AVZ - доработки, пожелания и их реализация

Задача этой темы - собрать воедино все пожелания и предложения по AVZ, поскольку иначе они растворяются в темах по обсуждению версий.
[U][B]Фундаментальные доработки или новые функции:[/B][/U]
1. MUI - мультиязычный интерфейс.
Статус - в разработке. Ожидается в версии 4.xx, пробные варианты будут раньше
2. Скрипты для virusinfo.info
Реализована в 4.00
3. Переделка системы протоколирования (RichEdit, поддержка больших протоколов и выделение цветом)
Статус - в разработке, ожидается в версии 4.+
4. Автоматическое обновление баз через Инет
Статус - реализовано в версии 4.00
5. Менеджер Hosts + лечилка типовых вещей, типа блокировки обновления баз известных антивирусов
Статус - анализатор реализован в 4.00, автолечение - появится в 4.+
6. Проверка файлов по каталогу безопасности Microsoft
Статус - реализовано в 4.00
7. Поддержка 7-zip, rar, популярных криптеров
Реализована поддержка RAR, на очереди RAR SFX, ZIP SFX
8. Поддержка сканированяи памяти с применением нейросети для поиска новых разновидностей троянов
Статус - Первая версия реализована в 4.10
9. Внесение драйвера в ресурс с его копированием в Temp перед загрузкой, защита программных модулей ЭЦП
Статус - в разработке, ожидается в версии 4.+
10. Диспечер для заданий шедулера и показ заданий в логе и исследовании системы.
Статус - реализован в 4.00
[U][B]Глюки, ошибки, недоработки [/B][/U]
1. Менеджер расширенний проводника - решить проблему с "черными дырами" - ссылками, которым не находятся соотв. файлы.
Статус - частично исправлено, в разработке
2. Поддержка правильного поиска файлов с именами типа "C:\WINDOWS\system32\dumprep 0 -k" в автозапуске и службах
Статус - частично исправлено, в разработке
3. Зачистка временных файлов AVZ при выходе из него
Статус - введена функция удаления файлов при выходе
4. В "Драйверах" не опознаются (AVZ не может найти, но они есть на диске) файлы без пути и расширений, хотя они есть в базе безопасных AVZ. Имена этих файлов совпадают с названиями драйверов (значениями в поле "Служба"), имеют расширения *.SYS, лежат в стандартных местах и благополучно запускаются системой.
Статус - исправлено, версия 4.00
5. В "Модулях расширений Internet Explorer" AVZ не находит плагины, запускаемые скриптами.
Статус - доработано, версия 4.00

Контроль целостности программных модулей AVZ (подсчет CRC и т.п.)

1. Диспечер для шедулера и показ заданий в логе.
2. ? MUI в какой версии ожидается - 4.+ :) ?
3. Предложение, уже обсуждалось, но в итоге завяло и похоже близко к скрепостижной кончине - создать на форуме раздел FAQ по AVZ с описанием, и поддержкой, потому как Олег фактически занимаеться разработкой один и я думаю не откажется спихнуть часть "рутины" в виде вопросов пользователей на форум, я думаю хелперы в состоянии ответить на 90% вопросов, соответственно этот раздел должен дыть тоже MUI или в виде отдельного форума с "англоязычным" фейсом.
к примеру avz.virusinfo.info :) Скорее этот вопрос "в развитие" форума, а не AVZ.

[QUOTE=kps]Контроль целостности программных модулей AVZ (подсчет CRC и т.п.)[/QUOTE]
ASPACK ? + сплавить avz.sys в ресурс, или аналогичный пакер с контролем CRC? К примеру халявный ACProtect.

[QUOTE=RiC]ASPACK ? + сплавить avz.sys в ресурс, или аналогичный пакер с контролем CRC? К примеру халявный ACProtect.[/QUOTE]
Думаю, Олег смог бы сам сделать контроль целостности понадежней или, по крайней мере, не менее надежный чем предлагает большинство протекторов, некоторые из которых, к тому же, стоят денег.

