OSAM v5.0 - теперь находит и удаляет руткиты, скрывающие свои файлы!

[B]OSAM: Autorun Manager v5.0 - теперь находит и удаляет руткиты, скрывающие свои файлы![/B]
[B]11 сентября, 2009[/B]

Как мы сообщали ранее, несколько недель назад мы возобновили работу над первым публичным продуктом компании - [URL="http://www.online-solutions.ru/products/osam-autorun-manager.html"]OSAM: Online Solutions Autorun Manager[/URL].

Выпуск пятой версии этого продукта был очень сложным и трудным для нашей команды. По ряду различных причин выпуск новой версии приходилось несколько раз переносить. Но, благодаря общим усилиям, нам удалось собраться и выпустить новую версию нашего продукта.

Итак, встречайте [URL="http://www.online-solutions.ru/products/osam-autorun-manager.html"]OSAM: Online Solutions Autorun Manager v5.0[/URL]!

В 5-ой версии появилась уникальная возможность находить и удалять руткиты, скрывающие свои файлы на жестком диске. Применение руткит технологий скрытия ключей реестра и файлов на диске получают все большее распространение, и наша компания была просто обязана придумать и реализовать решение для поиска и удаления таких паразитических программ. И такое решение было реализовано! Благодаря алгоритмам разбора структур файловых систем разделов жестких дисков без использования механизмов операционной системы, [B]OSAM[/B] находит и удаляет почти все известные вирусы и паразитические программы.

Теперь [B]OSAM[/B] помимо поиска скрытых записей в реестре умеет находить и скрытые файлы. Это позволяет использовать программу для поиска и удаления самых новых и современных вирусов.

[CENTER][URL="http://www.online-solutions.ru/common/images/osam/conficker_removal.png"][IMG]http://www.online-solutions.ru/common/images/osam/conficker_removal_250.jpg[/IMG][/URL][/CENTER]

[CENTER][SIZE=1]Удаление червя Conficker (Downadup) одним кликом мыши при помощи OSAM[/SIZE][/CENTER]

Наши вирусные аналитики давно просили улучшить обработку назначенных заданий Windows (.job-файлов) и мы это сделали. В версии v5.0 мы принципиально улучшили метод получения информации. Благодаря этому изменению, поиск и удаление вирусов упростился, а качество и скорость добавления информации в вирусные базы возросли.

В связи с увеличением популярности нашего продукта среди пользователей операционной системы Windows Vista и Windows 7, мы существенно улучшили поддержку этих операционных систем.
Кроме этого, мы значительно переделаны многие механизмы сканирования и алгоритмы обработки данных, исправили известные ошибки и реализовали еще несколько полезных функций (см. полный лист изменений).

Уверены, что Вам понравится новая версия [URL="http://www.online-solutions.ru/products/osam-autorun-manager.html"]OSAM: Online Solutions Autorun Manager[/URL]. Ведь с ее помощью Вы всегда сможете поддерживать отличное самочувствие Вашего компьютера!

Очередной раз хотим поблагодарить [B]Юлию[/B] ([B]JM[/B]) за терпение, преданность компании и за веру в успех! Так держать!

Так же сообщаем всем пользователям [URL="http://www.online-solutions.ru/products/osss-security-suite.html"]OSSS: Security Suite[/URL], что за последние четыре недели помимо выпуска 5-ой версии [B]OSAM[/B], мы напряженно работали над технологией взаимодействия клиента с нашим сервером. Мы добились серьезных результатов и надеемся в самое ближайшее время предоставить версию с новыми возможностями.

Если Вы используете много разнообразных программы и хотели бы поучаствовать в бета-тестировании нашей новой технологии обеспечения безопасности, то присылайте заявку на участие по адресу: [EMAIL="[email protected]"][email protected][/EMAIL].

________


Быстрые переходы:
[LIST][*][URL="http://www.online-solutions.ru/products/osam-autorun-manager.html"]Описание продукта OSAM: Autorun Manager[/URL][*][URL="http://www2.online-solutions.ru/ru/download_file.php?p=65579"]Скачать OSAM v5.0 (переносимую версию)[/URL][*][URL="http://www.online-solutions.ru/products/downloads.html"]Скачать OSAM v5.0 (установочной пакет)[/URL][*][URL="http://forum.online-solutions.ru/viewtopic.php?t=97"]Онлайн сканер. Часто задаваемые вопросы и рекомендации[/URL][*][URL="http://forum.online-solutions.ru/viewtopic.php?t=141"]Статусы файлов[/URL][*][URL="http://forum.online-solutions.ru/viewtopic.php?t=105"]Доступ к заблокированным и скрытым файлам[/URL][*][URL="http://forum.online-solutions.ru/viewtopic.php?t=137"]Как удалять вирусы с помощью OSAM[/URL][/LIST]

Пиар, конечно, немного зашкаливает, но такова наша жизнь.

