Перейти к содержанию
Сергей Ильин

Онлайн-интервью с Сергеем Уласенем, руководителем отдела разработки ядра ВирусБлокАда

Recommended Posts

Сергей Ильин

С 1-го сентября на вопросы нашего сообщества согласился ответь Сергей Уласень, руководителем отдела разработки ядра компании "ВирусБлокАда".

Сергей прекрасно разбирается в антивирусных технологиях, поэтому на эту тему его можно и нужно спрашивать. Кроме того Сергея будет неплохо поспрашивать о компании "ВирусБлокАда", текущих задачах по улучшения антивирусу VBA32, планах на будущее и т.д. В общем придется отвечать за всю компанию :)

Анонсировал заранее, чтобы было время собрать первую партию вопросов к началу интервью, поэтому задавайте свои вопросы уже сейчас.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

С позволения, задам не один, а пару вопросов. :)

1. Практика показывает, что решения, выпускаемые под маркой VBA32 как-то не "на слуху" (если сравнивать с теми же Dr.Web, KL, NOD32), хотя обладает рядом собственных разработок по обнаружению вредоносного кода. Чем вызвано подобное "упущение", и предполагается ли какой-то выход из образовавшейся "тишины"?

2. Какова частота выхода обновлений вирусных баз VBA32?

Спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

Добрый день!

Ваш продукт известен за пределами Белоруссии в основном в кругу специалистов. Планируете ли вы некую активную экспансию в страны СНГ? а за пределы СНГ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

В связи с недавним событием, нет ли у VBA зайти под крыло более глобального вендора? И наоборот, не смотрит ли VBA на другие, чтобы приобрести их?

Я замечаю, что нередко имя нашего и вашего детекта совпадают. Мне это нравится, я вообще считаю, что у ЛК наиболее адекватный метод именования вредоносов, где видно и поведение, и платформу, и семейство, и модификацию, и даже иногда целостность. Но вопрос таков: Вы и вы (человек и компания) посчитали также этот метод наиболее удобным или просто кто-то навязал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
canni

1.Назовите, пожалуйста, более-менее определённую дату выхода четвёртой версии комплекса и, если можно, какие новые решения в нём применяются?

2.Ведутся ли работы в плане более глобальной защиты: фаервол и т.п.

3.В каком регионе(стране) наиболее популярен комплекс VBA32? Статистика ведь ведётся?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Подкину несколько вопросов от себя:

1. Почему ВирусБлокАда не идет на технологические альянсы с другими производителями?

2. Есть ли планы развивать OEM-продажи, включая лицензирование движка?

P.S. Человек передо мной задал хорошие вопросы, но из-за потери данных вчера мы его чуть не потеряли :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
newbieHelper

Здравствуйте,

- Скажите, планирует ли компания расширять штат разработчиков в других городах Республики Беларусь и России?

- Есть ли возможность удаленной работы в компании для специалистов из далёких городов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

В связи с недавним выходом в мир TDL3 for x64 как изменились планы компании по разработке средств обнаружения и лечения данной вредоносной программы в активном состоянии? Подразумевается, прежде всего, VBA32 AntiRootkit, функции которого предполагались быть имплементированы в основной продукт -- Антивирус VBA32?

Как скоро можно будет увидеть бету нового VBA32 AntiRootkit?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Как скоро можно будет увидеть бету нового VBA32 AntiRootkit?

Ну и, соответственно, когда можно ждать полной интеграции в большой продукт?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen

Всем добрый день!

Готов отвечать на ваши вопросы. Сразу отвечу на те вопросы, которые мне ближе как техническому специалисту, а "экономический блок" оставлю на потом.

И всех с Днем знаний, кстати. :)

2. Какова частота выхода обновлений вирусных баз VBA32?

На сегодняшний день выпуск антивирусной базы происходит один раз в сутки. Если мы видим, что необходимо выпустить

срочный апдейт, то мы это делаем по необходимости (угроза массовой эпидемии, ложное срабатывание и т.д.).

В первую очередь это связано с достаточно длительным тестированием апдейта на ложные срабатывания.

Хочется отметить, что в последнее время нами была проделана определенная работа в направлении уменьшения

ложных срабатываний, и сейчас ситуация с ними достаточно стабильная. Также необходимо сказать, что

мы понимаем, что частота обновлений - достаточно важная составляющая антивирусной безопасности. И

мы находили и будем находить в будущем баланс между безопасностью пользователей и угрозой ложных срабатываний.

