Новые функции в Universal Virus Sniffer (uVS)

[santy 153]

тогда имеет смысл (с нашей стороны) подготовить конкретный список изменений или добавлений, который сейчас размазан по теме новых предложений.

не планируешь поменять свой статус в 2014 году?

статус "вольная жизнь" сильно расслабляет

[PR55.RP55 83]

Если текст из инфо. копируется - значит он будет сохранён в...

Так зачем доп. телодвижения делать.

см. фото.

----------

ЧТОБЫ ВСЁ НА ВИДУ БЫЛО

http://www.anti-malware.ru/forum/index.php...st&p=175209

[demkd 638]

santy

да, я как-нибудь почитаю и отфильтрую, пока просто лень вникать,

а статус... если биток окончательно не запретят во всех странах, то вряд ли я соберусь менять статус, как бы это... хм... непрактично что ли

[santy 153]

если власти США дали разрешительную отмашку, то врядли теперь запретят.

[demkd 638]

santy

а китай к примеру запретил банкам работать с деньгами полученными от оборота битков, потому начался обвал, так тут что возможно все и чем все дело кончится и кончится ли вообще никто не знает... и это хорошо

[PR55.RP55 83]

Demkd пишет: а статус...

Demkd

Есть форумы тех.поддержки.

Где идёт борьба за PC.

Можно и для души поработать и uVS протестировать.

ЕСЛИ с uVS не работать...

Вначале котика за шарикоподшипники тянуть...

Потом так и прибор положить можно...

А как мы без uVS !!!

[PR55.RP55 83]

Тема: Вирус Caphaw

Начало массовой эпидемии.

В течении суток десятки случаев заражения.

После каждого перезапуска PC появляется новый вариант вируса. ( сигнатурное определение не работает )

Единственный на данный момент вариант борьбы НЕ выполнять перезагрузку до получения скрипта.

habrahabr.ru/company/eset/blog/171929/

forum.esetnod32.ru/messages/forum6/topic2836/message73103/#message73103

forum.esetnod32.ru/forum6/topic10233/

----------------------------------

CurrentVersion\Run\6m28ei1UERwiAk3q44ipcnsE6m28ei1UERwiAk3q44ipcnsE

CurrentVersion\Run\7mW8eihUFRkiG1Pv5rg=7mW8eihUFRkiG1Pv5rg=

---------------------------------

Предложение.

Что если Фиксировать в скрипте ВСЕ ЛЕГИТИМНЫЕ: \Run \ объекты.

т.е.

;uVS v3.81.8 [http://dsrt.dyndns.org]

;Target OS: NTv6.1

hide %SystemDrive%\******\*****\******.EXE

hide %SystemDrive%\*****\****\****\*****\****.EXE

hide *****

И в конце команда: " Delete unknown startup objects "

т.е. Скрипт удалит ВСЕ новые/неизвестные ключи/объекты _не затронув_ легитимные/проверенные.

И удалит вирус как бы тот не изменился.

* Скрипт сохраняется в файл.

[PR55.RP55 83]

Скрипт удалит ВСЕ новые/неизвестные ключи/объекты _не затронув_ легитимные/проверенные.

И удалит вирус как бы тот не изменился.

Подразумевается, что ЕСЛИ вирусЫ есть в списке - оператор их удалит.

После чего переменит команду: " Delete unknown startup objects "

И _ВСЕ_ ИНЫЕ объекты автозапуска _АВТОМАТИЧЕСКИ_ будут внесены в скрипт с исключением.

Подразумевается, что ЕСЛИ _видимые вирусЫ _ отсутствуют в списке...

Оператором будет применена команда: " Delete unknown startup objects "

И ВСЕ _НАЛИЧНЫЕ_ объекты автозапуска _АВТОМАТИЧЕСКИ_ будут внесены в скрипт с исключением.

При этом: БУДУТ удалены _ТОЛЬКО НОВЫЕ_ - неизвестные объекты автозапуска.

ТЕ объекты которых НЕ было в автозапуске - НЕ было в образе/списке.

ТЕ которые НЕ были _АВТОМАТИЧЕСКИ_ после применения " Delete unknown startup objects " прописаны в исключениях в списке/скрипте.