[QUOTE]В 5-ой версии появилась уникальная возможность находить и удалять руткиты, скрывающие свои файлы на жестком диске. Применение руткит технологий скрытия ключей реестра и файлов на диске получают все большее распространение, и наша компания была просто обязана придумать и реализовать решение для поиска и удаления таких паразитических программ. И такое решение было реализовано! Благодаря алгоритмам разбора структур файловых систем разделов жестких дисков без использования механизмов операционной системы, OSAM находит и удаляет почти все известные вирусы и паразитические программы.[/QUOTE]
Решил проверить сей факт на примере TR/PCK.Tdss.Z.1092 (Avira) и был весьма разочарован - после активации данного зловреда OSAM не может получить доступ ни к реестру, ни к файловой системе (MD кстати тоже) - зато данный зловред (его драйвер) успешно обнаруживается AVZ 4.32 при включение функции AVZPM и без проблем удаляется написанием соответствующего скрипта для лечения.

[QUOTE=Ingener;472323]Решил проверить сей факт на примере TR/PCK.Tdss.Z.1092.[/QUOTE]
Что касается TDSS - разговор отдельный. Про него уже здесь спрашивали и я давал ранее ответ.
[URL="http://virusinfo.info/showpost.php?p=300056&postcount=13"]Вот одно обсуждение[/URL], [URL="http://virusinfo.info/showpost.php?p=299644&postcount=8"]вот еще одно[/URL]. (Все эти обсуждения - больше года назад; по-моему было еще одно, новое, обсуждение с [b]vaber[/b]'ом -- буквально несколько месяцев назад, но я его почему-то сейчас найти не могу). Нашел - [url=http://www.anti-malware.ru/forum/index.php?showtopic=3648&view=findpost&p=74593]вот[/url].

К сожалению, из-за занятости по [B]OSSS[/B] пока нет возможности реализовать эти технологии. Но на базе [B]OSAM v5.0[/B] это сделать уже реально легко.

А насчет [B]AVZPM[/B] - сравнение просто некорректное, потому что реализация совершенно разная в техническом уровне. В таком ключе можно то же самое сказать, например, про запуск [B]OSSS[/B] на зараженной TDSS'ом машине. :>

[B]OSAM[/B] сканирует без использования драйверов. Это обычное RING3 приложение, обладающее такими функциональными возможностями, которые многим antirootkit-приложениям с драйверами не снились. :094: Просканировать [B]после[/B] загрузки (когда уже все активно), да еще и без использования драйвера (!), или просканировать "контролируя каждый шаг загрузки" (по сути, видя все, что загружается после тебя) - [i]несколько[/i] разные вещи и, соответственно, возможности.

____
P.S. Найти какой-нибудь изъян можно практически в любой программе. Более того, я знаю десятки изъянов и методов обхода упомянутых выше программ. Но я же не выставляю это в таком свете. Не пишу PoC по "обходу", не публикую их и т.п. (Кстати, что было сделано здесь ;)). И почему-то никто не обращает внимания на такую замечательную вещь, как отсутствие необходимости в helper'ах при работе с [b]OSAM[/b]'ом. Любой пользователь может нажать пару раз Next, посмотреть список "плохих" файлов, снять несколько галочек, перезагрузить компьютер, если потребуется и... Все! Больше положительных моментов и все будет хорошо. :beer:

[QUOTE=Online Solutions;472358]И почему-то никто не обращает внимания на такую замечательную вещь, как отсутствие необходимости в helper'ах при работе с [B]OSAM[/B]'ом. Любой пользователь может нажать пару раз Next, посмотреть список "плохих" файлов, снять несколько галочек, перезагрузить компьютер, если потребуется и... Все! Больше положительных моментов и все будет хорошо. :beer:[/QUOTE]
Интересно, если юзер не совсем понимает, что такое файл и чем он отличается от процесса (а таковых > 90%), то после удаления "плохих файлов" он отдаст 50$ ближайшей компьютерной скорой помощи - за переустановку системы :) В остальном по поводу парсера - любой уважающий себя руткит просто не даст открыть диск на прямое чтение :) (именно для того, чтобы его не поймали прямым разбором FS)

[QUOTE=Зайцев Олег;472432]Интересно, если юзер не совсем понимает, что такое файл и чем он отличается от процесса (а таковых > 90%), то после удаления "плохих файлов" он отдаст 50$ ближайшей компьютерной скорой помощи - за переустановку системы :)[/QUOTE]
Олег, в данном случае говорите неправильные вещи (возможно, Вы не видели как работает [B]OSAM[/B]). Потому что в качестве "плохих файлов" будут отмечены именно [B]плохие файлы[/B]. При включенных фильтрах (пара галочек в разделе "Filters") хорошие файлы вообще не видны пользователю. Соответственно, он видит 1-5 записей. Поэтому удалить "что-либо не то" просто [B]невозможно[/B].

А особых знаний и понимания "что такое процесс", "что такое файл" не нужно, когда в программе четко определены статусы: Malware, Unwanted, Suspicious и др. Знать что-то или думать о чем-то - не нужно. За пользователей уже все сделали мы.

[QUOTE=Зайцев Олег;472432]В остальном по поводу парсера - любой уважающий себя руткит просто не даст открыть диск на прямое чтение :) (именно для того, чтобы его не поймали прямым разбором FS)[/QUOTE]
К сожалению, заявление носит популистский характер.

Имея большой опыт по разработке и работе [B]AVZ[/B] с пользовательскими заражениями, общаясь с коллегами из ЛК, Вы должны прекрасно знать, сколько руткитов существуют и используются без FSD-фильтров (а точнее даже не так -- сколько руткитов реально используют FSD-фильтры). Более того, RING3-руткиты это вообще сделать не в состоянии по своей природе.

