Новые функции в Universal Virus Sniffer (uVS)

[PR55.RP55 83]

1) Автоматически помечать как подозрительные все файлы где в качестве ЭЦП прописано числовое значение.

типа:

Действительна, подписано "8.8.8.8"

Действительна, подписано 70166A21-2F6A-4CC0-822C-607696D8F4B7

Или Комбинация:

Действительна, подписано Copyright © 2022

2) В Инфо. изменить порядок подачи информации - первыми\верхними строками должны быть строки с наиболее важной информацией. ( непосредственно под критерием поиска ) т.е. ( ЭЦП и т.д )

3) Нужна нормальная подача информации ( при работе с образами ) По нагрузке на процессор\видеокарту.

Возможно оператор должен решать какую колонку с информацией ему нужно видеть: Производитель или нечто другое...

4) Если есть запись какое приложение было заблокировано фаерволом - будь то фаервол Windows или Ф v1.11

Отображать эту информацию.

 

 

[PR55.RP55 83]

Определять время применения GPO

Определять время применения GPO - с привязкой к событию. ( например запуск... скрипта )

Писать в Инфо.

[PR55.RP55 83]

В окнах -  появилась реклама. ( ожидаемо )

uVS этого не видит.

------------

New-Item -Path "HKCU:\Software\Policies\Microsoft\Windows" -Name "Explorer" -force New-ItemProperty -Path "HKCU:\Software\Policies\Microsoft\Windows\Explorer" -Name "DisableNotificationCenter" -PropertyType "DWord" -Value 1 New-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\PushNotifications" -Name "ToastEnabled" -PropertyType "DWord" -Value 0

-----------------

# Add HKEY_Users as a PS Drive New-PSDrive -PSProvider Registry -Name HKU -Root HKEY_USERS # Add the default user's registry hive so it is viewable/browsable by PowerShell Start-Process -FilePath 'CMD.EXE' -ArgumentList '/C REG.EXE LOAD HKU\AllUsers C:\Users\Default\NTUSER.DAT' -Wait -WindowStyle Hidden | Out-Null # Remove notification group policies from current user Remove-ItemProperty 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer' -Name 'TaskbarNoNotification' -Force Remove-ItemProperty 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'ToastEnabled' -Force Remove-ItemProperty 'HKCU:\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'NoToastApplicationNotification' -Force # Remove notification group policies from local machine Remove-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer' -Name 'TaskbarNoNotification' -Force Remove-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'ToastEnabled' -Force Remove-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'NoToastApplicationNotification' -Force Remove-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\Explorer' -Name 'DisableNotificationCenter' -Force # Remove notification group policies from default user Remove-ItemProperty 'HKU:\AllUsers\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer' -Name 'TaskbarNoNotification' -Force Remove-ItemProperty 'HKU:\AllUsers\SOFTWARE\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'ToastEnabled' -Force Remove-ItemProperty 'HKU:\AllUsers\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\PushNotifications' -Name 'NoToastApplicationNotification' -Force # Remove default user's registry hive Start-Process -FilePath 'CMD.EXE' -ArgumentList '/C REG.EXE UNLOAD HKU\AllUsers C:\Users\Default\NTUSER.DAT' -Wait -WindowStyle Hidden | Out-Null # Remove HKU_Users from PowerShell Remove-PSDrive -Name HKU

---------------

Disable Security and Maintenance Notifications

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Notifications\Settings\Windows.SystemToast.SecurityAndMaintenance

Value Name: Enabled (DWORD)
Value: 0

Disable OneDrive Notifications

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Notifications\Settings\Microsoft.SkyDrive.Desktop

Value Name: Enabled (DWORD)
Value: 0

Disable Photos Notifications

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Notifications\Settings\Microsoft.Windows.Photos_8wekyb3d8bbwe!App

 

 

[PR55.RP55 83]

Думаю стоит добавить твик:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\Wintrust\Config] "EnableCertPaddingCheck"="1" [HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config] "EnableCertPaddingCheck"="1"

-------------------

https://www.comss.ru/page.php?id=11668

Бывают всякие непонятные неясные случаи - возможно это в ряде случаев поможет.

[PR55.RP55 83]

Руководство по расследованию атак с использованием CVE-2022-21894 BlackLotus campaign

https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/

 

 

[PR55.RP55 83]

NVIDIA Power Management - приложение с открытым исходным кодом...

Для управления настройками электропитания приложение использует System Management Interface. Это утилита командной строки NVIDIA, которая позволяет запрашивать и изменять состояния видеокарт. Инструмент поддерживает графические процессоры NVIDIA Tesla, GRID, Quadro и Titan X, а также может работать с ограничениями с другими видеокартами NVIDIA.

NVIDIA Power Management имеет графический интерфейс. Пользователям доступны создание ограничений мощности для отдельных приложений, создание профилей мощности для нескольких приложений, базовый мониторинг производительности, адаптивное энергопотребление и другие функции.

https://www.comss.ru/page.php?id=11792

Фактически это не только позволит получать информацию и вести мониторинг.

Но и добавить в меню\скрипт uVS новые команды.

 

 

 

 

[PR55.RP55 83]

в Windows 11

Отображать сжатые или зашифрованные файлы NTFS другим цветом

Раздел реестра:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

Найдите параметр ShowEncryptCompressedColor. Если он не существует, кликните правой кнопкой мыши по разделу Advanced и выберите Создать > Параметр DWORD (32-бита), назовите его ShowEncryptCompressedColor.

Установите для параметра значение 1, чтобы показывать выделять сжатые или зашифрованные файлы NTFS другим цветом или 0, чтобы отключить эту опцию.