------------

При работе с определённым вирусом добавить возможность работы с ключами запуска по выбору.

Например КОМАНДА работает только для объектов: CurrentVersion\Run\

[santy 153]

demkd,

предлагаю расширить применения метода поиска скрытых файлов не только из под live.cd, но и из безопасного режима.

т.о. Caphaw (и ему подобные), который скрывается в нормальном режиме, да еще и с цифровой подписью сразу же попадет под прицел в образе из безопасного режима.

не надо будет отменять статус "проверенные".

-------------

в принципе, даже обычное сравнение образов с помощью compare_img сразу высвечивает скрытый ключ автозапуска

CmpImg v1.00 Copyright© 2011 D.Kuznetzoff [demkd@mail.ru]

http://dsrt.dyndns.org

Loading OLD image: EVGENIY-PC_2013-12-11_14-37-40.TXT

Loading NEW image: EVGENIY-PC_2013-12-11_15-38-14.TXT

Autorun: New

C:\USERS\EVGENIY\APPDATA\ROAMING\SKYPE\I-KONTUR\REG.EXE

Total:1

но лучше будет получить результат не отходя от безопасного образа

[PR55.RP55 83]

1) Критерии поиска.

Список игнорирования.

При формировании критерия поиска - возможность задать: _игнорировать_

Так при проверке по F4 предварительно считывается список игнорирования.

Заданный объект исключается из проверки по F4.

----------

_игнорировать_ Чтобы любой файл будь он с цифровой подписью или находясь в базе проверенных...

Отображался в категории " Подозрительные и вирусы " при срабатывании критерия поиска.

Таким образом появляется возможность поиска взаимосвязанных объектов.

----------

В качестве примера.

Проблема автоматической подмены DNS.

Полное имя C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE

Имя файла WMIC.EXE

Тек. статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске

Удовлетворяет критериям

ЛЕГИТИМНЫЙ ФАЙЛ ! НО ПОДМЕНА DNS .TASKS ТИПА: \TASKS\***.JOB( ~ WMIC.)(1) AND ( ~ TASKS)(1)

ЛЕГИТИМНЫЙ ФАЙЛ ! НО ПОДМЕНА DNS .( ~ DNS)(1) AND ( ~ TASKS)(1)

Сохраненная информация на момент создания образа

Статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске

File_Id 4A5BC7A78D000

Linker 9.0

Размер 566272 байт

Создан 14.07.2009 в 06:47:53

Изменен 14.07.2009 в 08:39:55

Тип файла 64-х битный ИСПОЛНЯЕМЫЙ

Цифр. подпись Действительна, подписано Microsoft Windows

Оригинальное имя wmic.exe.mui

Версия файла 6.1.7600.16385 (win7_rtm.090713-1255)

Описание WMI Commandline Utility

Производитель Microsoft Corporation

Доп. информация на момент обновления списка

SHA1 071A645A88E4236281E58B90A5D50A2AC80E26E5

MD5 FD902835DEAEF4091799287736F3A028

Ссылки на объект

Ссылка C:\WINDOWS\TASKS\AT1.JOB

Значение "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.8)

Ссылка C:\WINDOWS\SYSTEM32\TASKS\AT1

-------------

+

Внятно отображать в списке ( В КАЧЕСТВЕ ОТДЕЛЬНОГО ОБЪЕКТЫ- ФАЙЛЫ типа \TASKS\AT1.JOB )

Чтобы привычно работать с ним через меню так:

del C:\WINDOWS\TASKS\AT1.JOB

del C:\WINDOWS\SYSTEM32\TASKS\AT1

[alamor 69]

Чтобы любой файл будь он с цифровой подписью или находясь в базе проверенных...

Отображался в категории " Подозрительные и вирусы " при срабатывании критерия поиска.

Было бы очень удобно.

[demkd 638]

alamor

а так и есть, но проверка файла по f4 или при открытии образа автоматом снимает подозрительность, о чем опять же настаивал PR55.RP55 и таки он был прав, потому менять не буду, кому надо нажмет отдельно alt+f7 и получит результат, но может сделаю настройку приоритетов при открытии образов, кому как нравится так и будет использовать.