Я замечаю, что нередко имя нашего и вашего детекта совпадают. Мне это нравится, я вообще считаю,

что у ЛК наиболее адекватный метод именования вредоносов, где видно и поведение, и платформу, и семейство,

и модификацию, и даже иногда целостность. Но вопрос таков: Вы и вы (человек и компания) посчитали также этот

метод наиболее удобным или просто кто-то навязал?

Ну навязать-то нам это никто не мог :)

На самом деле, мы никогда и не скрывали, что мы пользуемся той же классификацией malware, что и ЛК. И я тоже не вижу в этом

чего-то зазорного. Если аналитик видит, что имя трояну уже присвоено, то ему присваивается такое же имя. Новое имя присваивается

только в том случае, если имя отсутствует. Используемая классификация действительно достаточно "говорящая" для пользователя.

Кроме того, часть malware классифицируется по нашим уникальным технологиям. Для этого в начало имени добавляются

ключевые слова Malware-Scope, SScope, BScope и др.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Для этого в начало имени добавляются

ключевые слова Malware-Scope, SScope, BScope и др.

А какие классы вредоносов скрываются под этим? К примеру, если в имени есть SScope, это что означает?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
А какие классы вредоносов скрываются под этим? К примеру, если в имени есть SScope, это что означает?

Многого не расскажу, но специалисты поймут:

Технология детектирования вредоносного кода SScope позволяет создать образ вредоносного семейства и детектировать его экземпляры невзирая на различные упаковщики, которыми они обрабатываются.

Технология BScope является дальнейшим развитием нашей технологии поведенческого детектирования вредоносных программ.

2. Есть ли планы развивать OEM-продажи, включая лицензирование движка?

Сейчас движок лицензирован компаниями TrustPort (Чехия) и Safe`n`Sec (Россия). Кроме того, сейчас подписан NDA еще с одной российской компанией.

- Скажите, планирует ли компания расширять штат разработчиков в других городах Республики Беларусь и России?

- Есть ли возможность удаленной работы в компании для специалистов из далёких городов?

Сейчас у нас есть офис в Минске, в котором находится штат разработчиков. По моему мнению развивать офисы в других городах РБ нецелесообразно. И причин для этого очень много - только здесь я их перечислять не буду. Это отдельный разговор.

Также у нас есть офис в Москве, но там только "продажники" и тех. поддержка. При этом московский офис - это отдельная коммерческая структура.

Если у Вас есть желание у нас поработать, то Вы можете связаться с нами по следующим адресам info@anti-virus.by (Минск) и info@virusu.net (Москва).

По поводу удаленной работы - к сожалению, в качестве разработчика на данный момент это невозможно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Как скоро можно будет увидеть бету нового VBA32 AntiRootkit?

Планы следующие:

1) сентябрь - закончить основную разработку;

2) октябрь - середина ноября - посвятить внутреннему тестированию (и тестированию в закрытой группе добровольцев :) ) и доработке продукта;

3) конец ноября - посвятить документации и выпустить бета-версию продукта.

Новый функционал будет очень вкусный :)

В связи с недавним выходом в мир TDL3 for x64 как изменились планы компании по разработке средств обнаружения и лечения данной

вредоносной программы в активном состоянии? Подразумевается, прежде всего, VBA32 AntiRootkit, функции которого предполагались быть имплементированы

в основной продукт -- Антивирус VBA32?

Ну и, соответственно, когда можно ждать полной интеграции в большой продукт?

Компания продолжает работать на то, чтобы и основной продукт также обладал функционалом лечения сложных (руткит-) заражений.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
1. Практика показывает, что решения, выпускаемые под маркой VBA32 как-то не "на слуху"

(если сравнивать с теми же Dr.Web, KL, NOD32), хотя обладает рядом собственных разработок по обнаружению вредоносного кода.

Чем вызвано подобное "упущение"

Подобное упущение связано с тем, что, в первую очередь, мы работаем с корпоративными клиентами, а также

малым и средним бизнесом в Республике Беларусь. Пока именно здесь наш основной рынок. А заработанные деньги мы

пытаемся тратить на совершенствование комплекса Vba32.

предполагается ли какой-то выход из образовавшейся "тишины"?
Ваш продукт известен за пределами Белоруссии в основном в кругу специалистов.

Планируете ли вы некую активную экспансию в страны СНГ? а за пределы СНГ?