Что касается фразы "[I]руткит просто не даст открыть диск на прямое чтение[/I]" - она вообще некорректна с технической точки зрения. Кому не даст открывать диск? Всем приложениям? Зная статистику по [B]OSSS[/B], могу сказать, что многие программы после этого в принципе не будут работать в такой системе.

____
[b]P.S.[/b] Чтобы заявление не было таким голословным, попробуйте назвать хотя бы [b]10 (десять)[/b] таких руткитов, запрещающих открытие тома. Реально существующих. Имеющих определенную долю распространения. Не концепты (PoC), не лабораторные разработки. TDSS использовать нельзя, он уже назван. Хотя, можно даже его использовать. Тогда остается всего 9... Боюсь, не получится назвать.

[QUOTE=Online Solutions;472528]Олег, в данном случае говорите неправильные вещи (возможно, Вы не видели как работает [B]OSAM[/B]).[/QUOTE]
Видел - потому и говорю ... у меня нет желания спорить, и доказывать прописные истины, которые очевидны даже "киберхелперу" (вышеозначенная машина ведет в ходе изучения зверей статистику методов блокировки, типов руткитов и методов возможного карантина для обхода блокировки). Я просто удивился, увидев в описании технологии термины "уникальный" и т.п. - такую технологию применил уважаемый Руссинович, когда в 2004 году сделал свой антируткит, работавший именно по принципу сравнения того, что видно "напрямую" и через API

[QUOTE=Зайцев Олег;472600]Видел - потому и говорю ...[/QUOTE]
Раз видели, то можете назвать? :?

По остальному - к сожалению, Вы судите всего лишь по словам, не имея реального представления об особенностях реализации (как с технической точки зрения, так и с точки зрения применимости и использования продукта). :mda: Слова - есть слова, они - в этом плане ничто. А [B]OSAM[/B] при этом остается эффективным и удобным средством. :bb:

[QUOTE='Online Solutions;472528']P.S. Чтобы заявление не было таким голословным, попробуйте назвать хотя бы 10 (десять) таких руткитов, запрещающих открытие тома. Реально существующих. Имеющих определенную долю распространения. Не концепты (PoC), не лабораторные разработки. TDSS использовать нельзя, он уже назван. Хотя, можно даже его использовать. Тогда остается всего 9... Боюсь, не получится назвать.[/QUOTE]
Мне кажется для внедрения технологии отлавливающей таких зловредов - не нужно обязательно иметь n-ное количество зловредов использующих FSD-фильтр (запрещающих открытие тома) - достаточно чтобы хотя бы один зловред был хорошо распространён - а TDSS сейчас весьма распространён (его выкладывают на многих сайтах) - даже если посмотреть статистику VirusInfo за последнюю неделю - то мы увидим его в лидерах:
[QUOTE][B]ТОП за неделю[/B]

[U]1. Packed.Win32.TDSS.z 14 [/U]
2. Worm.Win32.AutoRun.gsk 8
3. Net-Worm.Win32.Kolab.dkg 8
4. Backdoor.Win32.SdBot.opi 6
5. Trojan.Win32.Delf.owo 6[/QUOTE]

[QUOTE=Online Solutions;472623]Раз видели, то можете назвать?[/QUOTE]
Назвать могу - но сначала Вам придется сказать, что кроме "а слабо ли" заставит меня проделать аналитическую работу и предоставить ее результаты ? :) Тем не менее публичные данные есть - вот например, [URL]http://www.securelist.com/analysis?pubid=204007645[/URL] - там в тексте есть ссылки на конкретные имена очень интерсных зверей ITW, в частности один из них заточен не просто на тупую блокировку открытия диска, а на маскировку от "прямочиталки".

[QUOTE=Ingener;472633]Мне кажется для внедрения технологии отлавливающей таких зловредов - не нужно обязательно иметь n-ное количество зловредов использующих FSD-фильтр (запрещающих открытие тома) - достаточно чтобы хотя бы один зловред был хорошо распространён - а TDSS сейчас весьма распространён (его выкладывают на многих сайтах) - даже если посмотреть статистику VirusInfo за последнюю неделю - то мы увидим его в лидерах:[/QUOTE]
... нерепрезентативной статистики virusinfo, и не более того. В количестве 14 штук (!). И ни одного Conficker'а, например. По-моему с этой статистикой все очевидно - она сама за себя говорит.

Что касается необходимости внедрения технологии, трудо- и время-затрат по ее реализации - конечно важно иметь представление о наличии и распространенности "продуктов", с которыми данная технология и должна бороться. (Ни сколько не хочу уменьшить "вес" [долю] TDSS, но и "увеличивать" его ни коим образом не позволю).

P.S. Вот [url=http://www.viruslist.com/en/analysis?pubid=204792073]эта статистика[/url] гораздо более репрезентативна. ;) Найдите там место TDSS. Найдите там место Conficker (Kido) (опять же - например). После этого все вопросы, думаю, будут сняты.

А есть ли наработки (технологии) в OSAM по борьбе с зловредами систематически проверяющими свои ключи для автозагрузки - например Worm/Joleee.dmu (Avira) (кстати почему его строки не были отмечены розовым цветом?)?