[QUOTE=kps]Думаю, Олег смог бы сам сделать контроль целостности понадежней или, по крайней мере, не менее надежный чем предлагает большинство протекторов, некоторые из которых, к тому же, стоят денег.[/QUOTE]
Возни много, можно просто подписать файл ЭЦП и запихать её в базу, защита от "дурака", выше смысла делать я Imho не вижу.

[quote=RiC]1. Диспечер для шедулера и показ заданий в логе.
2. ? MUI в какой версии ожидается - 4.+ :) ?
3. Предложение, уже обсуждалось, но в итоге завяло и похоже близко к скрепостижной кончине - создать на форуме раздел FAQ по AVZ с описанием, и поддержкой, потому как Олег фактически занимаеться разработкой один и я думаю не откажется спихнуть часть "рутины" в виде вопросов пользователей на форум, я думаю хелперы в состоянии ответить на 90% вопросов, соответственно этот раздел должен дыть тоже MUI или в виде отдельного форума с "англоязычным" фейсом.
к примеру avz.virusinfo.info :) Скорее этот вопрос "в развитие" форума, а не AVZ.[/quote]
Я за создание раздела техподдержки AVZ обеими руками - просто конференция то по вирусологии.... Хотя с другой стороны можно всобачить в лог и хелп рекомендацию с проблеми по вирусологии идти на virusinfo - я и так часто заворачиваю туда юзеров, которм явно нужен комплексный тест ПК.
про MUI, ЭЦП и т.п. я внес в список

Вот это, пожалуйста, добавьте в шапку... Уже третий месяц напоминаю... :(

1. В "Драйверах" не опознаются (AVZ не может найти, но они есть на диске) файлы [U]без пути и расширений[/U] (см. лог), хотя они есть в базе безопасных AVZ. Имена этих файлов совпадают с названиями драйверов (значениями в поле "Служба"), имеют расширения *.SYS, лежат в стандартных местах и благополучно запускаются системой.

2. В "Модулях расширений Internet Explorer" AVZ не находит плагины, [U]запускаемые скриптами[/U] ([URL="http://virusinfo.info/showpost.php?p=57672&postcount=277"]подробное описание здесь[/URL]).

[QUOTE=Зайцев Олег]
[quote]1. Диспечер для шедулера и показ заданий в логе.[/quote]
про MUI, ЭЦП и т.п. я внес в список[/QUOTE]
???

По п.6 - при этом необходимо также сравнивать хэши ЭЦП Майкрософта с эталонными, зашитыми в программу и защищёнными в ней. А то вдруг ещё может так получиться, что троян будет подписан фальшивой подписью, положенной им же в каталог вместе с фальшивыми подписями корневых центров.
п.9 И проверять наличие права execute на temp. Точнее, устанавливать у своего драйвера принудительно.

[B]Дополнение[/B]: проверять в реестре команды, назначенные shell/folder/open и подобные. (Попался тут loadpe, а AVZ о нём ничего не знает).

Контроль наличия левых DLL и потоков в своём адресном пространстве есть?

Попался троянчик забавный. DLL, запускается у winlogon, цепляется всем процессам, похоже, стелсирует функцию FindFirst/next, так как copy a.dll c:\ сработал, а в новом месте файл не был виден, пока не прибил трояна. Надо добавить и вот такую проверку на стелс :)

[QUOTE=UFANych]По п.6 - при этом необходимо также сравнивать хэши ЭЦП Майкрософта с эталонными, зашитыми в программу и защищёнными в ней. А то вдруг ещё может так получиться, что троян будет подписан фальшивой подписью, положенной им же в каталог вместе с фальшивыми подписями корневых центров.
п.9 И проверять наличие права execute на temp. Точнее, устанавливать у своего драйвера принудительно.

[B]Дополнение[/B]: проверять в реестре команды, назначенные shell/folder/open и подобные. (Попался тут loadpe, а AVZ о нём ничего не знает).

Контроль наличия левых DLL и потоков в своём адресном пространстве есть?