[santy 153]

RP55, дак это твоя идея (с приоритетом проверенных файлов) привела к тому, объект, выполняющий потенциально опасное действие, которое попадет под критерий поиска, выпадает из списка подозрительные. Приходится еще раз запускать отдельно проверку по критериям, чтобы wmic попал в подозрительные.

в этом есть свои плюсы и минусы.

плюсы:

отсеиваются чистые файлы с детектом по общим критериям

минус:

не попадают чистые файлы, с деструктивными действиями, подпадающими под точные критерии.

[PR55.RP55 83]

Тогда так.

Оператор прописывает список исключений в settings.ini

Для: ImgAutoF4=

По примеру работы с: vGetName = Kaspersky, DrWeb

__

ImgAutoF4= 1

ImgAutoF4 ! = WMIC.EXE, USERINIT.EXE,

Плюсы:

Это просто - это быстро.

[santy 153]

но может сделаю настройку приоритетов при открытии образов, кому как нравится так и будет использовать.

думаю, так лучше будет.

лучше применить вручную (F4) отсев из списка подозрительных чистых/проверенных объектов, попавших под критерий,

чем потерять из поля зрения объект, который выполняет деструктивное действие.

и будет стимул писать более точные критерии поиска.

ну, а дальше практика покажет, с какой настройкой удобнее работать.

[santy 153]

примерно так:

вынести в настройки:

при загрузке образа

- проверять по базе сигнатур

- проверять по списку критериев поиска

- проверять по списку SHA

- приоритеты:

0 - без приоритетов,

1 - приоритет проверки по SHA

2 - приоритет проверки по критерию поиска.

===========

в меню ПОДПИСЬ/ХЭШТ:

функции проверки по хэшам:

- проверить хэш файла......

- проверить хэши файлов из текущего списка по базам SHA

- проверить хэши всех файлов списка по базам SHA

(текущий список - это например, процессы, сервисы, драйвера, подозрительные.... т .д._

функции проверки цифровой подписи:

- проверить цифровую подпись файла

- проверить цифровую подпись файлов из текущего списка

- проверить цифровую подпись всех файлов списка

добавить как отдельную функцию вычисляемый приоритет в списке "подозрительные"

суммировать по результатам

- проверка по SHA + (1-10)

- проверка по цифровой + (1-10)

- проверка по белым критериям, + (1-10)

- проверка по сигнатурам - (1-10)

- проверка по Вирустотал/jotti - (1-10)

- проверка по критериям поиска. -(1-10)

вес каждой проверки можно прописать в настройках settings.ini. (по умолчанию сделать 1)

[PR55.RP55 83]

Santy пишет: будет стимул писать более точные критерии поиска.

На данный момент это не всегда можно сделать.

Что порождает значительное число - ?вирусов?

+

Нужна дополнительная информация для формирования критериев. ( ресурсы файла; возможность НЕ возможность извлечения сигнатуры и т.д. )

- проверка по белым критериям, + (1-10)

Наличие белых критериев будет большим подспорьем.

И позволит значительно уменьшить число объектов списка.

--------

Demkd

P.S. Надеюсь _ВСЕ_ предложения - за минимум пол года - будут прочитаны = проанализированы и учтены.

[santy 153]

На данный момент это не всегда можно сделать.

Что порождает значительное число - ?вирусов?

+

Нужна дополнительная информация для формирования критериев. ( ресурсы файла; возможность НЕ возможность извлечения сигнатуры и т.д. )

Наличие белых критериев будет большим подспорьем.

И позволит значительно уменьшить число объектов списка.

--------

RP55, ты можешь привести примеры троянов, которые можно задетектировать по критериям через ресурсы файла?

и которые не детектируются обычном образом текущими критериями.

вот скажем, что необычного может быть в ресурсах тех же Carberp, SpyEye, Spyshiz, Corkow и др., что отличает их от обычных, чистых файлов?

[PR55.RP55 83]

Santy

Критерий может иметь знак + или знак -

Можешь привести примеры троянов, которые можно задетектировать по критериям через ресурсы файла?

Что необычного может быть в ресурсах тех же Carberp, SpyEye, Spyshiz, Corkow и др., что отличает их от обычных, чистых файлов?

