Бета-тестирование AVZ 3.50

[Зайцев Олег]

Вышла новая новая версия AVZ - 3.50. Версия доступна для загрузки тут: http://z-oleg.com/secur/avz-dwn.htm (внимание ! Архив переименован - теперь он называется http://z-oleg.com/avz-betta3.zip)
Радикальные новшества:
1. Восстановление настроек системы дополнено микропрограммой для восстановления рабочего стола;
2. Существенно расширены микропрограммы эвристической проверки системы - добавлено около 50 микропрограмм, расширены уже существующие;
3. Подправлены мелкие глюки антируткита;
4. Подправлены разные мелкие глюки, найденные в ходе тестов.
----
Кроме того, расширена база - добавлено около 130 новых "зверей", усовершенствован эвристик. У версии 3.50 в базе 13698 сигнатур, 1 нейропрофиль, 55 микропрограмм лечения, 285 микропрограммы эвристики, 4 микропрограммы восстановления настроек системы, 30065 подписей безопасных файлов

[Geser]

1. Для процессов которые обнаружент через native API так и нет списка захруженных модулей.
2. Менеджер автозапуска на работе так и вылетает с ошибкой.
3. В "Модули пространства ядра" не хватает кнопочки "скопировать в карантин" и кнопочки "скопировать в карантин все неизвестные"
4. Диспетчет сервисов и драйверов->сохранить протокол. Нужна опция не писать в протокол известные файлы.

[nEtVIL]

Посмотрите на мой лог.

В двух файлах AVZ подозревает Backdoor.Ferat.10, но KAV personal pro и NOD32 не чего не видят. Если нужно могу отправить эти файлы к вам на анализ.

[_HEKTO_]

А зачем нужна кнопочка "Не нажимать!!!"?

Так и хочется нажать ведь

[anton_dr]

А зачем нужна кнопочка "Не нажимать!!!"?

Так и хочется нажать ведь

Точно, не удержался
30секунд - полет нормальный

[Geser]

Точно, не удержался
30секунд - полет нормальный

А в Москве не могут понять почему опять взорвалась подстанция

[Зайцев Олег]

Точно, не удержался
30секунд - полет нормальный

Это была кнопка запуска самоуничтожения А говоря серьезно, эта кнопка есть в приватных версиях - для тестирования новых фич движка без запуска сканирования всего диска. В данном случае при ее нажатии запускалось препарирование документа Word ... я обновил версию на моем сайте, кнопку эту убрал

[Зайцев Олег]

Посмотрите на мой лог.

В двух файлах AVZ подозревает Backdoor.Ferat.10, но KAV personal pro и NOD32 не чего не видят. Если нужно могу отправить эти файлы к вам на анализ.

Backdoor.Ferat.10 - это ложное срабатывание, я вношу поправку в базы ... Сообщение "c:\1\SAMPLES.XLS_ThisWorkbook.txt" можно игнорировать - это связано с наличием кнопки "Не нажимать" - работал тестовый режим движка ... - все это удалено из обновленной версии (но раз уже из-за моего растяпства досталась "неправильная" версия, можно создать диске каталог "C:\1" и посторить сканирование - в нем будут созданы расшифрованные и нормализованные макросы из все проверяемых документов....)

[Зайцев Олег]

1. Для процессов которые обнаружент через native API так и нет списка захруженных модулей.
2. Менеджер автозапуска на работе так и вылетает с ошибкой.
3. В "Модули пространства ядра" не хватает кнопочки "скопировать в карантин" и кнопочки "скопировать в карантин все неизвестные"
4. Диспетчет сервисов и драйверов->сохранить протокол. Нужна опция не писать в протокол известные файлы.

1. Мое упущение, сегодня подправлю
2. Будем ловить ...
3. Приделываю...
4. Приделаю ...

[aintrust]

1. Мое упущение, сегодня подправлю
2. Будем ловить ...
3. Приделываю...
4. Приделаю ...

Олег, явно "сырая" версия... Практически ни один из старых "багов" версии 3.4x не исправлен... Может, стоило, "отладиться" на ком-нибудь (хотя бы на мне для начала), к чему было спешить?

Я вот еще что подумал: ты, что называется, новые версии "печешь, как пирожки" . Немного изменились базы - и вот уже новая версия, а старые ошибки все тянутся и тянутся... В данном случае - при переходе с версии 3.45 сразу на 3.50 - предполагается некоторое изменение функциональности основного модуля AVZ, а не только его микропрограмм, чего не самом деле не произошло: основной модуль почти никак не изменился, а драйвер так просто остался старый со старыми "тараканами". Может, стоит подумать о другом подходе к версиям? Может, стоит сделать их отдельно по каждому компоненту (основной модуль, драйвер, базы - каждая в отдельности) и соответственно отражать эту информацию в окне "О программе"?