-------

Если система Windows - определяет сжатые или зашифрованные файлы NTFS  - хорошо бы чтобы эти данные шли в Инфо. uVS.

[PR55.RP55 83]

Предлагаю автоматически менять статус файла на подозрительный при:

c:\users\$printer_maestro$\contacts\taskhostw.exe

c:\users\$printer_maestro$\pictures\runtimebroker.exe

и т.д.

https://virusinfo.info/showthread.php?t=228232&s=7d17632bc8272697c9cd8b33ac2e6829

 

 

 

[PR55.RP55 83]

Хакеры использовали политику Microsoft для изменения даты подписи вредоносных драйверов

https://habr.com/ru/news/747692/

[PR55.RP55 83]

Эксперты из компании Security Joes представили новую технику внедрения кода в процессы, которая получила название Mockingjay.

https://xakep.ru/2023/06/28/mockingjay/

[PR55.RP55 83]

Особенности выполнения атаки и возможные варианты детектирования.

и т.д.

https://habr.com/ru/companies/rvision/articles/

[PR55.RP55 83]

Пользователи Firefox теперь могут импортировать расширения из Chrome

https://www.comss.ru/page.php?id=12244

 

[PR55.RP55 83]

Можно добавить в uVS Категорию:

Автоскрипт: "Вариант"

т.е. оператор пишет скрипт > отдаёт команду - запомнить. Команда запоминаться. ( записывается в файл ) ( или это происходить автоматически по настройке - settings.ini )

В конце концов формируется файл с сотнями команд. ( команды - дубли исключаются )

Оператор может открыть Категорию и посмотреть что ему предлагается = Вариант...

Фактически Оператору  предлагаться сырой вариант скрипта ( на основе предшествующего... опыта )

Но всё это сразу не идёт  в сам скрипт. А отображается в Категории - "Вариант"

 

 

[PR55.RP55 83]

Желательно чтобы uVS проверял записи защитника и помечал все файлы в исключениях как подозрительные.

Если есть информация почему она не используется?

https://forum.kasperskyclub.ru/uploads/monthly_2020_12/1607963082071-1990362701.thumb.jpg.fce65d13df469559a736960ab2de447a.jpg

 

 

[PR55.RP55 83]

Сейчас есть проблемы с проверкой состояния UEFI

Предлагаю добавить в uVS возможность копирования\бекап BIOS\UEFI

Или как минимум получение информации. ( Версия; дата и т.д. )

Для последующего анализа\передачи файла на V.T. и вир. лабы.

 

[PR55.RP55 83]

Здесь 212 сборок Windows 11

https://www.comss.ru/page.php?id=10053

[PR55.RP55 83]

В  FRST добавлена функция:

" Startup folders redirection added under Registry "

 

[PR55.RP55 83]

Было бы неплохо выделять ( зелёным цветом ) даты, если с момента первой проверки прошёл год +

VTOK [2024-01-12]2022

[PR55.RP55 83]

+

По поводу документации к uVS ( Doc )

У меня есть Уроки по работе с программой. Всё это можно конвертировать в подходящий формат и добавить к документации. ( если уроки будут сочтены достойными )

https://forum.esetnod32.ru/forum8/topic15785/

А то получается - программа отдельно уроки отдельно.

Так сказать всё для народа - всё для победы

[PR55.RP55 83]

uVS не видит расширений  Edge  хотя браузер на Chromium

----------

А ведь могло - бы пригодиться 

Edge Extension: (WinSafe - быстрый доступ к сайтам!) - C:\Users\aleks\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\bgnodfikjoihkcjjnefbjkeclamhipak [2023-08-26]

Kaspersky: AdWare.Script.ChromeExt.gen

 

[PR55.RP55 83]

По расширениям.

Пример: Человек обращается за помощью - говорит, что в браузерах реклама, он все расширения отключал\удалял но это не помогло.  Да... но пользователь в браузере видит только часть расширений. Хотелось бы в Инфо. иметь информацию о статусе расширения - видит его пользователь или оно от него скрыто.

[PR55.RP55 83]

Сделать чтобы start.exe  мог запускаться как firefox.exe; opera.exe и т.д.

т.е. чтобы отслеживал в этом режиме перехват; внедрение и т.д.

Пример: Есть проблема с отображением рекламы; накрукта роликов на youtube и т.д. в браузерах.

И нам нужно видеть именно то, что реагирует на запуск браузеров.

* При работе в данном режиме предварительно выгружать все браузеры.

 

 

[PR55.RP55 83]

Предлагаю автоматически ( при формировании скрипта  ) удалять  идентичные расширения браузеров по ID

т.е. удаляем расширение из одного браузера = автоматически  удаляем это расширение из всех браузеров.

https://www.comss.ru/page.php?id=12970

---------------

Возможно в Категориях по браузерам стоит собирать\ консолидировать все доступные данные по этому браузеру.

т.е. не только данные о расширениях, но и назначенные задания; все подписанные или не подписанные файлы; Все файлы _которые есть в каталогах браузеров_; скрипты; ярлыки; групповые политики; сетевая активность и т.д.

 

 

[PR55.RP55 83]

.xml  файлы taskschd.msc

Могут быть подписаны  цифровой подписью.

Думаю будет нелишним, если uVS будет это фиксировать.

т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи.

и писать в ИНфО .

 

[PR55.RP55 83]

Предлагаю добавлять в лог - информацию по пользователям типа:

Account: (Hidden) User 'John' is invisible on logon screen

Account: (RDP Group) User 'John' is a member of Remote desktop group

и т.д.