Бета-тестирование AVZ 3.50

[Зайцев Олег]

Конечно! И все мы в той или иной мере (кто поиском багов, кто советом, кто какой-то свежей мыслью и т.д.) этому способствуем!

Ну, я думаю с поиском руткитов - это как с поиском вирусов - когда я читаю в очередном обзоре, что некий антивирь X может поймать 99.99% заранее неизвесных вирусов/троянов, это вызывает не более как улыбку - всегда можно найти некую методику, которую этот антивирь не изловит. То-же самое с руткитом ... тут имхо нужно давить методы, имеющие распространение по мере их появления.

to Geser

Тут возник у меня вопрос. На работе стоит антивирус. Понятно что этот антивирус (Trend Micro) перехватывает работу с диском, однако АВЗ никаких перехватов не находит. Почему?

Есть две базовые методики перехвата операций с файлами - перехват на уровне функций, вызываемых через SDT (или адрес в KiST, или первые команды кода функции), или написание драйвера-фильтра. Последнее вроде-бы даже как более корректно ... Так вот драйвера-фильтры AVZ пока не ловит, и неизвестно, будет ли ловить на автомате .... а вот сам драйвер от Trend Micro "поймать" легко - он будет в списке модулей пространства ядра

[Geser]

Так вот драйвера-фильтры AVZ пока не ловит, и неизвестно, будет ли ловить на автомате ....

Почему нет?

[aintrust]

Ну, я думаю с поиском руткитов - это как с поиском вирусов - когда я читаю в очередном обзоре, что некий антивирь X может поймать 99.99% заранее неизвесных вирусов/троянов, это вызывает не более как улыбку - всегда можно найти некую методику, которую этот антивирь не изловит. То-же самое с руткитом ... тут имхо нужно давить методы, имеющие распространение по мере их появления.

Кстати, внутренние тесты Лаборатории Касперского показывают, что т.н. "проактивная защита" (т.е. использование различных методов предупреждения внедрения вирусов в систему путем резидентного мониторинга) имеет эффективность более 90% на заранее неизвестных вирусах! Это было одной из причин внедрения такого модуля в новый Kaspersky KIS2006, первая бета которого должна появится к середине июня. Про 99.99% я, честно говоря, ни у кого не видел.

...а вот сам драйвер от Trend Micro "поймать" легко - он будет в списке модулей пространства ядра

А если ты заранее не знаешь его имени или времени появления в системе, или он не содержит в себе никакой идентификации, как в драйверах от Alcohol или Daemon Tools? И "вычисляй" его потом среди сотни драйверов!!! Тогда уже лучше как минимум иметь под руками монитор типа Process Guard или PrevX Pro и ловить это "добро" на этапе пролезания в систему!

[Lucefer]

Во-первых, почему-то оказалась не реализована очевидная вещь:
в стринг-гриде вы отображаете список файлов (например "Модули пространства ядра"). Почему бы не сделать контекстное меню (по правой клавиши мыши) со следующими пунктами:
1. Скопировать имя файла
2. Google... (поиск в google по имени файла. Довольно популярная команда, использутеся от Starter'a до продуктов SysInternals)
3. Свойства. (показать свойства этого файла)

Во-вторых: Аналогичная возможность, в списках процессов с управлением "видимостью/невидимостью" окон. Очень полезно, и совершенно не трудоёмко в реализации: дескриптор окна у вас уже есть, достаточно по меню или по клику на ячейке таблицы с видимостью выполнить ShowWindow(Handle, SW_RESTORE)

Т.е. мне кажется надо позиционировать программу не только для "чайников" - запустил и забыл, но и как расширенный инструмент для более опытных. Конечно в TaskInfo превращать её не надо, но некоторые похожие функции были бы очень к месту.
А вообще программа очень даже не плохая. Главное что бы у вас не угасал энтузиазм и вы продолжали её развивать.