Предполагается. Мы начали заключать договора на распространение нашего продукта с компаниями в странах СНГ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
В связи с недавним событием, нет ли у VBA зайти под крыло более глобального вендора?

Пока нет. А что у Вас есть предложения? :)

И наоборот, не смотрит ли VBA на другие, чтобы приобрести их?

Тоже не смотрит. Пока это скорее из области фантастики :) Мы не настолько крупны, чтобы позволить себе покупки/поглощения.

Во многом в том числе и из-за организационных моментов. Вопрос технологического взаимодействия здесь более уместен.

1. Почему ВирусБлокАда не идет на технологические альянсы с другими производителями?

Наш АВ-движок используется в продуктах других вендоров, что по сути тоже является технологическим альянсом.

Мы также рассматриваем возможность использования сторонних технологий в своем антивирусе. И вопрос этот достаточно актуален.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
1.Назовите, пожалуйста, более-менее определённую дату выхода четвёртой версии комплекса и,

если можно, какие новые решения в нём применяются?

Переход к новой версии антивируса будет осуществляться последовательно. В первую очередь изменения коснутся пользовательского интерфейса. Вот скриншот дизайнерского макета следующей версии продукта:

VBA_Interface_NEW.png

VBA_Interface_NEW2.png

Сейчас ведется работа над воплощением этих задумок в жизнь. Как только дата выхода беты/релиза станет известна, я ее обязательно сообщу.

2.Ведутся ли работы в плане более глобальной защиты: фаервол и т.п.

Да, ведутся. Рассматривается в том числе возможность использования сторонних технологий в нашем продукте.

3.В каком регионе(стране) наиболее популярен комплекс VBA32? Статистика ведь ведётся?

Как я уже писал выше, наш основной рынок - Республика Беларусь.

post-3859-1283354680_thumb.png

post-3859-1283354686_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Он основной потому что вам так удобнее или потому что на других пробиться не удается?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Добрый вечер.

1) Что умеет ваш эмулятор (он ваш с нуля? :))? Динамическая трансляция? Ускоряющие технологии?

2) Есть какие-нибудь интересные фишки "движка"?

3) На каком уровне в анти-рутките вы читаете диски? IDE/SATA/SCSI/RAID-X - что поддерживаете? Разборщики FS?

4) Сколько программистов/аналитиков занято в сфере "лечения активных угроз"?

Пока все :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
canni2
Наш АВ-движок используется в продуктах других вендоров, что по сути тоже является технологическим альянсом.

Мы также рассматриваем возможность использования сторонних технологий в своем антивирусе. И вопрос этот достаточно актуален.

А можно узнать кто(конкретные брэнды) использует ваш движок?

P.S. Сергей Ильин

Причина редактирования: Эккаунт автора предыдущего поста выше восстановлен

Всё-таки я потерялся. :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
А можно узнать кто(конкретные брэнды) использует ваш движок?

Антивирусный сканер VBA32 входит в продукты Safe`n`Sec Deluxe и Safe`n`Sec Pro Deluxe компании S.N. Safe&Software.

TrustPort AV WS от компании AEC использует для работы несколько движков, в том числе движок VBA32.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Он основной потому что вам так удобнее или потому что на других пробиться не удается?

До сих пор нам действительно было так удобнее. Сейчас компания начала заниматься освоением и других рынков. Но так как это освоение началось сравнительно недавно, то на каких-то рынках наши партнеры уже имеют успехи, а на каких-то наблюдаются положительные тенденции.

Политика компании заключается в том, что выход на рынок осуществляется на "языке рынка". Т.е. локализована для той страны, где программа будет продаваться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
1) Что умеет ваш эмулятор (он ваш с нуля? :))? Динамическая трансляция? Ускоряющие технологии?

Конечно с нуля. Нам его никто не подарил :)

2) Есть какие-нибудь интересные фишки "движка"?

Достаточно мощный эмулятор. Динамическая трансляция и ускоряющие технологии тоже есть.

Из интересных фишек: динамическое обновление эмулятора, generic unpacker, технологии поведенческого детектирования эмулятором, кэширование, интересный алгоритм обновления баз, хорошие возможности лечения файловых вирусов...

3) На каком уровне в анти-рутките вы читаете диски? IDE/SATA/SCSI/RAID-X - что поддерживаете? Разборщики FS?

