Новые функции в Universal Virus Sniffer (uVS)

[demkd 636]

1."Ложное срабатывание, увеличить длину сигнатуры"

подумаю.

Как добавлять/интегрировать доп. драйверы устройств ?

Самостоятельно редактировать готовый образ.

Скажем, есть подозрительный файл в папке Х* и мы хотим инициировать проверку - есть ли КАКАЯ ЛИБО запись в реестре...

Смысла не вижу.

4.Возможно стоит - Создать доп. тему

Новые/Интересные/Нестандартные примеры образов Автозапуска генерированных uVS.

А кто-то запрещает создавать темы самостоятельно?

[WindR 0]

Неплохо было бы сделать изменяемым размер окна логов. Само собой напрашивается перетащить мышкой верхнюю границу окна логов.

[santy 153]

Alt+L - радикальное изменение размера окна логов, до максимума. Это более удобный и информативный режим просмотра логов

[Severnyj 0]

Извините, может пропустил, где и было. Можно ли еще добавить поиск информации о CLSID на http://www.systemlookup.com/

[demkd 636]

Severnyj

Желания возиться с этим нет, а пользы для себя не вижу.

[qbk69 0]

1. Очень спасибо, uVS спас в момент жесточайшего цейтнота!

2. Хотелка второстепенная, несрочная: добавить в саму программу процедурку встраивания в Utility Manager [Win+U] в новых ОС, чтобы сразу по этому хоткею открывалась или хотя бы была в списке. Или по какому-то иному глобальному условно неиспользуемому хоткею. Вижу как дополнение в секцию твиков или в качестве ключа на запуск, как вариант, только для StartF или как-то совсем автоматически если uVS детектит нечто особо гадкое.

[PR55.RP55 83]

Так, как новая версия uVS выйдет к народу: Утром 1.01.2012 у меня, есть пара предложений. : )

1.Возможность добавить для очистки, по аналогии с очисткой папок Temp.

Например папку: "Главное меню\Программы\Автозагрузка".

2.В параметрах Импорта.

Файл > Импорт > Импортировать сигнатуры из скрипта.

3. Отправка Загрузчика, для проверки на Jotti.org при работе с образом автозапуска.

4. Групповая Отправка файлов - очередь/список отправки.

Меню: "Добавить файлы в очередь загрузки/проверки на Jotti.org"

т.е. добавляем группу файлов каталога и uVS их поочерёдно загружает с выводом результата в лог.

5. toolbarcleaner

://***.toolbarcleaner.com/

toolbarcleaner

Инструмент для удаления: баров; add-ons; плагинов \ дополнений к браузеру.

Например, такие нежелательные дополнения как: Yahoo, Ask Toolbar и другие.

Поддержка браузеров: Mozilla Firefox; IE; Chrome;

*см.фото.

Возможно, функционал программы будет полезен при модернизации uVS в плане работы с браузерами.

Да и вообще, может кому - то и пригодиться !

[santy 153]

Так, как новая версия uVS выйдет к народу: Утром 1.01.2012 у меня, есть пара предложений. : )

1. а если в папке автозагрузки полезные программы кроме трояна Carberp, которого может и не быть совсем - тоже под нож uVS как temp?

2. импортировать сигнатуры из скрипта - вопрос: зачем? понимаю, что лень бывает просматрировать и анализировать образы автозапуска пользователей - лучше из готовых скриптов выдергивать сигнатуры. Или фишка в чем то другом?

3. по проверке загрузчика на Jotti может и имеет смысл (когда до ВТ не получается достучаться), тем более детект IPL (на примере rt.Cidox.A) работает.

http://virusscan.jotti.org/ru/scanresult/6...30a5b54d32b2da7

4. групповая отправка файлов, имхо, малоинтересна. Иногда приходится скан одного файла дольше ждать, чем длится по времени процесс лечения в uVS (если только в дальней перспективе, для работы uVS в режиме полуавтомата);

5. тулбар_клинер малоинтересен.