ЗЫ. По поводу сканирования.
Является ли \newdotnet\newdotnet6_38.dll вирусом Spy.NewDotNet, как пишет ваша программа? На сколько мне известно это модуль расширяет пространство имен интернет "создавая" короткие синонимы для для длинных адресов.

--------------------------------------------------------------------
ICQ:239279945

[Зайцев Олег]

Во-первых, почему-то оказалась не реализована очевидная вещь:
в стринг-гриде вы отображаете список файлов (например "Модули пространства ядра"). Почему бы не сделать контекстное меню (по правой клавиши мыши) со следующими пунктами:
1. Скопировать имя файла
2. Google... (поиск в google по имени файла. Довольно популярная команда, использутеся от Starter'a до продуктов SysInternals)
3. Свойства. (показать свойства этого файла)

Во-вторых: Аналогичная возможность, в списках процессов с управлением "видимостью/невидимостью" окон. Очень полезно, и совершенно не трудоёмко в реализации: дескриптор окна у вас уже есть, достаточно по меню или по клику на ячейке таблицы с видимостью выполнить ShowWindow(Handle, SW_RESTORE)

Т.е. мне кажется надо позиционировать программу не только для "чайников" - запустил и забыл, но и как расширенный инструмент для более опытных. Конечно в TaskInfo превращать её не надо, но некоторые похожие функции были бы очень к месту.
А вообще программа очень даже не плохая. Главное что бы у вас не угасал энтузиазм и вы продолжали её развивать.


ЗЫ. По поводу сканирования.
Является ли \newdotnet\newdotnet6_38.dll вирусом Spy.NewDotNet, как пишет ваша программа? На сколько мне известно это модуль расширяет пространство имен интернет "создавая" короткие синонимы для для длинных адресов.

--------------------------------------------------------------------
ICQ:239279945

1. Контекстное меню - это интересно, беру на заметку и добавлю при слудующем апдейте.
2. ShowWindow(Handle, SW_RESTORE) для окна - тоже интересно, это было и было убито, т.к. некоторые программы не любят принудительное отображение своих скрытых окон. Но как пункт всплявающего меню это можно сделать, тем более что в реализации это одна строка кода
3. Spy.NewDotNet - это SpyWare программа, которая вклинивается в LSP и официальное ее назначение - это поддержка несуществующих официально доменных имен в пространствах типа .xxx, .club и т.п. Это как минимум AdWare программа ... проверить правильность моих слов можно, проведя onLine проверку данного файла на http://www.virustotal.com/ ... как минимум 2-3 антивируса ее задетектируют. в категорию "Spy" я занес ее за скрытную установку и скрытую закачку своих обновлений и скрытный обмен с рядом серверов в Инет.
Вот пример - я для теста поставил последнюю версию и оставил компьютер на 5 мин, вот фрагменты обмена:

 
GET http://client.newdotnet.net/?version...earch=1&ec=140 
ответ - ... http://client.newdotnet.net/download/upgrade.cab ...
 
GET http://client.newdotnet.net/download/upgrade.cab HTTP/1.0
User-Agent: New.net Client
ответ - cab файл, после этого был проинсталлен новый DLL файл ...
 
GET http://crl.thawte.com/ThawtePremiumServerCA.crl HTTP/1.1
ответ - длинный текстовый файл со строками вида 
040819213740Z0... [ú.
 
GET http://client.new.tech/?version=3932...earch=1&ec=100 HTTP/1.0

GET http://client.newdotnet.net/?version...earch=1&ec=140 HTTP/1.0

[anton_dr]

а вот такой косяк - АВЗ нашел подозрительный файлик, скопировал в карантин. И одна из следующих папок для проверки - его собственный карантин. И - все. Пошло по циклу - проверяет, находит подозрительный, копирует, и снова проверяет - до бесконечности. и потом фиг остановишь. У меня кнопка "стоп" подействовала минут через 10. Результат - 2000 подозрительных файлов в карантине.