Антируткит реализует некое подобие стека драйверов операционной системы. Очевидно, что это совсем нетривиальная задача, поэтому имплементировать её на 100% практически невозможно. Если более подробно, то (сверху вниз):

а) если файловая система поддерживается (FAT16/32 или NTFS), то разбираем её вручную; иначе - отправляем запрос драйверу ФС;

б) если том простой, то пересчитываем логические смещения в физические самостоятельно, а вот если пользователь работает, например, с программным RAID массивом - полагаемся на драйвер тома;

в) если контроллер диска простой, например IDE, - то антируткит может работать с ним на уровне портов ввода-вывода/прерываний, т.е. на самом низком уровне.

В случае других контроллеров, таких как AHCI, SCSI или RAID используются другие технологии.

4) Сколько программистов/аналитиков занято в сфере "лечения активных угроз"?

Хотелось бы больше B)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Спасибо за ответы.

в) если контроллер диска простой, например IDE, - то антируткит может работать с ним на уровне портов ввода-вывода/прерываний, т.е. на самом низком уровне.

Синхронизация с "системой" (думаю, что вы понимаете о чем я) присутствует? :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Синхронизация с "системой" (думаю, что вы понимаете о чем я) присутствует? :)

Присутствует.

Спасибо за вопросы :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

sergey ulasen, когда HIPS (контроль приложений, песочница) появится в продукте? Вообще, какова позиция компании в отношении технологий этого класса?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • AM_Bot
      Весной Positive Technologies запустила сервис PT Knockin. Он позволяет в один щелчок мышью проверить защищённость корпоративной электронной почты и в короткие сроки устранить проблемы. Рассмотрим функциональные возможности и сценарии применения PT Knockin.      ВведениеФункциональные возможности PT KnockinКак проверить свою почту с помощью PT KnockinВозможности коммерческой версии PT KnockinСценарии использования PT KnockinВыводыВведениеПо данным Positive Technologies, самым популярным методом атак на организации остаётся использование вредоносных программ (ВП): во втором квартале 2024 года его применяли в 64 % успешных взломов. В половине случаев ВП попадали в инфраструктуру через корпоративную почту: пользователи заражали компанию, открывая и запуская нежелательные объекты из писем. Такие вложения могут иметь множество форм и выглядеть как безопасные файлы — офисные документы, PDF, картинки, архивы и т. д. Содержимое вредоносного файла загружается на рабочую станцию с помощью эксплойта, который использует уязвимости ПО. Злоумышленники также могут включить в документ вредоносный макрос и с помощью методов социальной инженерии убедить пользователя нажать кнопку «Включить содержимое». В результате макрос запускается и заражает компьютер жертвы.Далеко не каждая компания может быть уверена, что её почтовая защита справится с любой вредоносной программой, особенно учитывая скорость создания новых экземпляров и появления разных способов их маскировки. Кроме того, любое обновление систем влечёт за собой изменения в настройках средств защиты почты и, как следствие, неконтролируемое ослабление безопасности. Оценить результативность работы почтовых СрЗИ и их способность блокировать письма с вредоносными вложениями поможет сервис от Positive Technologies — PT Knockin.Функциональные возможности PT KnockinPT Knockin — онлайн-сервис для оценки защищённости корпоративной почты. Он имитирует действия злоумышленников, отправляя на проверяемый адрес письма с вложениями, в которых замаскированы вредоносные программы. Содержимое файлов не представляет реальной угрозы для компании, так как подготовлено специальным образом и обезврежено: файлы воспроизводят различные вредоносные техники, но не оказывают негативного воздействия.На текущий момент в PT Knockin имеется более 1200 вариантов атак с различными образцами вредоносных программ, в том числе такими, которые активно используются для эксплуатации трендовых уязвимостей — например, CVE-2023-38831 в программном обеспечении WinRAR или CVE-2024-21412 для обхода MotW и Windows SmartScreen. PT Knockin умеет:отправлять экземпляры вредоносных программ на электронную почту, в т. ч. с собственного SMTP-сервера компании, и доставлять их с помощью ссылок;упаковывать их в различные форматы архивов, в том числе с паролями, для имитации вариантов атак;формировать из образцов ВП атаку для своего окружения;задавать расписание атак для регулярной проверки защищённости;проверять почтовые серверы компании на наличие уязвимостей автоматически и вручную;предоставлять описание атаки и рекомендации для защиты от подобных угроз (библиотека образцов).PT Knockin относится к SaaS-решениям — его преимуществом является возможность провести проверку почтовой защиты онлайн, без установки дополнительного ПО. Для знакомства с сервисом можно воспользоваться его бесплатной версией.Как проверить свою почту с помощью PT KnockinПерейдите на страницу сервиса knockin.ptsecurity.com и введите адрес корпоративного ящика, который хотите проверить. Не забудьте подтвердить, что принимаете условия использования сервиса. Согласие на обработку персональных данных и получение рассылок позволит присылать вам новости о появлении новых образцов и функций.  Рисунок 1. Главная страница сервиса PT Knockin На указанный при регистрации адрес придёт проверочный код, который необходимо ввести в соответствующее поле на странице сервиса. Это необходимо для подтверждения принадлежности почты, чтобы избежать несанкционированных проверок вашего ящика.  Рисунок 2. Поле для введения проверочного кода После введения проверочного кода сервис перенаправит вас в личный кабинет для настройки будущей проверки. Рисунок 3. Интерфейс настройки проверки в личном кабинете На момент написания статьи пользователям бесплатной версии доступны 24 образца ВП из 82 и возможность отправить до 500 писем для проверки. Различия бесплатной и платной версий будут подробнее описаны ниже.