[PR55.RP55 83]

1. а если в папке автозагрузки полезные программы кроме трояна Carberp, которого может и не быть совсем - тоже под нож uVS как temp?

Возможность добавить для очистки, по аналогии с очисткой папок Temp.

Где фигурирует слово: Возможность добавлять папку.

А вот способ добавления - это уже отдельный разговор.

Возможно твик №25.

Или модификация команды ADDDIR.

т.е. Добавили файлы все и удалили.

В том числе и при работе со скриптом...

2. импортировать сигнатуры из скрипта - вопрос: зачем? понимаю, что лень бывает просматрировать и анализировать образы автозапуска пользователей - лучше из готовых скриптов выдергивать сигнатуры. Или фишка в чем то другом?

Экономия времени в ряде случаев; Создание базы сигнатур ( когда скрипт написан опытным человеком ) : )

Может быть даже добавление из самостоятельно написанных скриптов.

Да и просто удобно - раз! и добавил...

3. по проверке загрузчика на Jotti может и имеет смысл (когда до ВТ не получается достучаться), тем более детект IPL (на примере rt.Cidox.A) работает.

http://virusscan.jotti.org/ru/scanresult/6...30a5b54d32b2da7

Да я про это и говорил.

4. групповая отправка файлов, имхо, малоинтересна. Иногда приходится скан одного файла дольше ждать, чем длится по времени процесс лечения в uVS (если только в дальней перспективе, для работы uVS в режиме полуавтомата);

Можно проверить и после лечения...

Файлы из Zoo.

Там может быть 10 - 15 файлов и отправлять каждый в отдельности - это трата времени.

А так - Все файлы в Zoo - Запустить конвейер - и готово!

5. тулбар_клинер малоинтересен.

Возможно и так...

Но всё таки хоть и мало но интересен.

Возможно какие - либо функции обнаружения и очистки найдут своё место в uVS.

А если и не найдут... То и что с того.

Вот вычитал сегодня по uVS 372. Хорошо написали

Обновление предположительно последнее в этом году, по крайней мере по словам автора, но и оно привнесло много положительных изменений.

Одним из самых ярких нововведений стала возможность создания встроенной утилитой livecd образа на базе WAIK, что позволяет использовать программу для сканирования и лечения, казалось бы неизлечимых систем, зараженных буткитами, руткитами и такими вредоносными программами, лечение которых невозможно, работая в пораженной системе.

Так же была добавлена возможность просмотра содержимого загрузчика для ручного анализа на предмет заражения вредоносными программами, записывающими свой код в загрузочные сектора диска.

Другой новой функцией стала возможность проверки процесса на сервисе SystemExplorer.net, который содержит большую и постоянно пополняемую базу процессов и файлов с записями о их вредоносности или легитимности.

Другими словами, автор не останавливается на достигнутом и совершенствует Universal Virus Sniffer таким образом делая ее настоящим швейцарским ножом для лечения вредоносных программ.

[Vvvyg 12]

делая ее настоящим швейцарским ножом

Да-да, автор - настоящий швейцарский... ножовщик, вот

[santy 153]

Может быть даже добавление из самостоятельно написанных скриптов.

это как? открыл образ, снял сигнатуры с подозрительных файлов с автоматическим формированием команд скрипта, сохранил скрипт,

потом открыл сохраненный скрипт, и забрал обратно сигнатуры в базу? игра такая интеллектуальная. .

Вот вычитал сегодня по uVS 372. Хорошо написали

...

Другими словами, автор не останавливается на достигнутом и совершенствует Universal Virus Sniffer таким образом делая ее настоящим швейцарским ножом для лечения вредоносных программ.

и ссылку неплохо указать на блог автора с данным отзывом.

http://onthar.in/news/universal-virus-snif...do-versii-3-72/

[PR55.RP55 83]

Цитата(PR55.RP55 @ 23.11.2011, 21:48) *

Может быть даже добавление из самостоятельно написанных скриптов.