[RiC]

Глючёкс - если запустить AVZ с диска отличного от того, на котором установлена винда, то - в логе можно наблюдать такую бяку -

1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка - не найден файл (\WINXP\system32\ntoskrnl.exe)

[Lucefer]

Вот лог. Server2003ent. В качестве удалённого управления установлена RealVNC - на что программа и "ругается". Может быть есть занести известные "RAdminы" в список? Хотя особого смысла нет, кто знает тот и так поймёт. (5800 - это порт RealVNC для управление через Web)

5. // (Keylogger, DLL)
C:\TOTALCMD\Tools\RealVNC\VNC4\wm_hooks.dll --> Keylogger DLL
C:\TOTALCMD\Tools\RealVNC\VNC4\wm_hooks.dll>>> : 99.91% /
C:\WINDOWS\system32\ntshrui.dll --> Keylogger DLL
C:\WINDOWS\system32\ntshrui.dll>>> : 0.64% /
C:\WINDOWS\system32\WLDAP32.dll --> Keylogger DLL
C:\WINDOWS\system32\WLDAP32.dll>>> : 0.55% /
C:\WINDOWS\system32\serwvdrv.dll --> Keylogger DLL
C:\WINDOWS\system32\serwvdrv.dll>>> : 0.71% /
6. TCP/UDP,
320
130 TCP 29 UDP
>>> : 5800 TCP - Backdoor.Ontarg, Backdoor.VB), RemEye 1.0, Soho Anywhere (c:\totalcmd\tools\realvnc\vnc4\winvnc4.exe)

[Зайцев Олег]

Вот лог. Server2003ent. В качестве удалённого управления установлена RealVNC - на что программа и "ругается". Может быть есть занести известные "RAdminы" в список? Хотя особого смысла нет, кто знает тот и так поймёт. (5800 - это порт RealVNC для управление через Web)

5. // (Keylogger, DLL)
C:\TOTALCMD\Tools\RealVNC\VNC4\wm_hooks.dll --> Keylogger DLL
C:\TOTALCMD\Tools\RealVNC\VNC4\wm_hooks.dll>>> : 99.91% /
C:\WINDOWS\system32\ntshrui.dll --> Keylogger DLL
C:\WINDOWS\system32\ntshrui.dll>>> : 0.64% /
C:\WINDOWS\system32\WLDAP32.dll --> Keylogger DLL
C:\WINDOWS\system32\WLDAP32.dll>>> : 0.55% /
C:\WINDOWS\system32\serwvdrv.dll --> Keylogger DLL
C:\WINDOWS\system32\serwvdrv.dll>>> : 0.71% /
6. TCP/UDP,
320
130 TCP 29 UDP
>>> : 5800 TCP - Backdoor.Ontarg, Backdoor.VB), RemEye 1.0, Soho Anywhere (c:\totalcmd\tools\realvnc\vnc4\winvnc4.exe)

Эти файлы можно загнать в базу безопасных, но для RA наверное не стоит - если человек сам его поставил - он действительно поймат, а вот если ему кто-то его поставил - вот тут другое дело....

[Гость]

Спасибо за отличную программу!!!

[Alexey P.]

1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка - не найден файл (\WINXP\system32\ntoskrnl.exe)
Путь относительный, на диске, с которого запускалась AVZ, его и нету.
При запуске avz с системного диска все благополучно нашлось.