В блоке «Сохранённые атаки» есть четыре преднастроенные группы, которые сформированы экспертами Positive Technologies согласно уровням сложности вредоносных программ. При выборе той или иной группы в блоках «Параметры отправки» и «Семплы» будут определены соответствующие образцы и способы их доставки.В блоке «Семплы» представлены все варианты проверок. При самостоятельной настройке проверки следует выбрать те варианты атак, которые подходят для вашего корпоративного окружения. Другими словами, вы можете выбрать те типы файлов, с которыми работают в вашей компании.Хакеры используют разные способы доставки вредоносных программ, в т. ч. несколько способов упаковки. В блоке «Упаковывать семплы» можно выбрать один или несколько архиваторов и установить пароли.Для знакомства с системой можно воспользоваться одной из преднастроенных групп или настроить проверку самостоятельно. Для демонстрации была выбрана группа «Стандартный уровень» и запущена проверка (внимание: проверка подразумевает отправку 182 писем на вашу электронную почту).На почту обязательно должно прийти письмо с темой «[PT] Проверочное письмо». Оно является индикатором того, что проверка успешно начата и вам на электронную почту отправлены все образцы, выбранные при настройке. В этом письме нет ВП или ссылок на них. Если письмо не пришло, следует определить причину, почему оно не было получено. Рисунок 4. Пример проверочного письма В зависимости от специфики почтовых средств защиты и их настроек вам может прийти какое-то количество писем с образцами ВП. Чем их меньше, тем лучше. В случае безупречной работы защиты вы не получите ни одного письма с ВП.Важно! После сверки количества доставленных писем с количеством отправленных настоятельно рекомендуем проанализировать правила, с помощью которых недоставленные письма были заблокированы системой защиты информации (СЗИ).В прошлом мы сталкивались с тем, что СЗИ блокировала IP-адрес SMTP-сервера. Кроме того что такой подход может помешать корректной работе PT Knockin, он неспособен защитить от реальных атак, поскольку хакеры создают собственные адреса и почтовые серверы.Если вы столкнулись с похожими правилами, рекомендуется отключить их, провести проверку повторно и включить правила снова. Так вы увидите реальное количество писем, которое может отфильтровать ваша СЗИ.Далее необходимо проверить каждое письмо и отметить в отчёте, получено ли оно на электронную почту, а если получено — удалось ли средствам защиты обезвредить вложение. Инструкция относительно того, как это проверить, содержится в самом письме. Рисунок 5. Пример письма с инструкциями В отчёте необходимо отметить статусы всех писем. Рисунок 6. Экран отчёта, где необходимо отметить, какие письма были доставлены После нажатия кнопки «Продолжить» система сгенерирует отчёт и даст рекомендации по устранению уязвимостей. Рисунок 7. Экран отчёта о проведённой проверке с рекомендациями по защите от подобных угроз После выполнения всех рекомендаций желательно провести повторную проверку и убедиться, что настройки сработали.Возможности коммерческой версии PT KnockinВерсия по подписке предоставляет дополнительные преимущества по сравнению с бесплатной версией. Бесплатная версияПлатная подпискаДоступные образцы ВП2482Обновление образцов1 раз в месяц4 раза в месяцКорпоративные домены1До 10Количество писем для проверки500До 10 000Сохранение сценариев отправкиНетДаАвтоматическая отправка по расписаниюНетДаPT Knockin внесён в единый реестр российского ПО.Сценарии использования PT KnockinСуществует несколько сценариев использования PT Knockin:Оценка актуального состояния защиты электронной почты.Сравнение различных СЗИ при выборе поставщика.Проведение регулярного аудита защищённости электронной почты (например, при обновлении или перенастройке СЗИ).Проверка защиты после появления новых трендовых ВП.ВыводыБесплатная версия PT Knockin — простой способ проверить, насколько хорошо защищена ваша электронная почта. Для проверки не нужно ничего устанавливать: достаточно ввести адрес и подтвердить его. Коммерческая версия PT Knockin позволит провести более глубокий анализ защищённости корпоративной почты и сделать проверки регулярными. Это поможет реагировать на новые уязвимости и устранять их раньше, чем произойдёт атака.Достоинства: Проверяет надёжность защиты почтового сервера, эмулируя реальные атаки без опасности для инфраструктуры.Проверяет на самые трендовые вредоносы.Оценивает защищённость почты за две минуты.Даёт рекомендации по улучшению работы СЗИ.Формирует отчёт по проведённым атакам.Позволяет гибко настраивать симуляцию.Есть образцы ВП для платформ Windows и Linux.Регулярная проверка электронной почты по расписанию.Недостатки: Отсутствуют образцы ВП для платформ macOS, Android, iOS.Отсутствуют проверки SPF, DKIM, DMARC, PTR.Отсутствует проверка на перебор пользователей на SMTP.Нет проверки облачных почтовых служб.Реклама, АО "Позитив Текнолоджиз", ИНН 7718668887, 16+Читать далее
    • santy
      Выявлять это можно через критерий: C:\WINDOWS\SYSTEM32\WUAUENG.DLL HKLM\System\CurrentControlSet\Services\wuauserv_bkp\Parameters\ServiceDLL а для исправления нужен твик с соответствующим файлом reg из чистой системы, например, wuauserv.reg для соответствующей системы.
    • demkd
      ---------------------------------------------------------
       4.99.2
      ---------------------------------------------------------
       o Это обновление повышает качество работы с удаленной системой и снимает некоторые ограничения.
         Работа с удаленным рабочим столом вышла на новый уровень недостижимый для подавляющего большинства программ удаленного управления.
         Функция оптимизирована для работы в локальной сети, что обеспечивает минимальный, почти неощутимый лаг и высокий максимальный fps.
         Дополнительно это обновление исправляет проблему с анализом ответа от сервиса VT.