это как? открыл образ, снял сигнатуры с подозрительных файлов с автоматическим формированием команд скрипта, сохранил скрипт,

потом открыл сохраненный скрипт, и забрал обратно сигнатуры в базу? игра такая интеллектуальная. smile.gif.

Например когда есть альтернативная копия uVS.

Да, можно и всю базу сигнатур копировать - А можно, как я предложил из своего собственного скрипта.

Может будут нужны отдельные - выборочные сигнатуры ?

Чем больше возможностей uVS тем больше возможностей у её оператора.

и ссылку неплохо указать на блог автора с данным отзывом.

Вероятно - да.

Однако, на anti-malware не очень любят ссылки на стороннее ресурсы.

[santy 153]

Например когда есть альтернативная копия uVS.

Да, можно и всю базу сигнатур копировать - А можно, как я предложил из своего собственного скрипта.

Может будут нужны отдельные - выборочные сигнатуры ?

Чем больше возможностей uVS тем больше возможностей у её оператора.

ну, я как оператор считаю,

что надо использовать все заложенные возможности, и не заниматься расширением спектра нюансов до бесконечности.

скажем: есть простое копирование баз,

есть импорт баз сигнатур.

есть возможность подгрузить образ и снять необходимые сигнатуры

если нет возможности загрузить образ (из сети), скажем удален с файлообменников за сроком давности,

можно просто скопировать скрипт со страниц в буфер, закоментировать команды удаления и очистки, и оставить активными addsgn,

и выполнить скрипт... так и пополнить базу.

[demkd 636]

2. Хотелка второстепенная, несрочная: добавить в саму программу процедурку встраивания в Utility Manager [Win+U] в новых ОС

подумаю, но вообще сделать reg файл и самому не трудно.

1.Возможность добавить для очистки, по аналогии с очисткой папок Temp.

Слишком радикально.

Файл > Импорт > Импортировать сигнатуры из скрипта.

Лень, но может и сделаю.

3. Отправка Загрузчика, для проверки на Jotti.org при работе с образом автозапуска.

Добавлю.

Добавлю.Меню: "Добавить файлы в очередь загрузки/проверки на Jotti.org"

Jotti сервис своеобразный, могут и отрубить после n загрузок... надо бы лимит выяснить точно.

[santy 153]

Цитата

Файл > Импорт > Импортировать сигнатуры из скрипта.

Лень, но может и сделаю.

в таком случае, имеет смысл добавить: импорт избранных сигнатур из внешнего списка, или базы,

т.е. в данном режиме импортируется не полностью внешняя база сигнатур, и лишь выбранные или отмеченные для импорта сигнатуры.

тем более, что интерфейс просмотра базы сигнатур есть.

Думаю актуально будет импортировать сигнатуры детекта rt.Cidox.A, в связи с волной заражений Carberp.

-------

для тех кто ленится посмотреть список "загрузчики" не прошедшие проверку по списку проверенных_безопасных, детект IPL по добавленным сигнатурам будет хорошей помощью в составлении скрипта.

[PR55.RP55 83]

в таком случае, имеет смысл добавить: импорт избранных сигнатур из внешнего списка, или базы,

Смысл то в чём ?

Сейчас можно добавлять выбранные сигнатуры в скрипт...

Накидать в этот скрипт все необходимые сигнатуры и предать этот файл кому нужно.

Или получить файл/скрипт с нужными сигнатурами.

[santy 153]

экспорт в файл - тоже неплохой вариант.

тут главное выбрать оптимальный вариант обмена (как на барахолке)

-----

тот кто имеет базу с ценными сигнатурами - говорит, вот файл с ценными сигнатурами, добавьте его к себе.

или говорит. вот моя база сигнатур с подписанными комментами: выбирайте из нее, то что вам нужно.

или такой обмен: скиньте мне через экспорт такие то сигнатуры, если есть.

[Angel-iz-Ada 0]

Хотелось бы чтобы программа автоматом отображала все *.sys файлы из директории Windows в Подозрительных. Частенько там руткиты сидят.

