Universal Virus Sniffer (uVS), Вопросы разработчику - Страница 52 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

santy

AutoConfigURL работает

-----------

Полное имя хттп://LASUPPORTE.COM/SKTK28E/GOOGLE.PAC

Имя файла хттп://LASUPPORTE.COM/SKTK28E/GOOGLE.PAC

Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям

AUTOCONFIGURL (AUTOCONFIGURL ~ .PAC)(1)

Сохраненная информация на момент создания образа

Статус ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Статус ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ

Ссылки на объект

Ссылка HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL

AutoConfigURL хттп://lasupporte.com/SKtk28e/google.pac

Ссылка HKEY_USERS\S-1-5-21-1433674745-3102490473-1095164493-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL

AutoConfigURL хттп://lasupporte.com/SKtk28e/google.pac

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Встреча uVS с Лешим \

Актуально для всех версий.

Пример Видео/exe/архив: http://rghost.ru/43184910

+

Также:

Если применить команду: "Добавить хэши исполняемых файлов каталога в базу проверенных"

uVS просто вылетает... ( Как это было при копировании полного пути )

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

По эвристике.

C:\WINDOWS\SYSTEM32\ISM\CFTMON.EXE

В подозрительные не попал...

см.Образ/пример в теме.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Hotab

Всем привет!

Тема: http://virusinfo.info/showthread.php?t=131807

Был сделан лог ComboFix, где был найден файл c:\users\Public\Documents\Documents.exe, далее лог uVS, его нет там! Как это можно объяснить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Всем привет!

Тема: http://virusinfo.info/showthread.php?t=131807

Был сделан лог ComboFix, где был найден файл c:\users\Public\Documents\Documents.exe, далее лог uVS, его нет там! Как это можно объяснить?

все зависит от того в каком порядке вы делали логи.

если вначале был сделан лог Combofix, то uVS его естественно не найдет, потому как он автоматически удален в Комбофикс.

если же вначале был сделан образ uVS, (а уже после лог Combofix) то можно предположить, что данного файла Documents.exe нет в автозапуске системы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor
Был сделан лог ComboFix, где был найден файл c:\users\Public\Documents\Documents.exe, далее лог uVS

похоже Hotab неправильно выразился, судя по ссылке сначала шёл uVS, а далее лог ComboFix. Если кто-нибудь там запросил бы карантин ComboFix то думаю легче было бы сказать, почему не видно. По крайней мере был бы сэмпл на руках.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Hotab
похоже Hotab неправильно выразился, судя по ссылке сначала шёл uVS, а далее лог ComboFix. Если кто-нибудь там запросил бы карантин ComboFix то думаю легче было бы сказать, почему не видно. По крайней мере был бы сэмпл на руках.

Точно, не так выразился (засыпал уже :( ) Сэмпл попробую достать!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Точно, не так выразился (засыпал уже :( ) Сэмпл попробую достать!

похоже, не совсем еще проснулся. Какой смысл в сэмпле, если проблема в другом. Был он в автозапуске или нет. комбофикс удалил, следов в автозапуске в логе Комбофикс нет. Мало ли вирусов лежит на диске, почему они все должны быть в образе. команду adddir используем, если надо чтобы исполняемые из каталога попали в образ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
3TE116

Скопировал скрипт на больном компе и промазал. Вместо start, нажал на startf. После человек пропал со скайпа и меня оттуда выкинуло. Ничего плохо не могло случится? И что это за файл startf? Боюсь, что что-то не то сделал.

Пишет теперь при загрузке винды UVS V3. Винда не загружается, что делать?

Фуууухххх, хорошо, что он смог загрузиться, иначе, не знаю чего делал бы. А что все-таки за файл тот был?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
А что все-таки за файл тот был?

при удаленном подключении управление рабочим столом будет потеряно. (так что нельзя промахнуться мимо start.exe)

В версии 2.70 добавлен дополнительный стартер - StartF.exe

Этот файл обладает иммунитетом к некоторым видам троянов, блокирующих запуск любых процессов и

соотв. способен запуститься, когда запуск других приложений НЕвозможен.

