AVZ 4.29

[zerocorporated]

Косяк нашёл в avz: В диспетчере процессов если как показано на рисунку взять и перетащить разделение 2 таблиц само вверх, то нижняя таблица под верхнюю залазит что элементов управления нижней не видно.

[aintrust]

@ Jef239

Это что-то новенькое... =)

Процесс с PID 8 под Windows 2k (речь идет о ней, насколько я понял) - это System, а не System Idle Process (этот псевдо-процесс всегда имеет PID 0). Насчет черного цвета для процесса System - да, непорядок, неплохо бы это поправить, чтобы не сбивать с толку.

Только вот с карантином непонятно... Что у вас туда попало, какой именно файл?

@ zerocorporated

У меня такого эффекта не наблюдается, все отображается абсолютно корректно...

PS. "Спасибо" случайно нажал, рука дрогнула... Надеюсь, вы не в обиде? =) Пусть это "спасибо" будет просто за ваши заслуги в разделе "Помогите!", ОК?

[Зайцев Олег]

@ Jef239

Это что-то новенькое... =)

Процесс с PID 8 под Windows 2k (речь идет о ней, насколько я понял) - это System, а не System Idle Process (этот псевдо-процесс всегда имеет PID 0). Насчет черного цвета для процесса System - да, непорядок, неплохо бы это поправить, чтобы не сбивать с толку.

Только вот с карантином непонятно... Что у вас туда попало, какой именно файл?

@ zerocorporated

У меня такого эффекта не наблюдается, все отображается абсолютно корректно...

PS. "Спасибо" случайно нажал, рука дрогнула... Надеюсь, вы не в обиде? =) Пусть это "спасибо" будет просто за ваши заслуги в разделе "Помогите!", ОК?

Я знаю про карантин System, это мелкий баг ... Там все просто, AVZ не находит файл, и обращается к системе прямого чтения диска с запросом - и система читает ему кусок с диска, обычно это собсвенно содержимое папки с таким именем.

[NickGolovko]

А мой вопрос на предыдущей странице?

[Зайцев Олег]

Олег,

посмотрите, пожалуйста, на строку Автозапуска в протоколе, которая гласит

C:\WINDOWS\S

HJT показывает на ее месте

O4 - HKCU\..\Run: [Gpn] C:\WINDOWS\S?mantec\msdtc.exe

Из-за этого я забыл этот файл в скрипте пользователю. Подозреваю, что подобное бывало и ранее, но спрашиваю: фиксабельно?

На месте знака ? стоит какой-то непечатный символ, который AVZ воспринял как разделитель. В теории это можно поймать, я думаю как

[aintrust]

AVZ не находит файл, и обращается к системе прямого чтения диска с запросом - и система читает ему кусок с диска, обычно это собсвенно содержимое папки с таким именем.

Однако! =)

[Bratez]

Олег, посмотрите пожалуйста логи в этом сообщении:
http://virusinfo.info/showpost.php?p=162129&postcount=6
Чем объяснить, что в логе HJT видно:

O20 - Winlogon Notify: ovrscn - C:\WINDOWS\SYSTEM32\ovrscn.dll

а в AVZ - нет?

[aintrust]

А файл этот есть на диске?

[Макcим]

Есть запись в реестре, которую нужно показать в любом случае.

[Зайцев Олег]

Есть запись в реестре, которую нужно показать в любом случае.

Возможна ситуация, что файл чистый - тогда запись подавится

[Макcим]

Да не похоже ;( http://virusinfo.info/showthread.php?t=12651

[Romero]

объясните пожалуйста обозначение результата сканирования
вот цитирую часть лога

Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:CopyFileA (62) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E711B9->77ED6D7B
Перехватчик kernel32.dll:CopyFileA (62) нейтрализован
Функция kernel32.dll:CopyFileExA (63) перехвачена, метод ProcAddressHijack.GetProcAddress ->77EB1E41->77ED6D8A