И еще... сдается мне, что информация о количестве микропрограмм того-то или микропрограмм сего-то носит чисто статистический и только тебе понятный характер (какая, к примеру, мне разница, 52 там микропрограммы лечения или 55 - я все равно не знаю, что они там у тебя лечат ). Может, конечно, это кому-то интересно, но как-то сомнительно это... я бы, например, предпочел видеть вместо этой бессмысленной для меня информации номер версии и, возможно, дату последней модификации.

[Xen]

Предлагаю уже писать слово beta с одной t глаз режет. Новую версию сейчас посмотрю

[Зайцев Олег]

Олег, явно "сырая" версия... Практически ни один из старых "багов" версии 3.4x не исправлен... Может, стоило, "отладиться" на ком-нибудь (хотя бы на мне для начала), к чему было спешить?

Я вот еще что подумал: ты, что называется, новые версии "печешь, как пирожки" . Немного изменились базы - и вот уже новая версия, а старые ошибки все тянутся и тянутся... В данном случае - при переходе с версии 3.45 сразу на 3.50 - предполагается некоторое изменение функциональности основного модуля AVZ, а не только его микропрограмм, чего не самом деле не произошло: основной модуль почти никак не изменился, а драйвер так просто остался старый со старыми "тараканами". Может, стоит подумать о другом подходе к версиям? Может, стоит сделать их отдельно по каждому компоненту (основной модуль, драйвер, базы - каждая в отдельности) и соответственно отражать эту информацию в окне "О программе"?

И еще... сдается мне, что информация о количестве микропрограмм того-то или микропрограмм сего-то носит чисто статистический и только тебе понятный характер (какая, к примеру, мне разница, 52 там микропрограммы лечения или 55 - я все равно не знаю, что они там у тебя лечат ). Может, конечно, это кому-то интересно, но как-то сомнительно это... я бы, например, предпочел видеть вместо этой бессмысленной для меня информации номер версии и, возможно, дату последней модификации.

Ну, версии каждого компонента ввести легко - но не будет ли путаницы ?? Дело в том, что появление новых версия с мин. переделками диктуется только одним - в базы потоком попадает "зверье", по 100-200 образцов в неделю. Как следствие, нужно обновлять базы ... - приходится вместе с программой. Или отдельно, но заморозив развитие AVZ - отсюда и выпуск промежуточных версий.
С микропрограммами нужно думать - кол-во микропрограмм несет вполне реальный смысл - это по сути количество семейств зверей, которые лечатся/диагностируются МП. Но суть это мало отражает - количество микропрограмм может не измениться, а внутренне содержимое их может поменяться радикально ... - у каждой базы есть дата/время ее сборки, оно хранится в заголовке. Можно вывести список баз с указанием их даты

[FoX]

Зайцев Олег смотри приват. =)

[aintrust]

Ну, версии каждого компонента ввести легко - но не будет ли путаницы ?? Дело в том, что появление новых версия с мин. переделками диктуется только одним - в базы потоком попадает "зверье", по 100-200 образцов в неделю. Как следствие, нужно обновлять базы ... - приходится вместе с программой. Или отдельно, но заморозив развитие AVZ - отсюда и выпуск промежуточных версий.

А почему может возникнуть путаница? Мне кажется - даже наоборот, т.к. введение версий для каждого компонента позволит четко отделить развитие самого AVZ и наполнение его баз. Сейчас действительно ситуация парадоксальна - в базе появивилось несколько десятков новых троянов, и это сразу же отражается на версии программы, хотя последняя может совсем не измениться! Если так пойдет, скоро уже и до 10-й версии доберемся, а там и до 100-й недалеко! Есть ли в этом смысл?

Да и на сайте в таком случае есть смысл держать как последнюю полную сборку (все последние компоненты вместе), так и каждую компоненту в отдельности - ведь размер полного AVZ уже приблизился к мегабайту, а когда проект только начинался - помнишь, какой он был?

С микропрограммами нужно думать - кол-во микропрограмм несет вполне реальный смысл - это по сути количество семейств зверей, которые лечатся/диагностируются МП. Но суть это мало отражает - количество микропрограмм может не измениться, а внутренне содержимое их может поменяться радикально ... - у каждой базы есть дата/время ее сборки, оно хранится в заголовке. Можно вывести список баз с указанием их даты

Вот и я про то же: смысл этих микропрограмм, их наполнение и функциональность понятна только тебе одному и больше никому. Это ведь не сигнатуры, которые действительно отражают вполне понятные вещи!