При запуске он блокирует:

o внедрение библиотек с помощью реестра в запускаемый процесс.

o запуск и перезапуск служб

и (!) выгружает все НЕизвестные процессы, разрешает запуск редактора реестра и диспетчера задач,

после чего запускает start.exe с ключом /d на (чистом рабочем столе), что практически полностью

исключает внедрение в uvs посторонних DLL.

(!) Startf.exe работает в течении 30 секунд и за это время необходимо выбрать параметры запуска uvs.

(!) StartF должен завершиться самостоятельно, выгружать его насильно не стоит.

(!) Перед завершением startf разблокирует запуск служб и снимает запрет на внедрение DLL.

(!) До завершения startf не_рекомендуется предпринимать активные действия в uvs.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
stoyn

Уведомление локальных событий.

Тип события: Уведомление

Источник события: Application Popup

Категория события: Отсутствует

Код события: 26

Дата: 10.02.2013

Время: 13:48:26

Пользователь: Н/Д

Компьютер:

Описание:

Всплывающее окно приложения: [C:\WINDOWS] uVS v3.77.5 Copyright © Кузнецов Д.М. 2009-12 [ dsrt.dyndns.org ]: qiqria - Ошибка приложения : Инструкция по адресу "0x0041d491" обратилась к памяти по адресу "0xffffffff". Память не может быть "read".

"ОК" -- завершение приложения

"Отмена" -- отладка приложения

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

stoyn

Хорошо бы еще минидамп получить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
stoyn
stoyn

Хорошо бы еще минидамп получить.

Есть минидамп,как и куда отправить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

При проверке файлов из образа на VT наблюдаю такую картину

213e76f515fb.jpg

Вот образ автозапуска, но не думаю, что это связано с ним, т.к. это повторилось на нескольких.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Вот, хотел то же самое написать. Что-то в API подкрутили на VT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Вот ещё красота

026c37a24107.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

stoyn

спасибо, посмотрю, в какой момент срубился uVS?

по VT см. раздел тестирования, в 3.77.6 проблема устранена.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
stoyn
stoyn

спасибо, посмотрю, в какой момент срубился uVS?

по VT см. раздел тестирования, в 3.77.6 проблема устранена.

Минидамп ошибки при попытке запуска 3.77.6

WER1580.dir00.zip

WER1580.dir00.zip

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

stoyn

а без грыжика "антисплайсинг" запускается?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

У функции "Включить поддержку AHCI" обнаружился полезный побочный эффект, с помощью нее можно легко без переустановки переносить систему на любое новое железо (конечно пока только Intel и только с поддержкой AHCI), даже если предварительная установка стандартного PCI-IDE контроллера и включение IDE совместимого режима контроллера в BIOS-е приводит к BSOD-у.

Добавлю еще функцию интеграции IDE совместимых устройств и тогда апгрейд и даунгрейд железа ВСЕГДА будет проходить без переустановки системы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

stoyn

минидамп не помог, но могу дать debug версию возможно с нее дамп будет полезен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
stoyn
stoyn

минидамп не помог, но могу дать debug версию возможно с нее дамп будет полезен.

Можно попробовать.Кстати у меня такая проблема на двух машинах.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

stoyn

http://dsrt.dyndns.org/files/uvs_debug.7z

положить в каталог uvs и запустить, если запустится и будет работать без проблем то дело таки в опциях запуска, скорее всего в антисплайсинге

если срубится то минидамп мне :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
stoyn
stoyn

http://dsrt.dyndns.org/files/uvs_debug.7z

положить в каталог uvs и запустить, если запустится и будет работать без проблем то дело таки в опциях запуска, скорее всего в антисплайсинге

если срубится то минидамп мне :)

