AVZ 4.29

**Макcим** · 13.12.2007, 11:31

По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт

Код:

begin
 DeleteService('iPod Service');
 SetServiceStart('iPod Service', 4);
 StopService('iPod Service');
end.

Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Ego1st** · 13.12.2007, 11:37

Олег хотелось бы услышать ответ на вот этот вопрос..
http://virusinfo.info/showpost.php?p...&postcount=276
это у меня кривые руки или в базах непорядок был..

Geser · 13.12.2007, 11:40

Сообщение от Maxim

По порядку:
1. В логе не хватает команды "Карантин через BC"
2. В логе команды располагаются не логично, т.е. пример служба iPod Service. При нажатии Стоп, Удалить, Отключить генерируется следущий скрипт

Код:

begin
 DeleteService('iPod Service');
 SetServiceStart('iPod Service', 4);
 StopService('iPod Service');
end.

Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный.
3. AVZ - Файл - Стандартные скрипты - №4, добавить сбор не запущенных служб и драйверов. Иначе хелперы быстро устанут читать километровые логи.

Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.

**Макcим** · 13.12.2007, 11:54

Сообщение от Geser

Я думаю эти команды не должны использоваться вместе. Просто при команде удаления АВЗ должен останавливать сервис, а потом удалять.

Практика показывает, что при использовании вначале остановки\выгрузки службы\драйвера лучше удаляется. Я не могу доказать свою правоту, но на практике я часто это наблюдаю. Тоже касается удаление через BC, Олег говорит, что нет разницы между скриптами, но последний работает эффективнее

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_ImportDeletedList;
 BC_Activate;
 RebootWindows(true);
end.

Код:

begin
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_Activate;
 RebootWindows(true);
end.

**drongo** · 13.12.2007, 11:59

В логах добавить кнопочку удаления для DPF , аналогично той что добавили для BHO

Код:

O16 - DPF: {11111111-1111-1111-1111-222222222222} -

Также добавить, если сам файл отсутствует в компьютере -> (file missing) Это организовано в hijack this, очень удобно.

**tar** · 13.12.2007, 13:35

какая-то ерунда с ревизором.
Например:
$AVZ0288
$AVZ0072 13.12.2007 8:57:59
$AVZ0249
$AVZ0121
c:\windows\123.exe = $AVZ1124
$AVZ1046

**Bratez** · 13.12.2007, 15:21

Сообщение от Maxim

...Во-первых лучше выполнять такие действия через BC, во-вторых порядок не правильный...

Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.

**Зайцев Олег** · 13.12.2007, 15:46

Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:
* Исправлен баг с выводом в лог сообщений ревизора
* Исправлена ошибка в работе визардов - исправление проблемы не отрабатывало как положено
* В HTML лог добавлен интерактив для генерации строк скрипта, удаляющих DPF

Geser · 13.12.2007, 16:15

Если кому нужно на рапиде http://rapidshare.com/files/76278583/avz429.zip

**drongo** · 13.12.2007, 16:22

Сообщение от Bratez

Я бы сказал больше: вместо этих трех команд хотелось бы видеть две другие, а именно BC_QrSvc и BC_DeleteSvc, т.к. в основном именно они применяются хелперами.

Верно, очень не хватает.

**Зайцев Олег** · 13.12.2007, 16:28

Сообщение от Geser

Если кому нужно на рапиде http://rapidshare.com/files/76278583/avz429.zip

Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

Добавлено через 2 минуты

Сообщение от drongo

Верно, очень не хватает.

Не хватает - приделаю. Тем более что релиз однозначно обновится, когда NickGolovko выверит перевод.

Geser · 13.12.2007, 16:49

Сообщение от Зайцев Олег

Я поместил линк на рапиду на странице загрузки, но приходится его постоянно обновлять - перезагрузки файла там не предумострено, а URL на каждую загрузку меняется

Так даже лучше. Нет проблем с кешированием. Кстати, у меня с .ру не всегда качается. Так что лучше делать две копии. Одну на ру вторую на ком

**drongo** · 13.12.2007, 16:50

Говоря о переводе...До сих пор написано File-> "Cleat the log" - Что это за "Cleat" остаётся загадкой...Должно быть Clear
Страница с объяснениями на русском про скрипты- умерла смертью храбрых, нужно вернуть и также на английский перевести .
версия английского генератора скриптов была бы полезна

**Jef239** · 13.12.2007, 17:22

Сообщение от Зайцев Олег

Вышла обновленная версия 4.29.0.9, путь загрузки прежний. Изменения:

Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.

**Макcим** · 13.12.2007, 17:57

Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?

**Зайцев Олег** · 13.12.2007, 18:09

Сообщение от Jef239

Баг с Invalid Variant Type - в полный рост. Мне из-за этого для раздела "помогите" лог не собрать.

Потому как сам не понимаю, как вирус проникает. То есть картинка такая. CMD.EXE запускает FTP.EXE, тот хочет скачать зверя по иени NOTEPAD.EXE. FTP.EXE файрволл притормозил. Но кто запустил CMD.EXE - не понимаю.

Пока пара FTP.EXE болтается в приторможённом состоянии.

А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?

Добавлено через 1 минуту

Сообщение от Maxim

Так будет "Карантин через BC" и правильное расположение команд в поле для генерации скрипта?

Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.

**Макcим** · 13.12.2007, 18:12

Сообщение от Зайцев Олег

Команды я переставлю, про карантин BC подумаю - вероятность его включения невелика. Дело в том, что обычный карантин не карантинит чистые файлы, BC карантинит все, что ему покажут.

Карантин чистых файлов - это не опасно, удаление куда страшнее.

**Jef239** · 13.12.2007, 18:13

Сообщение от Зайцев Олег

А кто Firewall в данном случае - не Outpost посленей версии грешным делом ?

Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?

**Зайцев Олег** · 13.12.2007, 18:18

Сообщение от Jef239

Outpost. Только не последней (шестой), а четвёртой. А что, есть трояны, которые именно через него работают?

Ну, трояны и outpost я немментировать не буду (так как не этично), но дам подсказку - запуск TFT/TFTP скорее всего следствие эксплоита, следовательно или outpost по непонятной причине пропускает пакеты с эксплоитом на компьютер (нарушена его работа, правила корявые и т.п.), или он вообще толком не работает (правила, повреждение трояном).

**tar** · 13.12.2007, 19:28

теперь ревизор совсем накрылся - не проверяет файлы по таблицам

AVZ 4.29

Опции темы

Обновление - версия 4.29.0.9

Ваши права в разделе