Перейти к содержанию

Recommended Posts

PR55.RP55

1)  Дополнить команду: hide

Пример:

hide %Sys32%\.EXE

hide %Sys32%\.*** ( добавить все типы расширений данной директории в исключение )

hide %SystemDrive%\PROGRAM FILES (X86)\WINAMP\.DLL

т.е. в данном случае все файлы: .DLL из каталога \PROGRAM FILES (X86)\WINAMP\

попадают в исключения.

Бывают случаи, когда невозможно увеличить длину сигнатуры.

или в список вынужденно включено множество команд: hide  где файлы принадлежат одной директории.

* Только в данном случае выбранные файлы\каталоги не скрываются из списка, а перемещаются в отдельную категорию.

2) По сигнатурам.

В скрипт добавлена команда: addsgn  & .tmp;.com; .pif        1A05B69A5583C58CF42BC4BD0C900C592562457F89FA2C870CBE218F905D044018E0CCC2FE6E5A3C3368508646168EFA6BDFE872BDAC182C2DF46CD02EB22273 8 a variant of Win32/Ru.F

Таким образом сигнатура работает только с файлами типа: .tmp ; .com; pif

т.е. в данном случае для всех файлов с расширением типа: .exe; sys; dll и т.д. автоматически применяется hide

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

1) Сделать фильтр по списку: wdsl

для графы: Производитель

в режиме вкл\выкл.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
В 14.03.2017 at 8:05 PM, PR55.RP55 сказал:

1) Сделать фильтр по списку: wdsl

для графы: Производитель

в режиме вкл\выкл.

Сейчас есть пункт меню: Скрыть с производителем.

А будет пункт меню: Скрыть с известным производителем ( по wdsl)

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Цитата

    

Сейчас есть пункт меню: Скрыть с производителем.
А будет пункт меню: Скрыть с известным производителем ( по wdsl)

В принципе можно даже не менять названия.
оставить запись, как есть: Скрыть с производителем. ( хотя я бы поменял )
только сделать настройку по settings.ini  с учётом наличия\отсутствия файла: wdsl
и если файл: wdsl присутствует - то скрываются только производители совпадающие со списком.

( или с первым словом в строке списка\ wdsl )

пример: ( в данном случае первое слово в строке это: Microsoft )

Microsoft Corporation
Microsoft DRM Publisher
Microsoft Dynamic Code Publisher
Microsoft LIVE Gaming for Windows
Microsoft Update
Microsoft Windows
Microsoft Windows 3rd party Component
Microsoft Windows Component Publisher
Microsoft Windows Early Launch Anti-malware Publisher
Microsoft Windows Hardware Abstraction Layer Publisher
Microsoft Windows Hardware Compatibility Publisher
Microsoft Windows Publisher
Microsoft Windows Third Party Application Component

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@demkd, можно в новой версии сделать, чтобы файлы со статусом ?ВИРУС? (попавшие под критерий) выделялись в какой-то цвет по аналогии с файлами попавшими под сигнатуру? А то в куче ПОДОЗРИТ. файлов эти ?ВИРУС? порой трудно заметить.
 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

@alamor,

полезно просто отсортировать список в подозрительных и вирусах по статусу, и затем уже с ним работать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Да, можно каждый раз сортировать, но если бы подсвечивалось цветом, то было бы намного удобней.

И тут тема как раз про запрос новых фич у разработчика. Реализовать это надеюсь не сложно, а удобство от использования повышается. А так и для сигнатур можно было бы не добавлять, а тоже сортировать по статусу.


 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Порой приходиться проверять образ автозапуска созданной на одной и той же  системе несколько раз.

Но, не все файлы можно добавить в базу проверенных и приходиться перепроверять одно и тоже несколько раз.

Поэтому предлагаю создать базу - по аналогии с vtcache.

т.е. оператор отдаёт команду: файл проверен...

И файл попадает в базу: OpCache.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Добавлять запись: Скрипт

В Инфо. объектов.

Пример:

Полное имя                  C:\WINDOWS\SYSTEM32\GATHERNETWORKINFO.VBS
Имя файла                   GATHERNETWORKINFO.VBS
Тек. статус                 ПРОВЕРЕННЫЙ в автозапуске
Скрипт:                      VBS                        
                         
Сохраненная информация      на момент создания образа
Статус                      ПРОВЕРЕННЫЙ в автозапуске
Размер                      74272 байт
Создан                      22.08.2013 в 10:58:31
Изменен                     18.07.2013 в 19:53:33
Цифр. подпись               Действительна, подписано Microsoft Windows
                            
Доп. информация             на момент обновления списка
SHA1                        C8E2D0C17EDE015E4B3FEEC0940A7F1B07811F2F
MD5                         55158C8F4CFAB021134137B68BBFD01F
                            
#FILE#                      Dim FSO, shell, xslProcessor

Sub RunCmd(CommandString, OutputFile)
    cmd = "cmd /c " + CommandString + " >> " + OutputFile
.....
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\Microsoft\Windows\NetTrace\GATHERNETWORKINFO

__________

Это нужно для работы с составными критериями поиска.