Минидамп 19.02.13

____.7z

____.7z

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      И ещё это: https://www.comss.ru/page.php?id=18330 Это и на работе Образов с Live CD может сказаться ?
    • PR55.RP55
      Тема: https://www.comss.ru/page.php?id=18331    " Ошибка проявляется в том, что при закрытии окна программы с помощью кнопки Закрыть (X) процесс taskmgr.exe не завершается полностью. При повторном открытии Диспетчера задач предыдущий экземпляр продолжает работать в фоне, хотя окно не отображается. В результате со временем накапливаются несколько процессов, что приводит к избыточному потреблению ресурсов системы и снижению производительности... " и это натолкнуло на мыслю. Раз есть такая проблема с taskmgr - то это может повториться с "любой" другой программой... т.е. можно? Реализовать команды: " Обнаружить и завершить все нетипично активные экземпляры Системных процессов\программ".  и " Обнаружить и завершить все нетипично активные экземпляры не Системных...". Такое может быть и с браузерами - например Firefox - если есть две версии программы установленные в разные каталоги и пользователь их запускает - часто бывает неполное завершение. тогда жрёт всё и вся...  
    • Ego Dekker
      Компания ESET (/исэ́т/) ― лидер в области информационной безопасности ― сообщает об обновлении ESET HOME Security Essential и ESET HOME Security Premium, комплексных подписок для защиты устройств домашних пользователей, и ESET Small Business Security, решения для малого бизнеса.

      Среди новинок ― функция восстановления после атак программ-вымогателей, мониторинг микрофона и улучшения безопасности при просмотре веб-сайтов, а также VPN, который предотвращает нежелательное отслеживание, обеспечивая неограниченный доступ к онлайн-контенту. Поскольку мошенничество сегодня является глобальной угрозой для всех пользователей, ESET обеспечивает усовершенствованную защиту от различных мошеннических методов, противодействуя атакам из разных типов источников, включая SMS-сообщения, электронную почту, телефонные звонки, URL-адреса, QR-коды, вредоносные файлы и другие.

      Обновленная платформа ESET HOME также упрощает управление безопасностью, что облегчает пользователям защиту своих семей, а владельцам малого бизнеса позволяет точно отслеживать защищенные устройства, а также устанавливать программы безопасности на все устройства благодаря доступному и понятному интерфейсу. 

      «Как поставщик передовых решений для защиты цифровой жизни, ESET тщательно отслеживает текущую ситуацию с угрозами и соответственно разрабатывает свои решения по кибербезопасности, ― комментирует вице-президент ESET в сегменте домашних пользователей и Интернета вещей. ― Усиленная защита от мошенничества, новая функция восстановления после атак программ-вымогателей и многочисленные усовершенствования безопасности конфиденциальных данных делают продукты ESET для домашних пользователей и малых предприятий мощными комплексными решениями, которые сочетают минимальное влияние на продуктивность и простоту в использовании».

      Решения для домашних устройств и малого бизнеса защищают все основные операционные системы ― Windows, macOS, Android ― и поддерживают разные устройства умного дома. Кроме того, ESET Small Business Security также защищает серверы Windows.

      Основные улучшения для пользователей Windows:

      •    Добавлен VPN (теперь доступно в подписке ESET HOME Security Premium): функция защитит сетевое подключение благодаря анонимному IP-адресу, а безлимитная пропускная способность обеспечит неограниченный доступ к онлайн-контенту. Кроме Windows, VPN также доступен пользователям MacOS, Android и iOS.

      •    Усилена защита конфиденциальных данных (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security): новый мониторинг микрофона обнаруживает и уведомляет пользователей о несанкционированных попытках доступа к микрофону на устройствах Windows.

      •    Улучшена безопасность при использовании браузера (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security) для защиты от фишинга, мошенничества и вредоносных веб-сайтов. Эта функция сканирует воспроизводимый HTML-код в браузере, чтобы обнаружить вредоносное содержимое, которое не фиксируется на уровне сети и с помощью «черного» списка URL.

      •    Добавлено восстановление после атак программ-вымогателей (доступно в решении ESET Small Business Security): первоначально разработанная для крупного бизнеса, функция позволяет минимизировать ущерб, вызванный этими угрозами. Как только защита от программ-вымогателей выявляет потенциальную угрозу, функция восстановления после атак немедленно создает резервные копии файлов, а после устранения опасности восстанавливает файлы, эффективно возвращая систему в прежнее состояние. Основные улучшения для пользователей macOS (доступны в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security):

      •    Поддержка macOS 26 (Tahoe) позволяет использовать защиту на текущей версии macOS.

      •    Поддержка HTTPS & HTTP/3 улучшает безопасность пользователей в Интернете.