Я их приводил:

Ресурсы типа: "Dialog" ; "Manifest" ; "Menu" и т.д.

Кириллица; Латиница.

Наличие/отсутствие иконок; количество иконок; их тип.

Посмотрим ресурсы РЕАЛЬНОГО TASKMGR.EXE

http://www.anti-malware.ru/forum/index.php...st&p=174003

В норме программа ведёт диалог с пользователем - пользователь работает с меню.

Где есть иконки; диалоги; выбор языка и т.д...

У вируса _ЭТОГО НЕТ_

Кроте того РЕСУРСЫ это ДОПОЛНЕНИЕ к той информации которая доступа на данный момент для формирования критерия поиска.

Чем больше данных тем надёжнее можно задать условия.

Речь не идёт о панацее...

Это именно дополнение к данным.

+

МЫ говорим и о белых ( + ) критериях.

Их формировании...

[santy 153]

имхо, прежде чем вносить предложение о значительных изменениях структуры автозапуска, или алгоритмов работы программы, лучше добавить на форуме отдельную тематическую папку, и там провести тщательное обсуждение по данной теме. надо. или не надо. чтобы не разводить дискуссии в теме новых предложений, а здесь добавлять уже тщательно сформулированные предложения.

поскольку тема становится нечитабельной из-за спорных предложений, и дискуссий.

[PR55.RP55 83]

Прежде чем вносить предложение о значительных изменениях структуры автозапуска, или алгоритмов работы программы...

uVS сейчас индексирует:

32/64; ключи запуска ; время создания/изменения; статус; вес ; ...

Можно добавить: Диалоги; языки ; графические ресурсы и т.д.

И представить всё _В ВИДЕ ИНФОРМАЦИИ_ = сводной таблицы ? ( при работе с образом )

Вспомним, что в своё время Demkd отказался от интеграции значка/иконки в uVS & start.***

По той причине, что по значку можно провести идентификацию объекта с последующей его блокировкой.

Я считаю, что как предложения - так и обсуждения предложений должны находиться в одной теме.

( не от хорошей жизни ) это диктуют обстоятельства.

Так как с момента предложения & обсуждения ДО момента РЕАЛИЗАЦИИ может пройти несколько месяцев и даже лет...

И если информация = логика/суть/смысл И предложениЕ будут на разных тематических ресурсах/папках...

Будет логический фарш.

Ножки да Рожки...

[santy 153]

как раз в отдельном топике, по предложениям, затрагивающим структуру автозапуска и будет все вместе: и предложение и обсуждение. так сказать - дефрагментированная структура по важным предложениям. и здесь, плиз, кроме слов и пожеланий желательно добавить и аргументы и лучше всего с примерами.

вот такой троян... вот с такими ресурсами. без этих данных мы не смогли бы найти его в автозапуске, или нашли бы только через несколько суток поисков.

т.е. не просто подкидывать идеи, а провести детальный анализ проблемы.

[PR55.RP55 83]

Обсуждение предложения по работе с ресурсами. ( с примерами )

http://forum.esetnod32.ru/messages/forum6/...7/#message74577

[santy 153]

demkd,

предлагаю добавить в контекстное меню функцию - проверить файл (или объект) по списку критериев.

(ниже проверки - "проверить хэш файла по базе проверенных файлов")

т.е. функция проверяет только один файл по всем критериям,

выдает детекты соответственно в лог, и меняет статус объекта в случае срабатывания по одному или нескольким критериям.

-------------

смысл проверки (отдельного файла по критериям) в том, чтобы не выполнять полностью проверку всех файлов по критериям, которая отменит статус "проверен" для объектов, проверенных по списку sha.

и т.о. вернуть статус ?ВИРУС? для отдельного деструктивного объекта хотя он и прошел проверку по sha, как это наблюдается в случае wmic.exe

[PR55.RP55 83]

1) Критерии поиска.

Выделять найденное - по критерию подсветкой.

т.е. Оператор открыл инфо. Все совпадения с критерием выделены.

2) Критерии поиска.

Профили.

Для каждого профиля оператор может задать свою настройку поиска. ( свои особые критерии )

Для решения спец. задач. ( например поиск драйверов от определённого производителя и т.д )