Universal Virus Sniffer (uVS), Вопросы разработчику - Страница 42 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию
demkd

Universal Virus Sniffer (uVS), Вопросы разработчику

Автор demkd, в Universal Virus Sniffer (uVS) - развитие, использование и решение проблем

Recommended Posts

demkd    630

demkd
Опубликовано

Smit

Глянул... надо было не файл сверки, а образ.

Но прроблема не в этом - база проверенных использовалась безумно старая, в ней просто нет хэшей загрузчиков.

Загружено хэшей проверенных файлов: 516241

А в текущей базе: 586628 хэшей.

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Celsus    60

Celsus
Опубликовано

Каки сделать загрузочный диск - как и чем (ImgBurn etc.) правильно записать диск и расположить файлы в архиве _autorun.zip?

После создания полного снимка (поиск руткитов) семерки из-под нее и после сканирования этой семерки из-под другой семерки были алерты про неизвестный загрузчик на всех дисках (с показам длинного хэш).

В Сканируемой системе все диски, кроме системного и 100МБ, обозначены как offline. Сканируемая система установлена на VHD. Другая семерка на внутреннем HDD. В ней отключен только 1 раздел.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

zloyDi    15

zloyDi
Опубликовано

Не могу понять, прислали лог не могу открыть! Или он поврежден или глюк

http://zalil.ru/31781085

При открытии виндовс аварийно завершил ювс.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано
При открытии виндовс аварийно завершил ювс.

Посмотрю.

Каки сделать загрузочный диск - как и чем (ImgBurn etc.) правильно записать диск и расположить файлы в архиве _autorun.zip?

Для этого есть Windows AIK. _atorun развернуть в корень диска если это нужно.

После создания полного снимка (поиск руткитов) семерки из-под нее и после сканирования этой семерки из-под другой семерки были алерты про неизвестный загрузчик на всех дисках (с показам длинного хэш).

Это нормально особенно если база проверенных не лежит на месте.

В Сканируемой системе все диски, кроме системного и 100МБ, обозначены как offline. Сканируемая система установлена на VHD. Другая семерка на внутреннем HDD. В ней отключен только 1 раздел.

В чем вопрос?

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

santy    153

santy
Опубликовано

Цитата(Celsus @ 29.09.2011, 21:30) *

Каки сделать загрузочный диск - как и чем (ImgBurn etc.) правильно записать диск и расположить файлы в архиве _autorun.zip?

Для этого есть Windows AIK. _atorun развернуть в корень диска если это нужно.

создаем загрузочный диск WinPE 3.0 с помощью установленного пакета WAIK (for Windows7)

http://forum.esetnod32.ru/forum9/topic1881/

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

PR55.RP55    82

PR55.RP55
Опубликовано

Вот, есть симпатишный образ.

Красавец :facepalm:

*Для научного изучения ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано

PR55.RP55

ага, бывает :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

незнайка    0

незнайка
Опубликовано

santy Не подскажите, если возможно хотя бы в общем, как удаляли с помощью UVS этот самый ZAccess? Хотелосб бы еще узнать опыт борьбы с подобными тварями!

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

santy    153

santy
Опубликовано
santy Не подскажите, если возможно хотя бы в общем, как удаляли с помощью UVS этот самый ZAccess? Хотелосб бы еще узнать опыт борьбы с подобными тварями!

реально пока не встречался в темах заражений, а на виртуалке удалял в uVS из под Live.CD, в безопасном режиме так же создается образ автозапуск и виден файловый поток.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

art    0

art
Опубликовано

Сейчас в инете довольно много инструкций по удалению вымогателей через УВС. Обычно последовательность такая: 1) твики 2) чистка тэмпов и удаление отсутствующих 3) добавление сигнатур подозрительных в вирусную базу и провека списка.

Но, как я полагаю, правильнее сначала добавлять сигнатуры подозрительных в базу, а потом уже твики и чистка. Ведь, твики и чистка прибьет зловредов, которые грузятся подозрительным способом (и УВС их сразу считает подозрительным), и потом неискушенному юзеру будет сложней добавлять сигнатуры, т.к. возможно, остануться копии зловреда, которые загружаются неподозрительным способом и УВС их не выделяет как подозрительные. Я прав?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано

art

в целом да, сперва нужно выделить зловредов, внести в базу, затем проверив весь список уничтожить соотв. кнопкой и только потом Alt+Delete и твики.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано

Объявление: сайт dsrt.dyndns.org НЕ_доступен по причине некомпетентности dydndns.org, который заблокировал мой акк и в качестве причины блокировки указывает "This account has been tied to instances of malware, which is a violation of our AUP"

Соотв. если проблема не будет решена положительно в ближайшее вермя то все файлы переедут на depositfiles где будет создана постоянная ссылка на группу файлов для скачивания. 4-й раз за 10 лет имя сервера я уже менять не буду, я его просто закрою, надоело.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Smit    29

Smit
Опубликовано

demkd

не надо отчаиваться просто это происки завистливых конкурентов

сайт можно создать например на укозе и даже оставить старое название, добавить кучу "спонсоров"

еще и зарабатывать будете !

или предложите свои услуги DrWeb (в принципе как это получилось у AVZ + кашперский)

куча нормальных вариантов вариаторов, купить доменное имя и не зависит от всяких уродов хостеров

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

onthar    0

onthar
Опубликовано

demkd, вы так же можете попробовать использовать dropbox.com - сервис, предоставляющий бесплатно 2 гигабайта пространства на их сервере. Как виртуальный диск, даже синхронизацию с папками на ПК можно настроить. Ссылки прямые, рекламы и прочего мусора нету.