[QUOTE=Online Solutions;472658]
P.S. Вот [url=http://www.viruslist.com/en/analysis?pubid=204792073]эта статистика[/url] гораздо более репрезентативна. ;) .[/QUOTE]
Не факт.
Нужно знать сколько компьютеров подключено к KSN и всего к интернету.

[QUOTE=Ingener;472693]А есть ли наработки (технологии) в OSAM по борьбе с зловредами систематически проверяющими свои ключи для автозагрузки - например Worm/Joleee.dmu (Avira) (кстати почему его строки не были отмечены розовым цветом?)?[/QUOTE]
Да, для таких случаев (кстати, не всех) - удаление через драйвер. 8)

[B]Settings[/B] -> [B]Scanner[/B] -> "[x] Disable ojects using the driver"
(и другие дополниетльные настройки там же)

После беседы в этой теме, создалось яркое впечатление, что все, кто здесь обсуждают [B]OSAM[/B], даже не запускали его ни разу! :O

[SIZE=1][COLOR=#666686][B][I]Добавлено через 3 минуты[/I][/B][/COLOR][/SIZE]

[QUOTE=herzn;472704]Не факт.
Нужно знать сколько компьютеров подключено к KSN и всего к интернету.[/QUOTE]
Это шутка? :? Или сарказм? :O
(Поясню: там в статистике этой есть столбец с числом [b]инфицированных[/b] компьютеров; более того, учитываются разновидности malware, то есть некоторые позиции неплохо было бы еще просуммировать)

На всякий случай: в моем сообщении было написано, что она (статистика), очевидно, "более репрезентативна", чем статистика на virusinfo с 1033 ([B]одной тысячей тридцатью тремя[/B]) вирусами [B]за месяц[/B] (!)

[SIZE=1][COLOR=#666686][B][I]Добавлено через 11 минут[/I][/B][/COLOR][/SIZE]

[QUOTE=Зайцев Олег;472644]Назвать могу - но сначала Вам придется сказать, что кроме "а слабо ли" заставит меня проделать аналитическую работу и предоставить ее результаты ? :)[/QUOTE]
Могу лишь сказать, что только личное желание отвечать за те слова, которые говорятся и/или признавать ошибки. Если этого нет - ничего не заставит, конечно.

[QUOTE=Зайцев Олег;472644]Тем не менее публичные данные есть - вот например, [URL]http://www.securelist.com/analysis?pubid=204007645[/URL] - там в тексте есть ссылки на конкретные имена очень интерсных зверей ITW, в частности один из них заточен не просто на тупую блокировку открытия диска, а на маскировку от "прямочиталки".[/QUOTE]
Вы указали ссылку, но может быть назовете эти malware поименно? Если несложно. Потому что не все именно поняли на что именно Вы указываете. Не хотелось бы ошибиться.

Напомню: "[I]уважающие себя руткиты, не дающие открыть диск на прямое чтение[/I]". (практически цитата; 10 шт., включая TDSS)

[QUOTE=Online Solutions;472711]Да, для таких случаев (кстати, не всех) - удаление через драйвер. 8)

[b]Settings[/b] -> [b]Scanner[/b] -> "[x] Disable ojects using the driver"
(и другие дополниетльные настройки там же)[/QUOTE]
Ок - после изменения установок по умолчанию - поставил чтобы всегда удалял через драйвер - данный зловред был окончательно убит. Но всё же остался вопрос: почему его строки не были отмечены розовым цветом? Как рядовой пользователь понял бы что это зловред?

[QUOTE=Online Solutions;472711]После беседы в этой теме, создалось яркое впечатление, что все, кто здесь обсуждают [b]OSAM[/b], даже не запускали его ни разу! :O
[/QUOTE]
Я как раз таки проверяю [b]OSAM[/b] на различных зловредах на виртуальной машине - поэтому вот эта фраза явно неуместна...

[QUOTE=Ingener;472721]Ок - после изменения установок по умолчанию - поставил чтобы всегда удалял через драйвер - данный зловред был окончательно убит. Но всё же остался вопрос: почему его строки не были отмечены розовым цветом? Как рядовой пользователь понял бы что это зловред?[/QUOTE]
Потому что [B]OSAM[/B] пока, к сожалению или [I]счастью[/I], не обладает искусственным интеллектом, как этому подвержены некоторые программы -- [B]OSAM[/B]'у все еще требуется внимание человека. Просто этот запрос еще не был обработан нашим вирусным аналитиком. Но зато, уверен, эти файлы красовались "серыми" (неизвестными) среди остальных - "зеленых" (доверенных). Рядовые пользователи обычно периодически пересканируются через некоторое время и дожидаются своих результатов - вместо статуса "Unknown" приходит "Malware", в случае, если это вредоносная программа. Либо (что отдельно заслуживает уважения) удаляют подобные "серые" файлы, когда они дополнительно имеют другие "настораживающие" статусы, выданные [b]OSAM[/b]'ом. (Например, что запись в реестре скрыта, что файл скрыт, или что в файле нет информации о производителе, или что файл эксклюзивно заблокирован).

[b]Дополнение[/b]: Подсказали, что возможно Вы говорили про подсветку всей строки, а не уровня опасности? Если об этом, то не выделено "розовым" - потому что файл не заблокирован эксклюзивно (по крайней мере, для [b]OSAM[/b] :)) или не выделено "красным" (Hidden entries, rootkit activity) - потому что этот файл не является скрытым и запись в реестре его не скрыта. Поэтому у него обычный статус "локальной" проверки.