Перехватчик kernel32.dll:CreateProcessW (100) нейтрализован
Функция kernel32.dlleleteFileA (125) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E7177A->77ED6DB7
Перехватчик kernel32.dlleleteFileA (125) нейтрализован
Функция kernel32.dlleleteFileW (126) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E71660->77ED6F1F

Перехватчик kernel32.dll:MoveFileW (602) нейтрализован
Функция kernel32.dllpenFile (615) перехвачена, метод ProcAddressHijack.GetProcAddress ->77E72B38->77ED6D4E
Перехватчик kernel32.dllpenFile (615) нейтрализован

>>> Внимание, таблица KiST перемещена ! (804FBCA0(284)->E18E3758(297))
Функция NtConnectPort (1F) перехвачена (8057FED0->F2A710D2), перехватчик D:\WINDOWS\System32\DRIVERS\cmdmon.sys, драйвер опознан как безопасный
Функция NtCreateFile (25) перехвачена (80556B0E->F2A73302), перехватчик D:\WINDOWS\System32\DRIVERS\cmdmon.sys, драйвер опознан как безопасный
Функция NtCreatePort (2E) перехвачена (805809A6->F2A7102C), перехватчик

D:\WINDOWS\System32\DRIVERS\cmdmon.sys, драйвер опознан как безопасный
Функция NtQueryInformationFile (97) перехвачена (8055841A->F29A627A), перехватчик D:\WINDOWS\System32\Drivers\klif.sys, драйвер опознан как безопасный
Функция NtSetContextThread (D5) перехвачена (805AB91E->F2A70BB4), перехватчик

я так и не понял, программа обнаружила Руткит или нет?

[rubin]

В ходе сканирования программа снимает хуки и следит за перехватами.

Тут у Вас перехват от cmdmon.sys, но читаем дальше:

Функция NtConnectPort (1F) перехвачена (8057FED0->F2A710D2), перехватчик D:\WINDOWS\System32\DRIVERS\cmdmon.sys, драйвер опознан как безопасный

Т.е. это не руткит.
Конкретно тут - cmdmon.sys от Comodo Firewall, klif.sys - от Антивируса Касперского

[Jef239]

@ Jef239
Процесс с PID 8 под Windows 2k (речь идет о ней, насколько я понял) - это System, а не System Idle Process (этот псевдо-процесс всегда имеет PID 0).

Угу, описался.

Только вот с карантином непонятно... Что у вас туда попало, какой именно файл?

О!!!!!!!!!! Полюбуйся!!!!!!!!!!!!!!!! ROTFL! Да, фактическая длина dta -8192 байта. А ты разве не тестер, что не заметил такое чудо?

Ошибка карантина файла, попытка прямого чтения (F:\WINNT\System)
 Карантин с использованием прямого чтения - ОК
Файл успешно помещен в карантин (F:\WINNT\System)

[InfectedFile]
Src=F:\WINNT\System
Infected=avz00104.dta
Virus=Скопирован автоматически из диспетчера процессов
QDate=19.12.2007 0:11:38
Size=0
MD5=EF8BE0A44DDA0FBFEC365549DE09BA97

[Jef239]

@ zerocorporated

У меня такого эффекта не наблюдается, все отображается абсолютно корректно...

Или у тебя в XP иначе, или ты не понял как смотреть. Передвигаешь сплитер вверх, за границу Constraints.MinHeight. Отпускаешь сплитер. Он уставливается по MinHeight. И видишь описанный эффект.
Кроме того, что описано, не виден сплитер.



Для визуального пропадания эффекта нужно сделать rearrange, например, путём максимизации или нормализации окна.

[Bratez]

Команда DeleteService не работает,
не только для активного, но и для отключенного сервиса/драйвера!

Подозрение возникло после использования в двух-трех темах в "Помогите". Провел эксперимент на собственном компьютере и убедился - не работает .

[santy]

Другой путь решения - это удаленный запуск AVZ с применением скрипта, который изучит систему и пошлет логи куда сказано. Там их изучат, и будет выполнен удаленный запуск AVZ с выполнением скрипта карантина и лечения. По сути идея идентична разделу "Помогите", но с автоматическим запуском - такое применяется у меня в конторе на всех ПК.