       o Для Windows 8 и старше для получения копии экрана теперь используется Desktop Duplication API + DX11,
         который уменьшает загрузку процессора в удаленной системе и изменяет FPS в зависимости
         от интенсивности изменения содержимого экрана, что позволяет устанавливать нулевую задержку
         для обновления экрана без существенной загрузки процессора, что в свою очередь обеспечивает
         минимальный инпут лаг. В этом режиме состояние кнопки "CAPBLT" игнорируется.
         Максимальный fps в этом режиме минимум в 2 раза выше, чем в устаревших системах.

       o В клиентской части для отрисовки экрана задействован Direct2D с поддержкой использования ресурсов видеокарты,
         что позволяет отображать удаленный рабочий стол с приличным FPS даже при масштабировании кадра.
         Качество масштабирования экрана при использовании аппаратного ускорения стало заметно выше.
         (!) Минимальные требования Vista SP2/Windows Server 2008 SP2.

       o Добавлена поддержка передачи стандартных курсоров, стандартные курсоры не рендерятся на рабочий стол,
         а устанавливаются в клиентской системе, что позволяет избежать лагов при движении курсора и повышает fps.
         (!) В удаленных системах без физической мыши для поддержки этой функции необходимо активировать отображение курсора мыши.
         (!) Win+U -> Мышь и выбрать "Управлять мышью с помощью клавиатуры".

       o Исправлена и оптимизирована функция сжатия фреймов при работе с удаленным рабочим столом, из-за ошибки
         не поддерживались фреймы размером более 2560x1600 пикселей.
         Время сжатия фрейма уменьшено на 40%. (для 32/24 битных режимов)
         Коэффициент сжатия фрейма увеличен на 25%. (для всех режимов)
         (!) Новая функция не совместима со старыми версиями uVS, если у вас в настройках флаг bReUseRemote = 1,
         (!) то перед обновлением необходимо закрыть все серверные часть uVS на удаленных компьютерах с помощью
         (!) старой версии uVS.