У пользователя же могут быть сконфигурированы фильтры таким образом:

[IMG]http://forum.online-solutions.ru/screens/osam-filters-vi.jpg[/IMG]

(Пометил светло-красным те, на которые стоит обратить внимание; отключив все остальное, Вы не увидите ни одной записи; в данном случае есть смысл оставить еще и "Not Checked" и "Unknown" - на нормальных компьютерах они могут вызывать определенное подозрение).

Рекомендую дополнительно ознакомиться со следующими материалами:
- [URL="http://forum.online-solutions.ru/viewtopic.php?t=97"]подробнее о фильтрах и работе онлайн сканера[/URL],
- [URL="http://forum.online-solutions.ru/viewtopic.php?t=141"]подробнее о статусах файлов[/URL].

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[QUOTE=Ingener;472721]Я как раз таки проверяю [B]OSAM[/B] на различных зловредах на виртуальной машине - поэтому вот эта фраза явно неуместна...[/QUOTE]
Это приятно, что Вы используете [b]OSAM[/b]. Но это так же и означает, что, к сожалению, мы не смогли донести до наших пользователей всего спектра возможностей и мощности данного продукта. :( (Например, Вы не знали про удаление через драйвер, к сожалению -- тому наша вина).

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Скопирую свой вчерашний ответ с нашего форума, чтобы, возможно, снять многие вопросы.

[quote="Online Solutions"]Попробую чуть подробнее пояснить принцип работы [B]OSAM[/B], тогда такие вопросы просто отпадут. Каждый запрос от пользователя рассматривается [B]индивидуально[/B]. То есть по сути - это как личный визит к "врачу" со всеми своими проблемами. Запросы пользователей складываются в базу, с которой работают аналитики, просматривая каждый такой запрос, разбираясь с каждым неизвестным файлом. В том случае, когда антивирус может детектировать (например) только дроппер или какое-то отдельное (главное) тело), аналитики "глазами" [B]OSAM[/B] видят всю систему пользователя, и это позволяет удалять не часть, а все вредоносные компоненты, которые тем или иным образом влияют на систему пользователя.

Продолжая пример с врачом: мы можем быть и хирургом и терапевтом, но решаем вопрос комплексно. Находим, что "болит горло", ищем причину, смотрим, что еще затронуто кроме "горла", а потом за один раз всю заразу уничтожаем, а не так, что вылечили "горло", но из-за горла заболела голова, а голову не вылечили.

Так же и пользователям нужно относиться к этому, как к визиту к врачу. Приходя к врачу Вы должны быть с ним откровенны во всем, не рассчитывая на свои знания и опыт (скрывая что-то от него или недоговаривая), в противном случае он может упустить какой-то важный момент и поставить либо неправильный диагноз, либо прописать не полный курс лечения. Здесь - так же. Если Вы рассчитываете на свой опыт и не отсылаете какой-нибудь файл, полагая, что он "нормальный и так", то это примерно как "про это говорить не буду, вылечусь сам". Нужно доверять профессионалам в их области.

Это [B]индивидуальный[/B] подход к каждому пользователю, и поэтому он просто на порядки качественнее.[/quote]

[QUOTE=Online Solutions;472711]
Это шутка? :? Или сарказм? :O
(На всякий случай: там в статистике этой есть столбец с числом [b]инфицированных[/b] компьютеров; более того, учитываются разновидности malware, то есть некоторые позиции неплохо было бы еще просуммировать)
На всякий случай: в моем сообщении было написано, что она (статистика), очевидно, "более репрезентативна", чем статистика на virusinfo с 1033 ([B]одной тысячей тридцатью тремя[/B]) вирусами [B]за месяц[/B] (!)
[/QUOTE]
Шутка.
Если в случае с выборкой virusinfo вообще нельзя употреблять слово "репрезентативность", то в случае с KSN есть такое сомнение, близкое к уверенности.
Можно говорить только об "интересности" или "любопытности" данных.:)

Протестировал OSAM на приличной коллекции различных зловредов - большинство он находит (и даже выделяет их строки соответствующим цветом) - но я всё же не увидел лично для себя ничего нового и революционного - сможет ли например в будующем OSAM полностью заменить хелперов - как вы думаете? Кстати после удаления зловредов OSAM проводит чистку в системе от последствий их деятельности или всё же для этого придётся воспользоваться другими утилитами?

[QUOTE=Ingener;472757]Протестировал OSAM на приличной коллекции различных зловредов - большинство он находит (и даже выделяет их строки соответствующим цветом) - но я всё же не увидел лично для себя ничего нового и революционного - сможет ли например в будующем OSAM полностью заменить хелперов - как вы думаете?[/QUOTE]
Не нужно совершать революции. Нужно просто хорошо выполнять свою работу. :clapping:

Что касается "заменить хелперов" - такой цели не ставилось. Изначально этот продукт создавался, наоборот, [B]в помощь[/B] хелперам. Когда они получают не только "какой-то список файлов" с пользовательской системой, но и сразу же могут не просматривать те файлы, которые однозначно доверенные, более того - сразу же увидеть отмеченными вредоносные записи или файлы.