Попался троянчик забавный. DLL, запускается у winlogon, цепляется всем процессам, похоже, стелсирует функцию FindFirst/next, так как copy a.dll c:\ сработал, а в новом месте файл не был виден, пока не прибил трояна. Надо добавить и вот такую проверку на стелс :)[/QUOTE]
полная проверка файла и его зашитой ЭЦП достаточно тормозная, поэтому по дефолту AVZ только ищет хеш ЭЦП в каталоге - это идет очень быстро. Но есть оция, управляющая глубиной проверки (отключено/только по каталогу/каталог+проверка ЭЦП файла по полной программе). Последее конечно тормозное, но надежное.
п. 9 - именно поэтому я и таскаю пока драйвер в папке AVZ :) Но проверку такую я сделаю
Контроль левых DLL есть - они ловятся одной из подсистем антикейлоггера. Контроль левых потоко нужно будет ввести - все потоки AVZ создаются централизованно, и их немного (сейчас 2 шт - GUI и поиск файлов для сканирования)

[QUOTE=Зайцев Олег]
3. Переделка системы протоколирования (RichEdit, поддержка больших протоколов и выделение цветом)
Статус - в разработке, ожидается в версии 3.85+
[/QUOTE]
Нужная давно фича. Только вот выбор в сторону RichEdit не самый лучший. У данного контрола куча проблем, и не как у компонента, а проблемы именно у самого RichEdit-контрола. Особенно когда в него приходится писать большие объемы текста.
Еще вопрос, Олег, вы как говорили что подумывали на тем что бы не весь лог выводить, а только часть, а при необходимости остальное подгружать из файла. Это особенно актуально при включенной опции писать в лог инфу о чистых объектах.

А можно создать утилиту каторая устанавливалась в системе и
заменяла скрипты управления????
не мешала бы независемости AVZ
но в тоже время при определюнной настройки управляла АВЗ

Например

имела бы проводник для поиска (упавляемой АВЗ) пути к avz.exe......


запускалась бы с системой...

сидела бы в трее...

имела все настройки теже что и сама AVZ...

+ авто каманды (с выставлением обычных галочек) - для задания каманд например
проверка определённых папок ..через каждых 2 чяса ... создание отчёта... и тд.

Имела бы ввод пароля... от несанкционировоного изменения настроек утилиты.....
а также от завершения процесса самой утилиты и для защиты процесса от завешения, самой AVZ

Олег - прикрути к скриптам возможность работы с реестром и файлами чтоюы можно было писать полноченные cure-scripti

[QUOTE=Зайцев Олег]полная проверка файла и его зашитой ЭЦП достаточно тормозная, поэтому по дефолту AVZ только ищет хеш ЭЦП в каталоге - это идет очень быстро. Но есть оция, управляющая глубиной проверки (отключено/только по каталогу/каталог+проверка ЭЦП файла по полной программе). Последее конечно тормозное, но надежное.
/QUOTE]
Я немного не о том - перед началом проверки по каталогу Microsoft надо проверить собственно соответствие между подписью под каталогом и эталонной подписью Microsoft, зашитой в АВЗ, ибо возможна подмена. Или я чего-то не понимаю?:?

[URL="http://virusinfo.info/showthread.php?t=3885"][/URL]
внедряйте поиск и лечение!

Ещё пару пожеланий -
1. Довольно примитивно, но весьма на мой взляд полезно "Отложенное удаление" списком.
2. Ну это уже больше мечты - драйвер ядра с загрузкой в Boot mode для этих целей, позволит убивать гадость подобную L2M (которая прогрессирует последнее время всё активней), совсем мечта этот же драйвер принимающий список файлов с масками и сигнатурами, ну и поддержка этого безобразия "скриптом".
Примерно так - DeleteFilesHex (%SystemRoot%\system32\*.dll,"02,A5,D8,C7,??,3A"), BootDeleteFilesHex (%SystemRoot%\system32\*.dll,"02,A5,D8,C7,??,3A")

