО ОЧЕНЬ часто среди такого червя и не помешало бы его удалить.
Насчет отложенного удаления. Зачем? Программа сперва убивает процессы и выгружает библиотеки (что позволяет удалить файлы) и затем удаляет файлы вирусов.

2 Иммунизации - это всего лишь попытка настроить систему против автозапуска.

2 All
Так, эвристику попробую исправить, сделаю запрос на полное удаление всех файлов автозапуска. Утилиту для лечения заразы стоит запускать один раз. Будем пытаться улучшить утилитку. За комменты спасибо.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Да, забыл сказать. Лечит:

Win32.HLLW.Autoruner.280
Win32.HLLW.Autoruner.437
Win32.HLLW.Autoruner.826
Win32.HLLW.Autoruner.1020
Win32.HLLW.Autoruner.1021
Win32.HLLW.Autoruner.1055
Win32.HLLW.Autoruner.1219
Win32.HLLW.Autoruner.1282
Win32.HLLW.Autoruner.1811
Win32.HLLW.Autoruner.2805
Win32.HLLW.Autoruner.846

А Вы не подумали, что когда "подключена флешка скажем с крипто-тулзой или менеджером бекапа на ней, но ему c некоторой вероятностью будет кирдык", то активынй зловред нафиг скосит этот автозапуск и припихънет свой

[quote=The Bulka;303348]
А Вы не подумали, что когда "подключена флешка скажем с крипто-тулзой или менеджером бекапа на ней, но ему c некоторой вероятностью будет кирдык", то активынй зловред нафиг скосит этот автозапуск и припихънет свой[/quote]
Я не знаю, какое активное заражение там ловится - у меня не ловится ничего :) Причина банальна - червяков этих тысячи, вариантов имен файлов как минимум - сотни, в глобальном масштабе эффект от такого поиска будет нулевой. А если вспомнить, что есть червяки с руткитами, то их поиск из UserMode вообще пустая затея ...
Если на компьютере будет нормальный антивирус, то собственно и червяка не будет - его или сигнатуры поймают, или эвристика/PDM/HIPS.
В остальном следует запомнить главный принцип построения любой (подчеркиваю - любой) тулзы в области безопасности - "не навреди". А следовательно, или должен быть запрос о том, что где найдено, в чем подозревается и что предлагается сделать (с возможностью согласиться или не согласиться), а мочить файлы по именам без разбора, особенно если это имя записано в autofun.inf - глупо и очень опасно, вреда будет в разы больше, чем пользы. Аналогично с правкой реестра - а кто сказал, что лобовое отключение автозапуска хорошо ?! А как-же CD/DVD с автозапуском (игрушки например, энциклопедии разные и и т.п.) ?

[QUOTE=Зайцев Олег;303394] А как-же CD/DVD с автозапуском (игрушки например, энциклопедии разные и и т.п.) ?[/QUOTE]
У меня это всё без проблем открывается, кстати. Для CD/DVD откроем любимый плеер и указываем путь к нужной папке или диск. Для открытия энциклопедии вручную (у меня таких 2) тоже есть специальные ярылики на рабочем столе (программы их сами создают), в которых указан путь к этим дискам. Файлы autorun здесь необязательны.
Для игр (пасынок [ему 18] играет в The Punisher и в Need for Speed) стоят ярлыки у него на рабочем столе. Он вставляет диск. Если он ничего не делает, то тогда и ничего не проихсодит. Как только нажимает на ярлык - игра начинается без проблем. :)

Paul

[QUOTE=Зайцев Олег;303394]Аналогично с правкой реестра - а кто сказал, что лобовое отключение автозапуска хорошо ?! А как-же CD/DVD с автозапуском (игрушки например, энциклопедии разные и и т.п.) ?[/QUOTE]Ну это можно пережить.

[quote=Maxim;303412]Ну это можно пережить.[/quote]
Это надо с юзерами N лет поработать, чтобы это прочувствовать :) Очень распространена разновидность пользователя, именуемая по латыни "юзерус дотошнутус" :) И если что-то у него не открывается так, как как открывалось вчера, то он доведет до тошноты ИТ-саппортеров конторы, те допекут админов и в общем получится, что проще вернуть все как было, чем объяснять, почему оно работает или выглядит не так, как вчера :)

сам нераз попадал на такое,
отключишь у юзера автозапуск а он потом звонит и говорит что у него флэшка неоткрывается,

2 Зайцев Олег
Ваши комменты понял, именно поэтому уже исправил все ошибки, улучшил эвристику, добавил некоторые изменения, запросы и т.п. Скоро выложу в этой же ветке.
Насче того, что их тысячи - ну так для этого эвристический анализатор и будет разрабатываться, плюс принцип распространения этого червя один и тот же, так что принцип поиска сводится почти к одному принципу.