Возможно, не все знают, но в [B]OSAM[/B] есть функция "Save Log", сохраняющая лог сканирования. Поддерживающая три формата записи: текстовый (для удобства посылки по почте или постинга на форум), html (более удобный в визуальном плане) и бинарный (только для специалистов, хелперов - в этом случае в "слепке" данных содержится [B]абсолютно все[/B], что видит на своем компьютере пользователь, запустив [B]OSAM[/B]).

Соответственно, такая реализация создала возможность пользователям... самим, без помощи хелперов, разбираться со своими проблемами. Потому что здесь в роли "универсального" хелпера выступает наша компания, наши вирусные аналитики. Пользователю достаточно просканироваться, снять галочки с ненужных записей, перезагрузить компьютер - и все.

[QUOTE=Ingener;472757]Кстати после удаления зловредов OSAM проводит чистку в системе от последствий их деятельности или всё же для этого придётся воспользоваться другими утилитами?[/QUOTE]
В существующих сейчас версиях это еще не реализовано. Хотя планировалось с самого начала реализации продукта. Просто приоритет реализации этих возможностей значительно ниже тех, что были сделаны сейчас. Да и ориентация на проект [B]OSSS[/B] отняла очень много сил и времени.

[b]Обновлено[/b]: Кстати, а что именно Вы имели в виду под "чисткой"? Возможно, мы просто о разных вещах говорим.

А на русском не планируется. Интересная программа....

В принципе на русском прога не нужна,потому что и на английском там вполне понятно.
Был случай с одним компом,который мне как-то попался.AVZ никакой скрипт не мог вирус не то,что в карантин взять,убить не в силах был.А Осамом я быстро ликвидировал вирус.А ведь над тем вирусом потел не только я и хелперы тоже.Не могу тот момент никак забыть.Одним словом везде свои преимущества.

A как он взаимодействует со штатным антивирусом, к примеру с тем же KIS?

[QUOTE='Online Solutions;472771']Обновлено: Кстати, а что именно Вы имели в виду под "чисткой"? Возможно, мы просто о разных вещах говорим.[/QUOTE]
Под "чисткой" я имею ввиду хотя бы восстановление настроек системы (изменённых зловредами) - конкретные пункты можно посмотреть в AVZ: Файл - Восстановление системы.

[QUOTE=Ingener;472838]Под "чисткой" я имею ввиду хотя бы восстановление настроек системы (изменённых зловредами) - конкретные пункты можно посмотреть в AVZ: Файл - Восстановление системы.[/QUOTE]
Понятно. Тогда верно друг друга поняли.
Наиболее критичные вещи (например, ассоциации) восстанавливаются автоматически при удалении вирусов, которые имеют к этому вопросу отношение. То же самое с удалением вредоносных программ из LSP (автоматически перестраиваются цепочки провайдеров). Про другие вещи сказал выше (до этого).

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[QUOTE=senyak;472784]А на русском не планируется.[/quote]
Планируется. Но конкретную дату, к сожалению, не назову.

[QUOTE=senyak;472784]Интересная программа....[/QUOTE]
Спасибо! :beer:

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

[QUOTE=SDA;472811]A как он взаимодействует со штатным антивирусом, к примеру с тем же KIS?[/QUOTE]
Никак. Они друг с другом никак не взаимодействуют и друг на друга не реагируют. [b]OSAM[/b] может только [i]помочь[/i] KIS/KAV удалить те вирусы, с которыми он не справляется (защищающие друг друга, с самозащитой и т.п.) или еще не находит (нет в базах). Например, как [url=http://forum.online-solutions.ru/viewtopic.php?t=131]в этом случае с WinNT32, WinNT64 ("Mutant")[/url]. 8)

[QUOTE]Например, как в этом случае с WinNT32, WinNT64 ("Mutant")[/QUOTE]

Не подскажете какой там Касперский? :)

[QUOTE=Гриша;472963]Не подскажете какой там Касперский? :)[/QUOTE]
Тема старая (август 2008 года), думаю и Касперский соответствующий времени темы. Я не большой специалист по датам и версиям Касперского, может кто-то по виду окон может определить (там есть скриншоты). 7-ая версия, наверно? (не меньше - точно).

У меня возникло несколько предложений по [B]OSAM[/B]:
1) Добавить проверку CRC при запуске программы, и при обнаружение что файл osam.exe изменён выводить предупреждение пользователю о наличие в системе файлового вируса.
Естественно в логах тоже добавить соответствующий пункт.
2) Добавить мастер поиска и устранения проблем, который сканировал бы систему и выводил список рекомендуемых для исправления проблем, например:
- разрешён автозапуск (со сменных носителей, с HDD, с сетевых дисков)
- модифицирован файл hosts
- заблокирован редактор реестра (диспетчер задач)
- изменены настройки загрузки в SafeMode
- и т.д.
Чтобы пользователь просто мог поставить галочки на конкретных пунктах в списке и решить свои проблемы.
3) Добавить контроль автозагрузки зловреда путём самокопирования в корень диска C и создания авторана.
Что вы думаете об этом?