[PR55.RP55 83]

Хотелось бы чтобы программа автоматом отображала все *.sys файлы из директории Windows в Подозрительных. Частенько там руткиты сидят.

Вот...

Уважаю, за такое предложение !

Angel-iz-Ada !

Вы, уже сейчас можете насладиться данной возможностью !!!

Так, как она - ( возможность ) уже реализована в рамках "критериев поиска !"

Просто создайте новый критерий и наслаждайтесь!

Смотрите фото роботs !

________________________________________________________________________________

_

Да и ещё, раз такая оказия выпала...

Предлагаю новый символ для uVS ( Стая волков не прошла... предлагаю пушистую БЕЛОЧКУ ) в качестве символа программы.

Белочка она как раз самое - то.

Очень подходящий по предложению символ.

P.S. Заранее благодарю за внимание !

[Angel-iz-Ada 0]

PR55.RP55

спасибо. про создание правил не знал. создал несколько, потом долго искал в меню программы как их удалить пока не подумал найти файл который отвечает за эту настройку - snms.

но это немного не то. у меня так и не вышло настроить так, чтобы он только отображал файлы из корня директории Windows. а то он отображает все файлы, из подкаталогов включиться, и получается целая куча ?ВИРУСОВ?

хотелось бы иметь эту возможность "из коробки", а не настраивать

[demkd 636]

про создание правил не знал. создал несколько, потом долго искал в меню программы

Есть соотв. категория для критериев, сигнатур и т.п. там можно удалять и редактировать.

хотелось бы иметь эту возможность "из коробки", а не настраивать

подумаю.

[PR55.RP55 83]

Сегодня только два предложения:

1. Добавить команду: Очистить ZOO

2. По базе SystemExplorer.

В программу SystemExplorer встроен модуль проверки по базе данных.

Проверка занимает секунды - с минимальным расходом трафика ( практически, без его расхода ).

Вот я и думаю - может будет желание, поработать с протоколами проверки & передачи данных и встроить данный алгоритм в uVS.

*Да и сам файл: SystemExplorer = data.fdb Видимо можно использовать на форумах по безопасности.

[santy 153]

Сегодня только два предложения:

1. Добавить команду: Очистить ZOO

а зачем нужна очистка ZOO? во вторых: CZOO все переносит в архив, и очищает ZOO

[PR55.RP55 83]

А зачем нужна очистка ZOO

Скажем в папке ZOO есть ненужные файлы - которые в отправке в Вир.Лаб. не нуждаются...

Можно конечно найти паку ZOO и самостоятельно её удалить/очистить.

Но так, как это физически чрезвычайно тяжело - я и предлагаю ввести отдельную команду.

CZOO все переносит в архив, и очищает ZOO

А зачем НАМ архив ? нет ! "Архив нам не нужен!"

P.S. Впрочем я в данном случае и не настаиваю...

Просто посчитал, что может быть полезная команда.

В скрипте она действительно не нужна!

Так, я про скрипт и не говорил.

[santy 153]

Скажем в папке ZOO есть ненужные файлы - которые в отправке в Вир.Лаб. не нуждаются...

Можно конечно найти паку ZOO и самостоятельно её удалить/очистить.

Но так, как это физически чрезвычайно тяжело - я и предлагаю ввести отдельную команду.

скажем, так: несколько вариантов.

если работаем с uVS на рабочем столе, то можно это сделать удалением просто папки с uVS.

распаковал UVS, очистил систему, удалил uVS

если работаем в локальной сети с удаленной машиной, то файлы карантинятся не на удаленной системе, а на стороне оператора. т.е. здесь как раз и нужен карантин.

если на "очень удаленной системе" очистка выполняется скриптами, то понадобится написать еще один скрипт очистки карантина.

для завершения лечения.

очистил систему, выполнил сканирование системы, отправил карантин в почту, потом еще и зачистил карантин (ОТДЕЛЬНЫМ скриптом.)

а если не отправил сразу, и очистил карантин, то ЦЕЛЬ НЕ ДОСТИГНУТА.