-
Сообщение от
NickM
из мира Linux, чётные числа обозначают стабильные ревизии?
Ну, у AVZ были и 4.27 например и 4.29 вполне стабильными
-
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Сообщение от
kps
Ну, у AVZ были и 4.27 например и 4.29 вполне стабильными
оффпост:
верно, политика изменилась с версии 4.30, 4.31 не было,
-
Сообщение от
NickM
оффпост:
верно, политика изменилась с версии 4.30, 4.31 не было,
Это как раз нормально ... нечетные версии для внутреннего тестирования, четные - публичные. Т.е. 4.33 - для внутренних тестов, 4.34 - реклиз и т.п.
-
-
Сообщение от
Зайцев Олег
Это как раз нормально ... нечетные версии для внутреннего тестирования, четные - публичные. Т.е. 4.33 - для внутренних тестов, 4.34 - реклиз и т.п.
а можно принять участие во внутреннем тестировании?
-
Сообщение от
NickM
а можно принять участие во внутреннем тестировании?
Оно доступно для хелперов и внешних специалистов ... плюс для энергетиков - я у себя применяю стабильные сборки, обкатывая их на ITW зверях
-
-
Сопоставление SIDам имён пользователей
Маленькое пожелание - раз уже менеджер автозапуска стал проверять все учётные записи, то было бы полезно к ссылкам в разделе реестра HKUS указывать имена соответствующих учёток, как это сделано в HijackThis.
-
И раньше замечал, что в архивах "чистых/неопознаных" файлов попадаются явные зловреды, но не обращал особого внимания.
Сегодня вылечил компьютер в теме http://virusinfo.info/showthread.php?t=52788 и запросил прислать авторкарантин. Оказалось, что в автокарантин попадает и то, что уже находится в карантине на данный момент: http://virusinfo.info/showpost.php?p...postcount=2418
Так может добавить в начало 4-го стандартного скрипта очистку карантина?
-
-
Сообщение от
AndreyKa
Это было криточно, пока анализ был полуавтоматический. Сейчас это не обязательно - карантины скрипта 4 "смотрит" "кибер", а это всеядная мясорубка ... а вот в скриптах 2 и 3 чистка карантина стоит - на случай обратной ситуации (что карантиня скриптом 1 файл мы можем получить еще сотню - то, что почему-то было помещено в карантин ранее)
-
-
Junior Member
- Вес репутации
- 59
опечатка:
Disable callback - уже нейтирализованы
-
-
-
Обнаружена проблема: при переходе с предыдущей (публичной версии) невозможно завершить удаление драйвера AVZ и всех настроек, как того требует рекомендация по обновлению.
При активации AVZPM\Удалить_и_выгрузить_драйвер, после перезагрузки драйвер по прежнему в системе.
Запуск стандартного скрипта №6 также не удаляет драйвер AVZ. Пробовал, делать, как версией 4.30, так и 4.32.
Как решил:
Файл ?:\WINDOWS\system32\drivers\uzm5mti2.sys прибил отложенным удалением, далее скрипт №6.
-
Появилась новая интересная зараза, пока, правда, только с функционалом саморазмножения. Induc.a называется, о ней весьма хорошо описано тут.
Олег, понятно, что данный тип заразы в принципе нов, да и неопасен (пока), но может быть имеет смысл включить процедуру поиска заражённого sysconst.pas/sysconst.dcu в AVZ?
-
-
Сообщение от
gjf
Появилась новая интересная зараза, пока, правда, только с функционалом саморазмножения. Induc.a называется, о ней весьма хорошо
описано тут.
Олег, понятно, что данный тип заразы в принципе нов, да и неопасен (пока), но может быть имеет смысл включить процедуру поиска заражённого sysconst.pas/sysconst.dcu в AVZ?
AVZ не предназначен для борьбы с файловыми вирусами.
-
-
Коллега, вы невнимательно прочитали обзор. Индюк - не файловый вирус в прямом понимании. Вы же не будете считать какой-нибудь VkHost к примеру тоже файловым вирусом?
-
-
Я внимательно прочитал.
В первую очередь, это способ размножения — вирус не заражает непосредственно исполняемые файлы, используя
заражение файлов компилятора языка программирования.