Насчет загрузки с флэх, CD и т.д. согласен, встроил возможность выбрать, что сделать с автозапуском на ПК. И кстати Касперский 7 нормально не лечит данный тип вирусов, Dr Web только позавчера по-меому обновил программу и улучшил лечение червя.

А про эвристику и HIPS: "юзверус дотошнотус" даже не ставит себе расширеный мониторинг, а уж тем более не хочет читать сообщения типа "Неизвестное приложение пытается запуститься через файл автозапуска. разрешить выполнение действия?" и тупо тыкает "Да". Так что о поведенческом анализе и мониторах можно говорить только опытным пользователям.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

И лично я ни разу не встречал версии такового червя с руткит механизмом.

Вот один из них [url]http://virusinfo.info/showthread.php?t=32276&highlight=wincab.sys[/url]

wincab.sys-руткит компонента этого червя...

[QUOTE=The Bulka;303540]А про эвристику и HIPS: "юзверус дотошнотус" даже не ставит себе расширеный мониторинг, а уж тем более не хочет читать сообщения типа "Неизвестное приложение пытается запуститься через файл автозапуска. разрешить выполнение действия?" и тупо тыкает "Да".[/QUOTE]
В песочницах таких сообщений вообще не наблюдается. Не стоит привязываться к продукту только одного вендора, их много разных.

2 Гриша
У меня был данный вид червя, он абсолютно не маскировал у меня ничего, у других, у кого я лечил ПК от него, тоже. Хотя все же стоить еще разок проверить.

Вот улучшенная и полностью переделанная версия. Исправлена эвристика, добавлена возможность выбрать способ иммунизации системы, появились запросы на удаление, сканер реестра, два или один новый вид червя + список поддерживаемых программой версий вируса. В общем качайте, проверяйте. Кстати, хотел еще добавить White List, куда можно заносить диски, с которых ничего удалять не надо, но вот времени нет, поэтому сделаю потом.

Если есть какие ошибки - не пинайте, лучше описывайте багу и предлагайте способ ее исправления. :)

А что там тестировать - это же типовой студента первого курса ВТ :)
Если по существу:
1. Нельзя безальтернативно перезагружать ПК. Т.е. или должна быть птичка в GUI "Автоматически перезагрузить после завершения проверки" (неактивная по умолчанию), или в диалоге перезагрузки альтернативы "Да", "Нет". А иначе получается констатация факта, типа "Хочу и перезагружусь".
2. Нельзя удалять файлы по именам, даже если очень хочется ! Никто не знает, вредный файл скажем C:\WINDOWS\system32\desktop.dll или полезный (быть может он жизненно нужен кому-то зачем-то, заранее сказать это не может никто, не изучив содержимое файла). У меня например сохранялка позиции иконок на рабочем столе содержит именно такую DLL, именно с таким именем и именно в таком месте. Что получаем ? Получаем то, что убили полезную программу без запроса...
3. Про двухкратное удаление я уже писал (типа удалили + контрольный выстрел :) ). Если файл не удалился с первого раза, то он не удалится и со второго ...
4. Запрос появился, но собственно он не информативен - что за файл, что предполагается удалять, неясно
5. Лечение активного заражения естественно нет. Проверить это просто - берем флешку, кладем туда autirun.inf следующего вида
[AutoRun]
open=JAWCU.exe
shell\open\Command=JAWCU.exe
shell\open\Default=1
shell\explore\Command=JAWCU.exe
В корень флешки кладем тулзу и запускаем ее. Она честно пытается убить собственный запущенный EXE (аж 6 раз подряд), результат ясно дело нулевой ... Причем в результате и EXE не удаляется, и INF остается (а со второго захода inf удалился все таки, EXE остался). Реальный зверь обычно через небольшой интервал времени пересоздает свои файлы, поэтому обычное стирание эффекта не дает ...
6. Неясно, почему поиск 12 файлов идет 15 секунд (50 мс - допускаю, но 15 сек. - крайне странный показатель)
Про поиск файлов по именам, может эти цифры дадут некоторое представление о положении вещей - я смеха ради отдал команду моему анализатору "написать тулзу для поиска Flash червей по именам". Он выполнил задачу секунд за пять, и результат поразителен - для детекта одной тысячи уникальных зверей семейства Worm.Win32.AutoRun база имен оказалась на 1056 записей. Если брать с повторами - 2413. Вот такие вот цифры ...