т.е. Оператору уже НЕ нужно будет при составлении скрипта указывать тип\ы расширения.

Достаточно задать значение: Скрипт

И критерий сработает на любой скрипт - без перечисления всех типов расширений.
                            

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

+

Это же касается и DLL

В Инфо. писать:

Динамически подключаемая библиотека                                       DLL

И опять же...

Расширение у библиотеки будет любое...

А критерий всё равно сработает.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55


simplix  \ SmartFix


Реализована проверка библиотек, отвечающих за значки состояний (ShellIconOverlayIdentifiers)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

+

Программа: WinPrefetchView  от Nir Soft

http://www.nirsoft.net/utils/win_prefetch_view.html

в uVS есть анализ Prefetch но в WinPrefetchView  реализована большая детализация данных.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

+

Windows Prefetch parser. Supports all known versions from Windows XP to Windows 10.

https://github.com/EricZimmerman/Prefetch

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

В "последнее время" появились вирусы которые модифицируют системные DLL находящиеся в автозапуске.

Появилась мысль - защитить их от изменения...

Предлагаю в контекстное меню файла добавить команду\ы: + -

Пример:

ATTRIB  +R C:\111.dll

Установить: "Только чтение" для файла C:\111.dll

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Даже комментировать такую "защиту" не хочется :wacko:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
1 час назад, Vvvyg сказал:

Даже комментировать такую "защиту" не хочется :wacko:

А я так надеялся, так надеялся !   :lol:

Так надеялся, что будет сообщение об ошибке.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

В программе:   BCUninstaller

http://soft.oszone.net/program/17561/Bulk_Crap_Uninstaller/

Есть такие интересные параметры:

  <InstallLocation>C:\Program Files\Realtek\Audio\Drivers</InstallLocation>
  <InstallSource>C:\DOCUME~1\!User!\LOCALS~1\Temp\pft5~tmp</InstallSource>

т.е. путь откуда была установлена программа\компонент.

Защищена программа: Да\нет.

Путь до файлов.

Зарегистрирован, или нет.

Указан издатель\производитель\ЭЦП

Сайт программы.

Обновлялся компонент\программа, или нет.

Возможность посмотреть доп. ( Инфо. ) по каждой программе.

Кроме того можно _переименовать установленную программу. ( что будет важно для администраторов )

---------

Это всё бы очень пригодилось.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

10 и большую часть 11 августа сервера работать не будут, тех. работы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Есть одна программка для анализа файлов.

https://www.winitor.com/features.html

Там есть папка: xml   в ней файл:  signatures.xml

Для определения типа файлов.

Здесь ценный момент, что определяется тип упаковщика.

Тысячи вариантов...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Предлагаю  реализовать новую категорию:  Дубликаты файлов и Аналоги.

Идентичные:  Имена; SHA1; Сигнатуры; ЭЦП ( верно для всех ЭЦП, кроме = wdsl );

с одним производителем.

и т.д.

Так например все файлы: Действительна, подписано Ask.com

будут автоматически отображаться в одной категории.

* Файлы относящиеся к разным группам  - автоматически разделены пробелом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Похоже очередной винт загибается, обновления и вход в лк будут недоступны на время устранения проблемы (до суток), веб-сервер и сервер анализа образов могут быть периодически недоступны.
...
База синхронизируется почти с нуля так что балансы в лк неактуальные до тех пор пока не завершится синхронизация с сетью, одинокий бэд на винте убил базу блоков.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

1)   Инфо. файла может содержать сотни строк текста.

При срабатывании поискового критерия сложно определить на какую из строк произошло срабатывание.

Решение:  помечать\выделять строку например как это реализовано в notepad++bookmark.pngbookmark.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

1) Пользователю может демонстрироваться реклама от свёрнутого приложения.

Чаще всего - это браузеры.

Открывается\оставляется небольшое окошко - с соответствующим рекламным контентом.

Пользователю не хватает квалификации, а оператор  этого не видит из-за обилия данных в образе.

Предлагаю добавить новую категорию: Окна. с указанием положения окна, его размера, и процесса.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@demkd, два пожелания.

1) Чтобы при добавление критерия начальные и конечные пробелы в поле "Атрибут" обрезались. А то создал критерий, а он не работает. Проверяю его, вроде логика всё правильная. Оказывается там в конце пробел затесался.

Add. Сначала написал по памяти, сейчас перепроверил, оказывается у меня в том неработающем критерии наоборот пробела не хватало в поле "Не удается найти указанный файл. ". Тут специально в конце пробел добавлен?

2) Так как список значений поля Атрибут постоянный и задаётся самим uVS, то предлагаю у этого поля добавить combox со списком атрибутов. При составление сложных критериев будет удобней их создавать выбрав из выпадающего списка.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×