Если он дописал свой код в текстовый или какой-либо ни было файл компилятора, то лечение файла - это удаление оттуда вредоносного кода, при этом не удаляя оригинальный файл (AVZ не предназначен для этого). По сути это лечение от файлового вируса.
Добавлено через 18 минут
Сообщение от
gjf
Вы же не будете считать какой-нибудь
VkHost к примеру тоже файловым вирусом?
Указанный троян здесь не причем, т.к. он не записывает свой вредоноcный код в другой файл для размножения и заражения других файлов. Редактирование файла hosts - типичное троянское действие.
Последний раз редактировалось kps; 27.08.2009 в 15:46.
Причина: Добавлено
-
-
Ну я бы так не сказал... Дописали в hosts фишиновый сайт - и в итоге имеем заражение компьютера каждый раз при заходе на vkontakte. Чем не путь заражения?
Да и дописывание в autoexec.bat - тоже суть файловый вирус. Или типичное троянское поведение?
Всё, что я хотел - это просто внести предложение. В AVZ есть отличный класс TStringList, можно наваять на нём код для поиска и очистки текстовых файлов от заразы и просто включить его в базы.
Ну да если предложение не поддерживается (тут, безусловно, решать Олегу) - за сим откланиваюсь.
-
-
Сообщение от
gjf
Ну я бы так не сказал... Дописали в hosts фишиновый сайт - и в итоге имеем заражение компьютера каждый раз при заходе на vkontakte. Чем не путь заражения?
В hosts не записывается вирусный код для заражения других файлов. И для поиска плохих записей в хостс не делается сигнатура на эти самые записи (насколько мне известно). Мы просто смотрим содержимое и сами решаем, какие записи хорошие, а какие нет.
Не углубляясь в эту дискуссию можно отметить 2 факта:
1) Для лечения файла/файлов компилятора придется писать сигнатуру для лечения файла от вируса, основное же применение AVZ это ручной поиск, а не сигнатурное сканирование.
2) AVZ не занимается выкусыванием плохого кода, не удаляя оригинальный файл.
Сообщение от
gjf
Всё, что я хотел - это просто внести предложение. В AVZ есть отличный класс TStringList, можно наваять на нём код для поиска и очистки текстовых файлов от заразы и просто включить его в базы.
Ну да если предложение не поддерживается (тут, безусловно, решать Олегу) - за сим откланиваюсь.
Конечно решать Олегу Я просто высказал свое мнение, и сказал о назначении утилиты. Еще не разу мы ее не использовали для лечения файла.
Имхо, приоритетно подкрутить AVZ в плане детекта руткитов, а не лечения файлов, еще и зараженных экзотическим вирусом по экзотическому методу Для лечения есть антивирус.
-
-
Сообщение от
kps
2) AVZ не занимается выкусыванием плохого кода, не удаляя оригинальный файл.
Иногда Brontok лепит ко всему прочему в autoexec.bat строчку pause. Так вот....
Код:
var
SL : TStringList;
X : integer;
begin
......
SL := TStringList.Create;
SL.LoadFromFile('%SysDrive%/autoexec.bat');
SL.Delete(SL.IndexOf('pause'));
SL.SaveToFile('%SysDrive%/autoexec.bat');
SL.Free;
.....
end.
В итоге - строчку удалим, файл сохраним. С помощью AVZ!
Ну так что - выкусили вредоносный код?
Добавлено через 2 минуты
Сообщение от
kps
Имхо, приоритетно подкрутить AVZ в плане детекта руткитов
А вот к этому присоединяюсь всеми фибрами души
Задолбало пользовать сторонние Gmer'ы и Avenger'ы...
Последний раз редактировалось gjf; 27.08.2009 в 16:57.
Причина: Добавлено
-
-
Сообщение от
gjf
В итоге - строчку удалим, файл сохраним. С помощью AVZ!
Вы меня не так поняли Я имел ввиду, что (и это есть в справке) AVZ по назначению не предназначена для выкусывания кода, а не то, что это невозможно сделать посредством AVZ. Сделать то можно, но это затраты сил и вопрос цели использования.
-
-
Ладно, оставим дебаты и предоставим решение разработчику
Пока это действительно просто proof-of-concept.
Но в любом случае идея может получить развитие - и многие программисты не будут заинтересованы в постоянном заражении своих проектов.
-