1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=082B80)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80559B80
KiST = 804E2D20 (284)
Функция ZwClose (19) перехвачена (805675D9->F8273D9, перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwCreateFile (25) перехвачена (8057164C->F8273962), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwCreateKey (29) перехвачена (8056F063->F8270C50), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwCreateProcess (2F) перехвачена (805B3543->F8273443), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwCreateProcessEx (30) перехвачена (805885D3->F8273324), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwCreateThread (35) перехвачена (8057F262->F82736F5), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwDeleteKey (3F) перехвачена (8059D6BD->F8270FC1), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwDeleteValueKey (41) перехвачена (80597430->F8270FFA), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwOpenFile (74) перехвачена (805715E7->F8273AE7), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwOpenKey (77) перехвачена (805684D5->F8270E3B), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwResumeThread (CE) перехвачена (8057F8D5->F827374B), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwSetInformationFile (E0) перехвачена (80579E7E->F8273C9D), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwSetValueKey (F7) перехвачена (80575527->F8271086), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Функция ZwWriteFile (112) перехвачена (8057A125->F8273C50), перехватчик F:\WINXP\system32\drivers\fwdrv.sys
Проверено функций: 284, перехвачено: 14, восстановлено: 0

Это драйвер Kerio Personal Firewall 4, версия драйвера 4.0.5806.0.

ЗЫ: Отличная фича, респект.

[Зайцев Олег]

С "\WINXP" баг удалось поймать - AVZ просто не может найти файл по такому пути - у него путь преобразуется в полный (начиная с буквы диска), в результате небольшой ошибочки преобразование шло не так, как надо ... сейчас все поправлено, в новой версии глюк исчезнет

[DenZ]

Для Зайцева Олега - Future Request:

1. Предлагаю в "Диспетчер процессов" AVZ добавить параметр "Скрывать безопасные файлы" (включен по умолчанию).
Это существенно бы упростило визуальное обнаружение в памяти небезопасных процессов и DLL, а то приходится долго просматривать все процессы или копировать все небезопасные в Карантин.

2. И еще, в "Диспетчере процессов" не плохо бы было добавить кнопочку "Копировать ВСЕ небезопасные файлы в Карантин", при нажатии на которую в Карантин бы помещались ВСЕ небезопасные процессы и DLL в памяти компьютера, а то копировать DLL для каждого процесса в отдельности утомительно...

Спасибо за внимание.

[Geser]

Поддерживаю предыдущего оратора

[Зайцев Олег]

Поддерживаю предыдущего оратора

Логично, постараюсь добавить ... правда это несколько поломает идеалогию, но в принципе сложного ничего нет.

[Geser]

Вообще, кнопка "не показывать безопасные" нужна везде (во всех утилитах), или хотя бы сортировка, сначала все неизвестные, а потом все известные

[Зайцев Олег]

Вообще, кнопка "не показывать безопасные" нужна везде (во всех утилитах), или хотя бы сортировка, сначала все неизвестные, а потом все известные

В новой версии будет генерация HTML описания ПК (все, что размазано по всем окнам). Там однозначно уже есть фильтр по безопасным файлам и по дефолту от включен). Я думаю, для анализа это будет удобнее - AVZ генерит HTML со всеми данными, он уже отфильрован и его будет удобно читать и постить в конференции. Аналогичная возможность появится во всех окнах - генерация HTML отчета.

[DenZ]

Несколько багов AVZ 3.50:
1. "Сервис -> Проверить файл по базе безопасных файлов" - невозможно проверить файлы с расширением *.DLL, их нет в списке файлов.
2. "Сервис -> Поиск файла на диске" - если стоит галка "Исключить файлы, известные AVZ как системные и безопасные", то проверяется не только отмеченная папка, но и все папки высшего уровня. При снятой галке - только отмеченная.

[DenZ]

Олег, а какова вероятность, что может появиться вирус с такой же контрольной суммой, как и один из безопасных файлов в базе AVZ?

[Зайцев Олег]

Олег, а какова вероятность, что может появиться вирус с такой же контрольной суммой, как и один из безопасных файлов в базе AVZ?

Вероятность совпадения очень низкая - файл идентифицируется по размеру + полной контрольной сумме всего файла (на сумму отведено 32 бита, формула учитывает позицию байт внутри файла). Вероятность совпадения размера и CRC вредоносного файла и полезной программы очень низкая.
Баги, описанные выше я сегодня вечером посмотрю и поправлю.