       o В целях уменьшения трафика добавлена поддержка понижения цветности для 32/24/16bpp  режимов экрана
         (детализация не понижается, а лишь удаляется избыточная информация о цвете).
         Вы можете выбрать в списке 24bpp (24 бита на цвет), 15bpp (15 бит) и 7bpp (7 бит).
         7bpp это черно-белый режим со 128 градациями серого. Яркость в это режиме представлена средним арифметическим
         цветовых компонент, этот вариант смотрится лучше и требует меньше ресурсов процессора, чем "правильное" обесцвечивание.
         Каждый шаг понижения цветности экономит до 70% трафика относительно предыдущего режима, однако 24bpp
         позволяет достичь максимального fps (только при достаточной ширине канала), за счет минимального времени сжатия картинки.

       o Повышена точность трансляции координат курсора.

       o Добавлена дополнительная кнопка "1:1", при нажатии на нее устанавливается размер отображаемого рабочего стола 1:1
         (при физической возможности), а при нажатии на нее правой кнопкой мыши высота окна остается неизменной,
         а ширина окна подстраивается под соотношение сторон удаленного рабочего стола.

       o Изменена функция кнопки "[ ]", при при первом нажатии на нее высота удаленного рабочего стола становится максимальной
         с учетом высоты таскбара, при повторном нажатии размер удаленного рабочего стола масштабируется до максимума в соответствии
         с текущим разрешением клиентского монитора и учетом соотношения сторон исходного изображения вплоть до перехода в полноэкранный режим,
         заголовок окна и управляющие кнопки автоматически скрываются и проявляются если подвести курсор мыши к верхней границе дисплея,
         эффект от третьего нажатия на эту кнопку соответствует эффекту от первого нажатия.
         Горячая клавиша RWIN доступна и в полноэкранном режиме, при ее нажатии в клиентской системе полноэкранный режим будет отменен и будет
         активировано ближайшее окно другого приложения (эмуляция Alt+Tab), при повторном ее нажатии или переключении в окно удаленного рабочего стола
         полноэкранный режим будет восстановлен.

       o Передача удаленного рабочего стола и нажатий кнопок теперь производится через сокет открываемый на время
         передачи по случайному порту, что позволило дополнительно повысить FPS и отзывчивость удаленного интерфейса.
         Серверная часть uVS на удаленном компьютере автоматически добавляет себя в исключения брандмауэра Windows при запуске
         и удаляет себя из исключений при завершении. При использовании стороннего фаервола необходимо добавить uVS в исключения
         самостоятельно на удаленной машине, в этом случае необходимо прописать bFixedName=1 в settings.ini, что бы имя исполняемого файла
         было постоянным.
         В качестве имени удаленного компьютера допустимо использовать:
          o IPv4 (подключение по TCP-IPv4, максимальная скорость запуска серверной части)
          o Имя компьютера (автоматический выбор версии IP, скорость передачи картинки выше в случае TCP-IPv6 в пределах 4%)
          o Доменное имя   (автоматический выбор версии IP)
         (!) Приоритетным протоколом является IPv6, т.е. если у удаленной системы есть IPv4 и IPv6 адрес, то подключение будет по IPv6.
         (!) Если вы используете Ф или сторонний фаервол то в клиентской и удаленной системе необходимо разрешить исходящие запросы
         (!) по протоколу ICMPv6 для SYSTEM.
         (!) Подключение по IPv6 доступно начиная с WinXP.
         (!) Для работы с удаленной системой без отображения рабочего стола внесение изменений в настройки фаервола не требуется.

       o Новый параметр в settings.ini
         [Settings]
         ; Использовать IPv6 при подключении к удаленному рабочему столу.
           bIPv6 (по умолчанию 1)

       o В окне удаленного рабочего увеличено количество поддерживаемых мониторов с 6 до 10 (кнопки 1-10).

       o Окно удаленного рабочего стола теперь не приходится перезапускать при смене разрешения, положения или смены состояния
         текущего монитора в удаленной системе.