А я скачал переносную версию, он там че то долго искал и потом выдал список. Обнаружил драйвер от одной программы, которой у меня давно нет - удалил. Правда дальше изучить прогу не было времени. Седня еще гляну

Я всё гоняю [B]OSAM[/B] на различных зловредах на виртуалке и заметил следующую недоработку - рассмотрим её на примере new2.exe: [url]http://www.virustotal.com/ru/analisis/b0f15e9ceef683b29804d9e3456205aaea2cd382418d4b0e9ca11f8306b6598d-1253745248[/url]
А именно данный зловред вносит следующие изменения в системе:
[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe tftp.nfo beforegllav[/CODE]
Вот как это будет выглядить в [B]OSAM[/B]:
[CODE]HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell" C:\Windows\system32\tftp.nfo File found, but it contains no detailed information
"Shell" beforegllav File not found[/CODE]
Если пофиксить эти строки в [B]OSAM[/B] останется следующее:
[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe[/CODE]
Тушку зловреда выслал вам на [email][email protected][/email]
Архив: virus.zip
Пароль: virus

Спасибо.

Но если речь идет о файле system.ini, то он актуален только на системах Windows 9x, а на NT-based операционных системах он [b]не используется[/b]. ([b]OSAM[/b] не предназначен для Windows 9x, как устаревших ОС).

[size="1"][color="#666686"][B][I]Добавлено через 1 час 1 минуту[/I][/B][/color][/size]

[QUOTE=senyak;473195]А я скачал переносную версию, он там че то долго искал и потом выдал список. Обнаружил драйвер от одной программы, которой у меня давно нет - удалил. Правда дальше изучить прогу не было времени. Седня еще гляну[/QUOTE]
Советую ознакомиться с [URL="http://forum.online-solutions.ru/viewtopic.php?t=97"]принципами работы онлайн-сканера[/URL] и [URL="http://forum.online-solutions.ru/viewtopic.php?t=141"]подробным описанием статусов[/URL] (на русском языке :)), чтобы знать как наиболее эффективно его использоать. :beer:

[QUOTE='Online Solutions;473792']Но если речь идет о файле system.ini, то он актуален только на системах Windows 9x, а на NT-based операционных системах он не используется. (OSAM не предназначен для Windows 9x, как устаревших ОС).[/QUOTE]
Вы не совсем правильно меня поняли - у меня на виртуалке Vista стоит.
Речь идёт о ключе запуска Explorer:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe"[/CODE]
Зловред вносит туда следующие изменения:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe rundll32.exe tftp.nfo beforegllav"[/CODE]
После лечения [B]OSAM[/B] будет:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe rundll32.exe"[/CODE]
К чему это приведёт думаю понятно.
Т.е. [B]OSAM[/B] почему то забыл удалить из значения параметра лишнюю запись rundll32.exe

[QUOTE=Ingener;473837]После лечения [B]OSAM[/B] будет:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe rundll32.exe"[/CODE]
К чему это приведёт думаю понятно.
Т.е. [B]OSAM[/B] почему то забыл удалить из значения параметра лишнюю запись rundll32.exe[/QUOTE]
Эта проблема известна (связана она [B]только[/B] с разбором параметра "Shell" и с одной его особенностью). Перед релизом v5.0 исправить ее не успели, к сожалению. :(

Если не будет удалена эта запись, ничего страшного не произойдет. Просто "мусор", который, конечно, нужно чистить. На данный момент как решение - можно просто еще раз произвести удаление, но уже записи о запуске [B]rundll32.exe[/B].

Именно по поводу этой проблемы я Вам в своем первом сообщении сказал спасибо. :)

[QUOTE='Online Solutions;473848']Если не будет удалена эта запись, ничего страшного не произойдет.[/QUOTE]
Простой пользователь может испугаться увидев чёрный рабочий стол (так как explorer.exe не будет запущен) - и может получить моральную травму :)
Для продвинутого пользователя поправить это конечно дело 5 сек.

[QUOTE=Ingener;473851]Простой пользователь может испугаться увидев чёрный рабочий стол (так как explorer.exe не будет запущен) - и может получить моральную травму :)
Для продвинутого пользователя поправить это конечно дело 5 сек.[/QUOTE]
Таких последствий не будет.

Запустится explorer.exe, а так же rundll32.exe без параметров. Последний сразу же выйдет, так как делать ему нечего. Пользователь вообще ничего не заметит. И даже не узнает ни о каком "мусоре".

То есть все будет работать нормально.

P.S. Кстати, Вы точно v5.0 используете (от 19 сентября)?

[QUOTE='Online Solutions;473857']Таких последствий не будет.[/QUOTE]
Такие последствия я наблюдал у себя на виртуальной машине - причём перепроверял всё по несколько раз... Мне ещё раз проверить или может ваши тестёры это проверят?

[QUOTE='Online Solutions;473857']P.S. Кстати, Вы точно v5.0 используете (от 19 сентября)?[/QUOTE]
Я использую:
Версия файла: 5.0.11922.0
Версия продукта: 5.0.11926.0

[QUOTE=Ingener;473859]Такие последствия я наблюдал у себя на виртуальной машине - причём перепроверял всё по несколько раз... Мне ещё раз проверить или может ваши тестёры это проверят?[/quote]
Мы проверили на всякий случай на практике (перед тем как отвечать). Теоретически не должно проявляться таких проблем. На практике - так же не проявилось. (Тестовая Windows XP SP1, хотя значения это иметь не должно). Удаляли без драйвера, хотя и это влиять не должно.