      •    Управление устройствами контролирует внешние устройства, подключенные к Mac. Функция помогает защитить от вредоносного программного обеспечения и несанкционированной передачи данных, ограничивая доступ к определенным типам или даже отдельным устройствам. Следует отметить, что эти усовершенствования помогут противодействовать постоянно совершенствующимся угрозам с особым акцентом на предотвращение. Компания ESET также считает чрезвычайно важным сочетание кибергигиены с удобной защитой, поскольку действительно эффективная кибербезопасность должна быть простой в настройке и управлении.

      Более подробная информация о многоуровневой защите устройств домашних пользователей и решении для малого бизнеса. Пресс-выпуск.
    • Ego Dekker
      ESET NOD32 Antivirus 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Internet Security 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Smart Security Premium 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Security Ultimate 19.0.11  (Windows 10/11, 64-разрядная)
                                                                                  ● ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 19  (PDF-файл)
              Руководство пользователя ESET Internet Security 19  (PDF-файл)
              Руководство пользователя ESET Smart Security Premium 19  (PDF-файл)
              Руководство пользователя ESET Security Ultimate 19  (PDF-файл)
              
      Полезные ссылки:
      Технологии ESET
      ESET Online Scanner
      Удаление антивирусов других компаний
      Как удалить антивирус 19-й версии полностью?
    • demkd
      ---------------------------------------------------------
       5.0.3
      ---------------------------------------------------------
       o Добавлен новый статус процесса: Критический.
         В старых версиях uVS выгрузка такого процесса приводила к BSOD с кодом: CRITICAL PROCESS DIED.
         Начиная с v5.0.3 такие процессы выгружаются без последствий (если этот процесс не является системным).
         При обнаружении неизвестного процесса с критическим статусом в лог выводится предупреждение и
         файл получается статус "подозрительный".

       o Добавлен новый режим захвата экрана DDAw, который является упрощенным режимом DDAL.
         Отличие от DDAL в том, что передается и отображается лишь содержимое активного окна и
         участки окон высшего уровня перекрывающие это окно (если они есть).
         Данный режим позволяет снизить нагрузку на процессор и канал передачи данных.
         Визуально это выглядит как интеграция окна удаленного приложения в клиентскую систему.
         Для переключения между окнами доступны все горячие клавиши.
         При нажатии Alt+Tab на время удержания клавиши Alt передается весь экран для возможности
         визуального выбора другого окна.
         (!) В этом режиме монитор и рабочий стол выбираются автоматически по расположению активного окна. 
         (!) В этом режиме недоступна эмуляция нажатия Ctrl+Alt+Del.
         (!) В этом режиме недоступно отображение запроса UAC.
         (!) Если нет активного окна то картинка не передается.
         (!) Режим доступен начиная с Windows 8.

       o В окно настройки однократного доступа к удаленному рабочему столу
         добавлен новый флаг "Только для выбранного приложения".
         Если флаг установлен то удаленному пользователю передается лишь содержимое активного  
         окна разрешенного приложения, все остальное он не видит и не может просматривать/управлять 
         окнами других приложений.
         Разрешенным может являться лишь одно приложение. Для выбора приложения необходимо
         активировать любое его окно и нажать горячую клавишу (по умолчанию Alt+Shift+W) указанную в логе uVS.
         Выбор доступен лишь тому кто предоставляет доступ к своему рабочему столу.
         Если удаленному пользователю разрешено управление и он любым способом сменит фокус ввода
         на другое приложение (например нажмет Alt+Tab или закроет приложение) то он немедленно потеряет возможность
         управлять удаленным компьютером до возврата фокуса ввода в окно разрешенного приложения или
         замены разрешенного приложения.

       o Функция запоминания размеров окон для разных мониторов удалена.
         Теперь действуют единые парметры масштабирования.
         Масштабирование стало автоматическим.

       o При подключении к удаленному рабочему столу автоматически определяется активный дисплей
         по окну на переднем плане.

       o В системное меню окна удаленного рабочего стола добавлены пункты:
         o Скрыть/показать элементы управления.
         o Эмулировать нажатие кнопок Ctrl+Alt+Del (кнопка CAD удалена из окна).
       
×