Насчет 1: без перезагрузки лечение пройдет безпонтово.
Насчет 2: Утилита лечит АКТИВНОЕ заражение, все файлы полезных программ будут зловредом НАХРЕН удалены, так что ничего страшного от того, что удалится файл вируса я думаю не будет.
Насчет 3: Там нет 2-ух кратного удаления вообще-то, у вас плохой дизассемблер.
Насчет 4: Жду Ваших предложений! Что говорить пользователю?? CRC32, размер, автора??
Насчет: 5: А зачем так делать?? Никто не говорил, что будет Autorun.inf с имененм на мою прогу. Копируй на какой-нибудь диск и запускай, У МЕНЯ ПОВТОРЮСЬ, ВСЕ ПРЕКРАСНО ЛЕЧИТ, у вас может что-то с руками при всем уважении к вам.
Насчет 6: Вообще-то сперва идет выгрузка зловредных DLL, если такие есть, причем не из одного процесса, а из нескольких, поскольку новая версия червя может инжектить DLL в любой процесс другой. Потом завершение вирусных процессов, если есть, а затем эвристическая проверка на наличие автозапуска + подозрительных ключей автозагрузки, затем только удаление вирусных файлов. Если вставить какой сканер по CRC, то вообще эта прога нахрен не нужна тогда, так как допись одного байта изменит таковую.

И что-то я вообще не понял, при чем тут тулза, и для каких там 1056 червей она там сгенерировала имена?! Может поподробней??

Я вижу во конкретно против моей проги, ну так не используйте, кто ж просит.

[B]The Bulka[/B], познакомьтесь с Олегом: [url]http://virusinfo.info/showthread.php?t=8976[/url]
И тогда вопросы типа
[QUOTE]я вообще не понял, при чем тут тулза, и для каких там 1056 червей она там сгенерировала имена?! Может поподробней?[/QUOTE]
отпадут сами собой :)

[QUOTE=The Bulka;303987] у вас может что-то с руками [/QUOTE]
Ты вообще загнул, парень. Иди говори это своим ребятам-молокососам в другом месте.

Paul

Стоп!

Пусть человек думает что у него все хорошо и он все знает лучше Олега.

Просьба к модераторам закрыть тему.

[QUOTE=The Bulka;303987]У МЕНЯ ПОВТОРЮСЬ, ВСЕ ПРЕКРАСНО ЛЕЧИТ[/QUOTE]
Вам в самом начале топика объяснили, почему использованный Вами метод поиска вирусов и лечения компьютера не имеет права на жизнь. Поэтому в первую очередь прочтите [URL="http://virusinfo.info/showthread.php?t=7076"]топик про Антивирус Калинина [/URL]и попытайтесь осмыслить данные советы. Ознакомьтесь также с конкурентом: [URL="http://virusinfo.info/showthread.php?t=2217"]Kerish Antivirus[/URL].

Или пересматривайте свое отношение к обеспечению информационной безопасности, или готовьтесь к патентным войнам с этими двумя антивирусными гуру :)

[quote=The Bulka;303987]И что-то я вообще не понял, при чем тут тулза, и для каких там 1056 червей она там сгенерировала имена?! Может поподробней??

Я вижу во конкретно против моей проги, ну так не используйте, кто ж просит.[/quote]
А при том, что мои системы "знают" поведение зверей (причем не 10-15, а сотен тысяч), и я могу могу без проблем поставить задачу, скажем, сделать детектор чего-то по именам или по иному аспекту поведения, или наоборот - оценить эффективность метода, скажем, поиска зверя по именам файлов/ключей/служб/окон или чего-то еще. И я вижу, что эффективность будет почти нулевая ...
Это раз, второе - я не против "конкретной проги", я против конкретной идеологии "убивать файлы по именам", есть большая разница ... Так нельзя !! Не изучив содержимое файла ни при каких условиях нельзя его удалять, как бы его имя не казалось подозрительным ... DVi привел примеры подобных "продуктов", которые отличались от обсуждаемого "крутизной" в плане количества имен файлов в своей базе, нетрудно сравнить мой вердикт по тем продуктам и по этому - он не поменялся. Вывод - поиск файлов по именам, CLSID, названиям ключей реестра, служб, именам окон и множеству иных косвенных признаком имеет право на жизнь, [U]но не более как отдельная форма эвристики [/U]... и не как основной критерий для удаления.

Ладно, я ужасен и вообще лох. Не нужна прога, пригодится тому, кому нужна. Можете закрывать темку.

Ввиду полной неконструктивности и просьбе автора темы - тема объявляется закрытой.
Всем спасибо, все свободны :)