А с "депозита" могут удалить еще быстрее, они не смотрят - ложное срабатывание антивируса или нет.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано
не надо отчаиваться просто это происки завистливых конкурентов

Каких еще конкурентов? Это называется "понабрали по объявлениям".

куча нормальных вариантов вариаторов, купить доменное имя и не зависит от всяких уродов хостеров

Зайцев вон купил и тоже в бан полетел. Я не пользуюсь услугами хостеров, я сам себе хостер.

onthar

У меня есть на чем разместить сайт, без каких-либо ограничений и совершенно бесплатно.

Меня напрягают бесконечные смены адреса.

Надоело, если не получится договорится с клоунам на dyndns сервер будет закрыт и все будет на обменнике которому совершненно по барабану что там и где-там главное чтоб качали.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

PR55.RP55    82

PR55.RP55
Опубликовано
И все будет на обменнике которому совершенно по барабану что там и где-там главное чтоб качали.

Союз печать - по, три копейки получать...

depositfiles - Вызывает, только одно душевное чувство - горькую, сермяжную тошноту!

Крайне, всё это неприятно...

Вариант: ://narod.yandex.ru/

*Да и хрен бы с ними всеми...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Виталий Я.    859

Виталий Я.
Опубликовано
demkd, вы так же можете попробовать использовать dropbox.com - сервис, предоставляющий бесплатно 2 гигабайта пространства на их сервере. Как виртуальный диск, даже синхронизацию с папками на ПК можно настроить. Ссылки прямые, рекламы и прочего мусора нету.

Вместо дропбокса, отличившегося дырами в шифровании, советую www.cx.com - дают по 10 Гигабайт и помогут разработчику заработать за счет участия в афилейт-программе

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано
depositfiles - Вызывает, только одно душевное чувство - горькую, сермяжную тошноту!

Ниче это дело привычки B) , а вот с моей стороны так одни плюсы, удобный сервис для размещения файлов, без ограничения на скорость заливки файлов, я год уже пользуюсь - удобно, плюс выдают халявные голды, что совсем хорошо.

Разве что доход от него примерно как от кнопки donate в uVS... т.е. примерно пакет сока раз в полгода, впрочем я пока сок могу себе позволить :D

Вариант: ://narod.yandex.ru/

Это не вариант, а пожизненный геморрой, пожалуй это самый убогий хостинг что я видел.

Виталий Я.

Что за аффилейт гляну, но повторюсь мне хостинг НЕ нужен, мне нужно постоянное доменной имя, которое гарантированно никто и никогда не заберет + поддержка динамической смены ip аля dyndns.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано

Сайт доступен снова.

Зачем-то они используют для проверки сайтов вот ЭТО:

http://www.team-cymru.org/Services/MHR/

очевидный вред от подобных "Internet security research firm" в очередной раз проявил себя во всей красе.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Vvvyg    12

Vvvyg
Опубликовано
Сайт доступен снова.

И опять недоступен :(

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано
И опять недоступен

ага, свет рубанули и хз когда включат.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

PR55.RP55    82

PR55.RP55
Опубликовано
ага, свет рубанули и хз когда включат.

И тут тоже, человеку свет рубанули.

Хотелось бы услышать комментарии...

И даже, до бедного UNLOCKER-а и то добрались!

127.0.0.1 localhost

<html>

<head>

<title>Тревога антивирусной системы ESET Smart Security</title>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

</head>

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

santy    153

santy
Опубликовано
И тут тоже, человеку свет рубанули.

Хотелось бы услышать комментарии...

Возможно, умелые "Ксюшины ручки" под чьим то чутким руководством добрались до файла hosts и чего-то туда скопировали из буфера обмена

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

demkd    630

demkd
Опубликовано
Хотелось бы услышать комментарии...

а что угодно может быть, но посмотреть на реальный файл hosts было бы интересно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти
Перейти к списку тем Universal Virus Sniffer (uVS) - развитие, использование и решение проблем

  • Сообщения

    • demkd
      Новые функции в Universal Virus Sniffer (uVS)

      От demkd · Опубликовано

      эти функции небезопасные, лучше их оставить в ручном режиме.
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      ---------------------------------------------------------
       5.0.1
      ---------------------------------------------------------
       o Исправлена ошибка из-за которой могло неправильно отображаться имя родителя процесса в информации о файле.

       o В список для проверки добавлен ключ реестра используемый зловредами для неявного запуска программ с обходом UAC с помощью системных утилит.
         (для текущей версии Win11 24H2 проблема актуальна)
         В случае обнаружении исполняемого файла он будет добавлен в подозрительные.
         Автоматический сброс статуса этого файла по хэшу/эцп будет заблокирован.
         FRST пока эту дыру в безопасности не видит.

       o В список теперь может быть добавлено подозрительное значение ключа реестра.
         Это значение после его проверки можно удалить из реестра через контекстное меню с помощью пункта "Удаление всех ссылок на объект".
         (!) Если значение это пустая строка то такие значения рекомендуются всегда удалять.

       o Обновлен модуль rest до v1.21.
       
    • santy
      Новые функции в Universal Virus Sniffer (uVS)

      От santy · Опубликовано

      Может, стоит включить команды заморозки потоков и выгрузки процессов с измененным кодом при формировании скрипта в режиме "Автоскрипт"? Если были обнаружены процессы с измененным кодом.
    • Ego Dekker
      Актуальные версии антивируса 18-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 18.2.17.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      Так как, по сути нет возможности проверить расширения браузеров Chrom\ium при работе с образом - то, что-то нужно с этим делать. Отправлять все расширения на V.T. - в момент генерации образа, или упаковывать их в отдельный архив к\с образом автозапуска, или загружать... в облако. Возможно добавить пункт в меню: "Создать полный образ автозапуска с проверкой расширений браузеров".      
×