       o При работе с удаленным рабочим столом добавлена поддержка нажатия Ctrl+Alt+Del (кнопка CAD) для Windows Vista и старше.
         Для реализации этой функции добавлен новый модуль: usas.
         (!) На время его выполнения модифицируется групповая политика для разрешения использования SAS.
         (!) Чтобы эта функция работала в Windows Server 2008 и Windows Vista,
         (!) необходимо скопировать библиотеку(и) sas.dll из Windows 7:
         (!) C:\Windows\System32\sas.dll и C:\Windows\SysWOW64\sas.dll (для Vista x64 нужны обе)
         (!) и поместить их в C:\Windows\System32 и C:\Windows\SysWOW64 соответственно.
         (!) Эти библиотеки из Windows 7 были добавлены в STORE (каталоги NT60 и NT60x64).

       o Улучшена функция получения доступа к защищенным от чтения файлам на NTFS разделах.
         Теперь файлы, которые полностью защищены от открытия на уровне ядра, т.е. те что ранее не читались uVS,
         можно проверять по хэшу, копировать в Zoo и проверять их ЭЦП (в том числе и драйвер Ф).
         Добавлена поддержка чтения мелких защищенных файлов и файловых потоков полностью помещающихся в записи MFT.
         (новая функция прямого доступа к диску портирована из badNTFS Pro v2.21)

       o Обновлено окно лога для более быстрого добавления в него строк из нескольких потоков одновременно.
         Отображение строки лога ограничено 512 символами, однако при копировании строки или всего лога в буфер обмена копируется
         строка исходной длины, теперь лимита на длину строки нет.

       o Снят лимит на длину строк в окне информации о файле.

       o Снят лимит на путь и длину командной строки в окне истории процессов и задач.

       o Максимальный размер cmd/vbs и т.д. текстовых файлов, хранящихся в описании файла в поле #FILE#, увеличен до 128kb.
         Восстановить файл из образа автозапуска можно поместив значение данного поля в буфер обмена и далее
         сохранив его в любом текстовом редакторе.

       o В лог добавлено состояние брандмауэра. (0 - выключен, 1 - включен).

       o В окно установленных программ добавлена кнопка "Сохранить", которая сохраняет список программ в текстовый файл.

       o Обновлены start и start_x64: улучшена четкость шрифта в новых системах.

       o Обновлена функция разбора ответа от сервиса VT.
         Дополнительно в лог добавлены результаты из раздела sigma_analysis.

       o Окно истории процессов и задач стало немодальным.
         Перейти в это окно теперь можно из окна информации через его контекстное меню при щелчке правой кнопкой мыши по
         строке содержащей pid.
         (!) История процессов доступна лишь при активном отслеживании процессов и задач. (твик #39)

       o Исправлена критическая ошибка в функции обновления окна списка.

       o Исправлена критическая ошибка в функции проверки одного файла по списку критериев.

       o Исправлена критическая ошибка в функции сканирования реестра: длинные значения ключей полностью игнорировались.
         Теперь при обнаружении значения длиной свыше 1024 байт в лог выводится предупреждение с указанием ключа, имени значения
         и содержимого значения. Если в значении будет выделен файл то файл становится подозрительным.
         Эта ошибка присутствовала с v1.0.

       o Исправлена ошибка при открытии окна удаленного рабочего стола, задержка обновления экрана была 50мс
         вне зависимости от текущих настроек до ее изменения вручную.

       o Обновлена функция определения файлов запускавшихся неявно для совместимости с новыми билдами Windows.

       o Исправлена ошибка из-за которой в очень редких случаях мог не отображаться удаленный рабочий стол.

       o Исправлена функция обработки двойного щелчка кнопкой мыши.

       o Исправлена ошибка из-за которой клиент мог долго завершать работу с выдачей ошибок
         при штатном завершении серверной части.

       o Исправлена ошибка [Error: 0x80004002 - Интерфейс не поддерживается] в твике(27) удаления политик Chrome
         при работе с удаленной системой и при выполнении команды "regt 27" из скрипта.

       o Для Windows 11 возвращен оригинальный стиль чекбоксов, начиная с некоторого обновления их наконец-то исправили.

       
    • PR55.RP55
      Как бы это выявлять и исправлять в uVS ? https://forum.kasperskyclub.ru/topic/464495-pojmal-virusa-pereimenovalis-sluzhby/
    • Ego Dekker
      Домашние антивирусы для macOS были обновлены до версии 7.5.74. Добавлена поддержка macOS Sequoia (версия 15).
×