[Палыч]

Прикупил тут позавчера журнал ][акер №5 май 2005. Вчера сижу, листаю журнал, бегло просматриваю статьи. Натыкаюсь на статью про руткиты и начинаю внимательно читать статью. (стр. 52, "Кошмарное ПО"). Автор с двойным ником ( и одним на двоих номером аськи ) Петя и Волк описывают, что такое руткит. Весь тон статьи какой-то испуганный, я бы сказал-- панический.
Автор (авторы?) дают название и описание шести руткитов. Затем дают описание и название двух программ для обнаружения руткитов. Первая--VICE. Вторая-- Rootkit Revealer, указываются её авторы (Брюс Когсвел и Марк Русинович) и сайт www.sysinternals.com . Указываются недостатки обеих программ, в частности, что они не могут удалять руткиты.

А теперь самое главное!
В последней главке статьи упоминается AVZ. Что лично меня покоробило, так это то, что автор не упомянул ни имя\фамилию разработчика, ни сайт. Правда, отметили, что AVZ может удалять руткиты.

Вообщем, очень не понравилось мне, что про AVZ упоминули как-то вскользь, мимоходом, под конец статьи. Хотя, получается, что программа Олега на порядок лучше первых двух программ, так как умеет удалять руткиты.

[Geser]

Тут возник у меня вопрос. На работе стоит антивирус. Понятно что этот антивирус (Trend Micro) перехватывает работу с диском, однако АВЗ никаких перехватов не находит. Почему?

[aintrust]

Автор (авторы?) дают название и описание шести руткитов. Затем дают описание и название двух программ для обнаружения руткитов. Первая--VICE. Вторая-- Rootkit Revealer, указываются её авторы (Брюс Когсвел и Марк Русинович) и сайт www.sysinternals.com . Указываются недостатки обеих программ, в частности, что они не могут удалять руткиты.

А теперь самое главное!
В последней главке статьи упоминается AVZ. Что лично меня покоробило, так это то, что автор не упомянул ни имя\фамилию разработчика, ни сайт. Правда, отметили, что AVZ может удалять руткиты.

Ну, какой журнал - такие и авторы... а что, его еще кто-то читает, этот "Хацкер"?

Автора VICE там ведь тоже не упомянули? Может и не знают даже, т.к. в основном известен его ник, fuzen_op, но не имя, хотя и имя есть и, само собой, фамилия... Вот и книжка его про руткиты, написанная вместе с Грегом Хоглундом, скоро появится в продаже... А что он автор руткита FU, тоже не упомянули? А про F-Secure BlackLight - очень интересную программу, которая умеет ловить руткитов, используя smart-технологии, тоже не сказали? Ну, а что же вы тогда хотите? Какой журнал, такие и статьи...

[aintrust]

Тут возник у меня вопрос. На работе стоит антивирус. Понятно что этот антивирус (Trend Micro) перехватывает работу с диском, однако AVZ никаких перехватов не находит. Почему?

Потому, что AVZ видит перехваты функций в нескольких системных библиотеках + некоторые перехваты системных сервисов на уровне ядра. Это лишь малая толика из того объема технологических приемов, которые могут использоваться для контроля функций системы. В частности, чтобы "перехватывать работу с диском", совсем не обязательно делать перехваты "в стиле AVZ", есть и другие варианты. То же касается и сети, и ряда других компонентов ОС. То, что сейчас видит AVZ - это лишь небольшой кусочек из этого арсенала вариантов, который применяется лишь примитивными руткитами + рядом файерволлов + рядом антивирусов. Перефразируя известную фразу, можно сказать: "не надо делать из AVZ культа"! AVZ имеет некоторые анти-руткитовые технологии и умеет видеть некоторые руткиты и с некоторыми из них (для которых в AVZ есть сигнатуры) умеет бороться! И это все! Но... уже и этого немало!

[Geser]

AVZ имеет некоторые анти-руткитовые технологии и умеет видеть некоторые руткиты и с некоторыми из них (для которых в AVZ есть сигнатуры) умеет бороться! И это все! Но... уже и этого немало!

Ну что же. Остаётся надеяться что со временем слово "некоторые" можно будет заменить на "большинство"

[aintrust]

Ну что же. Остаётся надеяться что со временем слово "некоторые" можно будет заменить на "большинство"

Конечно! И все мы в той или иной мере (кто поиском багов, кто советом, кто какой-то свежей мыслью и т.д.) этому способствуем!