[QUOTE=RiC]Ещё пару пожеланий -
1. Довольно примитивно, но весьма на мой взляд полезно "Отложенное удаление" списком.
2. Ну это уже больше мечты - драйвер ядра с загрузкой в Boot mode для этих целей, позволит убивать гадость подобную L2M (которая прогрессирует последнее время всё активней), совсем мечта этот же драйвер принимающий список файлов с масками и сигнатурами, ну и поддержка этого безобразия "скриптом".
Примерно так - DeleteFilesHex (%SystemRoot%\system32\*.dll,"02,A5,D8,C7,??,3A"), BootDeleteFilesHex (%SystemRoot%\system32\*.dll,"02,A5,D8,C7,??,3A")[/QUOTE]
Boot драйвер не панацея ... сейчас зловреды поступают так - в момент завершения работы создается новый файл со случайным именем и прописывается в авторан - в результате отложенное удаление и удаление Boot драйвером становится бесполезным.
Драйвер с сигнатурным искателем - это несколько лучше, но он будет крайне опасен - ведь можно забить маску *.* и этот драйвер снесет систему. Но написать его не сложно ... хотя работать он конечно будет только в NT+ (или придутся писать два драйвера - второй под 9x)

[QUOTE]Boot драйвер не панацея ... сейчас зловреды поступают так - в момент завершения работы создается новый файл со случайным именем и прописывается в авторан - в результате отложенное удаление и удаление Boot драйвером становится бесполезным. [/QUOTE]
В таком случае помогает завершение работы лнопкой ресет :)

[QUOTE=Geser]В таком случае помогает завершение работы лнопкой ресет :)[/QUOTE]
Вот вот - и при этом с вероятностью 50/50 не сохранится реестр, в котором прописан Boot драйвер :)
Т.е. лучшая панацея - это сигнатура в базе, с которой AVZ поубивает зловреда ... - в случае наличия сигнатуры того-же look2me сработает микропрограмма лечения, которая зачистит от него реестр

[quote=Зайцев Олег]Драйвер с сигнатурным искателем - это несколько лучше, но он будет крайне опасен - ведь можно забить маску *.* и этот драйвер снесет систему. [/quote]
предложение - сделать цифровые подписи под скриптами, которые могут содержать опасные команды. т.е. опасные команды из неподписанных скриптов не стартуют. перед выполнением такого скрипта пользователю выдается запрос "хотите ли продолжить выполнение скрипта, подписанного XYZ ?". чтобы пользователи (и зловреды) не генерили троянские скрипты для AVZ.

а еще лучше - сделать (предусмотреть) возможность создания daily-баз для числа лиц, превосходящих единицу. в одиночку делать оперативные обновления - нереально. например daily для новых Bagle до сих пор нет. эти базы можно также подписывать (как я предлагал для скриптов).

[QUOTE]а еще лучше - сделать (предусмотреть) возможность создания daily-баз для числа лиц, превосходящих единицу. в одиночку делать оперативные обновления - нереально. например daily для новых Bagle до сих пор нет. эти базы можно также подписывать (как я предлагал для скриптов).[/QUOTE]
Значительно хуже что нет лечания для новых экземпляров L2M

[quote=Geser]Значительно хуже что нет лечания для новых экземпляров L2M[/quote]
в этом случае ядро менять надо, а не базы. сдетектировать тут полдела, главное - снести. а я про детектирование достаточно простых, но эпидемных зараз.
вот мне принесли bagle.ef. прошерстив имеющиеся в нем адреса я стал обладателем 4 других разновидностей. и ни одной в базах нет...

[QUOTE=MOCT]в этом случае ядро менять надо, а не базы. сдетектировать тут полдела, главное - снести. [/QUOTE]
Ну не знаю. Олег писал что если в базах есть то АВЗ сносит. ХОтя меня тоже берут сомнения :)

[quote=Geser]Ну не знаю. Олег писал что если в базах есть то АВЗ сносит. ХОтя меня тоже берут сомнения :)[/quote]
ранние версии L2M точно работали по другому алгоритму, более примитивному

[QUOTE=Geser]Ну не знаю. Олег писал что если в базах есть то АВЗ сносит. ХОтя меня тоже берут сомнения :)[/QUOTE]
Надо провести "ходовые испытания". Для этого мне нужен инсталлер свежего look2me - нужно провести опыты и пожалуй я напишу статью "Look2me и как с ним бороться" для раздела про SpyWare