этот вариант, действительно можно реализовать, использую планировщик заданий, либо системный, либо встроенный в антивирусные программы... тем более, что через консоль управления (Enterprise Edition) можно любому компьютеру поставить задание удаленного запуска AVZ с получением лога исследования и с выполнением уже готового скрипта лечения.

Наконец третий вариант самый правильный - это хелпдеск, связанный с ядром AVZ. Т.е. ядро изучает систему, шлет данные хелпдеску (автоматом, через почту при помощи юзера и т.п.). Хелпдеск изучает их с помощью ИР, формирует скрипт (правильный по его мнению) и подключает хелпера. Хелпер изучает предложение ИР, вносит в случае надобности корректуры, далее скрипт идет юзеру, результат - хелпдеску и т.п. по кругу. В данном случае плюс в том, что явного удаленного управления нет, юзер может изучить скрипты и отсылаемые логи, и обмен идет не с ПК некого хелпера (который юзеру в принципе неизвестен), а с хелпдеском, размещенным у уважаемого AV вендора, выступающего в данном случае гарантом безопасности всей этой цепочки. В этой ситуации хелпдеск будет еще и защитой от "хелпера-терориста", так как блокирует явные ошибки в скриптах типа удаления легитимного ПО.

ИР??? Олег, а почему не встроить уже сейчас анализатор логов в редактор скриптов, например? А редактор скриптов включить бы в меню АВЗ. Как-то выпадает из поля зрения. Там ведь многое уже автоматизировано.... Тогда анализатор прошел бы хорошее тестирование... можно визуально видеть лог, и сопоставить его с генерируемым скриптом... а на сервере... конечно... логи складываются в базу данных и анализатор работает с вновь прибывающими в базу записями. Это хорошее решение.

[Bratez]

Меня всегда очень удивляет, почему вот эта, набившая оскомину служба:

O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)

никогда не отображается в логе AVZ - ни в прежних версиях, ни в новой?
Свежий пример тут:
http://virusinfo.info/showthread.php?t=15469

[Зайцев Олег]

Меня всегда очень удивляет, почему вот эта, набившая оскомину служба:

O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)

никогда не отображается в логе AVZ - ни в прежних версиях, ни в новой?
Свежий пример тут:
http://virusinfo.info/showthread.php?t=15469

Если служба реально существует, и у нее задан реальный тип автозапуска, то AVZ ее покажет. И файл покажет ... в виде:
с:\windows\system32\svchost.exe:ext.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

А вот хвост в реестре, тем более при отсутствии файла, AVZ не покажет

Добавлено через 6 минут

ИР??? Олег, а почему не встроить уже сейчас анализатор логов в редактор скриптов, например? А редактор скриптов включить бы в меню АВЗ. Как-то выпадает из поля зрения. Там ведь многое уже автоматизировано.... Тогда анализатор прошел бы хорошее тестирование... можно визуально видеть лог, и сопоставить его с генерируемым скриптом... а на сервере... конечно... логи складываются в базу данных и анализатор работает с вновь прибывающими в базу записями. Это хорошее решение.

А все дело в том, что для анализатора нужна стационарная база + много чего еще, это очень громоздакая технология. Очень мощная, но очень громоздкая. Под нее мощный сервак нужен, база и прочее

Добавлено через 2 минуты

Команда DeleteService не работает,
не только для активного, но и для отключенного сервиса/драйвера!

Подозрение возникло после использования в двух-трех темах в "Помогите". Провел эксперимент на собственном компьютере и убедился - не работает .

Да, баг подтверждаю, он появился в 4.29. Сейчас исправлю, апдейт будет сегодня-завтра (перевод уже выверен, остальные баги закрыты)

[Макcим]

Да, баг подтверждаю, он появился в 4.29. Сейчас исправлю, апдейт будет сегодня-завтра (перевод уже выверен, остальные баги закрыты)

Добавьте кнопочку "Карантин через BC". Очень прошу...