[QUOTE=Ingener;473859]Я использую:
Версия файла: 5.0.11922.0
Версия продукта: 5.0.11926.0[/QUOTE]
Да, последняя версия.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Ingener;473108]У меня возникло несколько предложений по [B]OSAM[/B]:
1) Добавить проверку CRC при запуске программы, и при обнаружение что файл osam.exe изменён выводить предупреждение пользователю о наличие в системе файлового вируса.[/QUOTE]
В этом прямой необходимости, думаю, нет. (По крайней мере, я ее объективно сейчас не вижу). Если вирус активен на системе, то он заражает и системные файлы (которые показывает [B]OSAM[/B]), и файлы в автозагрузке. Соответственно, он будет выявлен при сканировании через онлайн-сканер (статус "Infected", см. [URL="http://forum.online-solutions.ru/viewtopic.php?t=141"]подробнее о статусах[/URL]).

[QUOTE=Ingener;473108]Естественно в логах тоже добавить соответствующий пункт.
2) Добавить мастер поиска и устранения проблем, который сканировал бы систему и выводил список рекомендуемых для исправления проблем, например:
- разрешён автозапуск (со сменных носителей, с HDD, с сетевых дисков)
- модифицирован файл hosts
- заблокирован редактор реестра (диспетчер задач)
- изменены настройки загрузки в SafeMode
- и т.д.
Чтобы пользователь просто мог поставить галочки на конкретных пунктах в списке и решить свои проблемы.[/QUOTE]
Это хорошее предложение, спасибо. Мы думали изначально о подобных вещах, но сконцентрировались на реализации более технических аспектов поиска и удаления. Поэтому пока этого нет. :) :( С продолжением развития [B]OSAM[/B] постараемся понемного добавлять и такие возможности.

[QUOTE=Ingener;473108]3) Добавить контроль автозагрузки зловреда путём самокопирования в корень диска C и создания авторана.
Что вы думаете об этом?[/QUOTE]
"Авторана" = autorun.inf или что? Если последнего - то он в списке на добавление среди еще нескольких десятков ключей в реестре. :D Дату большого обновления по ключам (объектам автозапуска) назвать пока не могу.

Решил ещё протестировать как [B]OSAM[/B] восстанавливает стандартный ключ запуска проводника:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="explorer.exe"[/CODE]
Тестирование проводилось на примере Trojan-Dropper.Win32.Smser.ed (Kaspersky) - одним из его действий является внесение следующих изменений:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="C:\Windows\svvghost.exe"[/CODE]
Вот как это выглядит в [B]OSAM[/B]:
[CODE]HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell" C:\Windows\svvghost.exe File found, but it contains no detailed information [/CODE]
Вот что останется после лечения [B]OSAM[/B]:
[CODE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"=""[/CODE]
Коментировать что будет после перезагрузки думаю не нужно.
И при повторном сканирование [B]OSAM[/B] эту ошибку не находит.
Нужно добавить функцию восстановления стандартного ключа запуска проводника!!!
Тушку зловреда выслал вам на [email][email protected][/email]
Архив: Trojan-Dropper.Win32.Smser.ed.zip
Пароль: virus

[QUOTE=Ingener;474917]Решил ещё протестировать как [B]OSAM[/B] восстанавливает стандартный ключ запуска проводника:
[...]
Коментировать что будет после перезагрузки думаю не нужно.
Нужно добавить функцию восстановления стандартного ключа запуска проводника!!![/QUOTE]
Спасибо за замечание, конечно. Но хочу все-таки обратить Ваше внимание на последний абзац этого сообщения:
[URL]http://virusinfo.info/showpost.php?p=472771&postcount=19[/URL]
и первый абзац этого сообщения:
[URL]http://virusinfo.info/showpost.php?p=472888&postcount=24[/URL]

Пока какие-то подобные вещи не реализованы, мы стараемся вставлять в комментарии к результатам [b]OMS[/b] ([b]Online Malware Scanner[/b]) текстовые рекомандации или ссылки на рекомендации по корректному удалению/восстановлению там, где это может потребоваться.

[QUOTE=Ingener;474917]Тушку зловреда выслал вам на [EMAIL="[email protected]"][email protected][/EMAIL]
Архив: Trojan-Dropper.Win32.Smser.ed.zip
Пароль: virus[/QUOTE]
Спасибо!

Следует иметь в виду, что в русскую версию установщика OSAM встроена панель инструментов Яндекса. Причем галочка, предлагающая установить эту панель, стоит по умолчанию. На мой взгляд, встраивание подобных довесков в программы, которые позиционируются разработчиками как инструменты безопасности, недопустимо. Я, разумеется сразу убрал галочку, поскольку внимательно отношусь к установке любого ПО.

Если кто-то будет использовать OSAM, необходимо иметь в виду следующее:
1. Как я писал, в русскую версию установщика OSAM встроен Яндекс Бар. Видимо, русская версия установщика сделана специально для того, чтобы позволить компании заработать некоторую сумму денег за счет не слишком внимательных пользователей. Сама программа по непонятным причинам до сих пор не поддерживает руский язык. Поэтому лучше использовать [URL=http://www2.online-solutions.ru/ru/download_file.php?p=65579]портативную версию OSAM[/URL], поскольку в ней нет лишних довесков.
2. Как писал на AM официальный представитель Online Solutions, некоторые антивирусы ошибочно детектируют файлы программы как вредоносные. Поэтому лучше внести всю папку с программой в список исключений антивируса.