[QUOTE=Зайцев Олег]Надо провести "ходовые испытания". Для этого мне нужен инсталлер свежего look2me - нужно провести опыты и пожалуй я напишу статью "Look2me и как с ним бороться" для раздела про SpyWare[/QUOTE]
hxxp://ad-w-a-r-e.com/app/VT00/Installer.exe

[quote=Geser]hxxp://ad-w-a-r-e.com/app/VT00/Installer.exe[/quote]
Проверил - смерть этого look2me была быстрой и мучительной :) Но что-то тут не так, нужно провести дополнительные опыты ... Хотя тут как раз сигнатуры были в базе и сработали микропрограммы лечения

[QUOTE=Зайцев Олег]Проверил - смерть этого look2me была быстрой и мучительной :)[/QUOTE]
Что-то слишком уж быстрой. А ты ему дал отстояться или сразу после инстала лечил. Потому как он, похоже, скачивает свой, более продвинутый апдейт. А вот после этого выходит повеселее.

[quote=Geser]Что-то слишком уж быстрой. А ты ему дал отстояться или сразу после инстала лечил. Потому как он, похоже, скачивает свой, более продвинутый апдейт. А вот после этого выходит повеселее.[/quote]
Нет, укорениться я ему дал ... но не перезагрузился. Это оказывается важно, т.к. тогда он ставит и грузит доп. DLL и становится гораздо интереснее. Дело наверное обернется написанием движка для его убиения :)

[QUOTE=Зайцев Олег]Нет, укорениться я ему дал ... но не перезагрузился. Это оказывается важно, т.к. тогда он ставит и грузит доп. DLL и становится гораздо интереснее. Дело наверное обернется написанием движка для его убиения :)[/QUOTE]

2 Geser : 1:0 в мою пользу ;)

[QUOTE=Geser]hxxp://ad-w-a-r-e.com/app/VT00/Installer.exe[/QUOTE]
Гораздо новее c dollarrevenue.com ...
Ставим, перезагружаемся, тестим, для теста нужен "живой" комп, желательно с HT и никаких виртуалок, потому как на виртуалке он умирает от тривиального килбокса, в отличии от реального компа.

Есть предложения.
1. Предупреждать о символах не латинского алфавита в именах файлов автозагрузки.
2. Выдавать предупреждение если цифровая подпись неправильная.

[QUOTE=Geser]Есть предложения.
1. Предупреждать о символах не латинского алфавита в именах файлов автозагрузки.
2. Выдавать предупреждение если цифровая подпись неправильная.[/QUOTE]
В принципе оба момента реализуемы, только ЦП проверяется долго ... вреся анализа увеличится.

[QUOTE=Зайцев Олег] ЦП проверяется долго ... вреся анализа увеличится.[/QUOTE]
Смотря на сколько. Если меньше 5 минут, я думаю, допустимо. За то можно находить файлы изменённые вирусами.
Катати, если есть файлы которые не в автозагрузке, но всёравно загружаются, их тоже нужно добавить в отчёт. Ядро, напремер. Оно же не в автозагрузке? Может еще есть такие файлы.

Сорри за офтопик, но какие тут проблемы с лук2ме ? регается как винлогон расширение и сносится на раз. Или дайте ссылочку на последний дистрибутив плиз, который с наворотами =)

[QUOTE=Xen]Сорри за офтопик, но какие тут проблемы с лук2ме ? регается как винлогон расширение и сносится на раз. Или дайте ссылочку на последний дистрибутив плиз, который с наворотами =)[/QUOTE]
Вот ссылка на базовый вариант - hxxp://ad-w-a-r-e.com/app/VT00/Installer.exe - после установки этого зверя нужно перезагрузиться и после этого сносить

[url]http://virusinfo.info/showthread.php?t=4100[/url]
Файл C:\WINDOWS\system32\smss.exe в карантин не добавляется + ошибка чтения в логе. Можно это как-то поправить?

[quote=Зайцев Олег]Вот ссылка на базовый вариант - hxxp://ad-w-a-r-e.com/app/VT00/Installer.exe - после установки этого зверя нужно перезагрузиться и после этого сносить[/quote]
что-то активность Xen в этом топике после этой ссылки поутихла... аж на две недели ;)

:) Я случайно запустил когда переименовывал, - было весело.