Новые функции в Universal Virus Sniffer (uVS)

[PR55.RP55 84]

Microsoft ускоряет Проводник в Windows 11 с помощью предзагрузки

https://www.comss.ru/page.php?id=18618

[PR55.RP55 84]

Возможно, что-то в открытом коде будет полезного и для uVS

https://www.comss.ru/page.php?id=19320

[PR55.RP55 84]

При работе с программой оператором зачастую выполняются одни и те же действия.

Предлагаю в стартовое меню добавить команду: Выполнить определённое действие: 1 - 2 - 3

Пример: 1 - Запустить под текущим пользователем > Открыть категорию Скрипты > Применить F4

Или 2 - Для работы с удалённым PC по схеме... и т.д.

 

[PR55.RP55 84]

https://forum.kasperskyclub.ru/topic/471996-pojavljajutsja-v-operativnoj-pamjati-membackdoorwin64agentgen-i-memtrojanmultiagentgen/page/2/#comments

Task: {A67FE49E-5424-45F5-9347-257FE1179FF6} - System32\Tasks\Microsoft\Windows\Autochk\KeyPreair => C:\Program Files (x86)\Microsoft\Edge\Application\Msproedg.exe [64080 2026-03-16] (Microsoft 3rd Party Application Component -> )

1. Предлагаю добавить в меню: Запрос к ИИ

2. Автоматически добавлять ЭТО в подозрительные.

Что можно получить при разборе в ИИ.

___Ответ ИИ: ___ Резюме

Анализ вредоносной строки из лога FRST

  * *Суть записи:* Данная строка представляет собой запись из лога
    программы FRST (Farbar Recovery Scan Tool) и указывает на активное
    вредоносное ПО на компьютере.
  * *Маскировка файла:* Исполняемый файл |Msproedg.exe| имитирует
    легитимный браузер Microsoft Edge, маскируясь под него измененным
    именем. Оригинальный файл браузера должен называться |msedge.exe|.
    Имя |Msproedg.exe| не используется ни одним легальным софтом в мире.
  * *Аномалия размещения:* Вирус прописан в планировщике задач в ветке
    |Microsoft\Windows\Autochk|. В норме эта ветка отвечает
    исключительно за диагностику файловой системы при загрузке
    компьютера и может содержать всего одну легальную задачу — |Proxy|.
    Задача с именем |KeyPreair| здесь нелегальна.
  * *Аномалия размера:* В логе указан размер |64080| байт (около 64 КБ).
    Размер оригинального браузера измеряется в мегабайтах, а не в
    килобайтах.
  * *Аномалия даты (Timestomping):* В логе указана дата |2026-03-16|.
    Вирус намеренно использует технику подделки даты, чтобы скрыться от
    антивирусных сканеров, которые ищут недавно измененные файлы.
  * *Скомпрометированная цифровая подпись:*
      o В логе отображается строка: |(Microsoft 3rd Party Application
        Component -> )|.
      o Сертификат |Microsoft Windows Third Party Application Component|
        (и его сокращенный вариант) действительно существует. Это
        легальный сертификат Microsoft для подписи софта сторонних
        разработчиков, который официально интегрируется в систему
        (компоненты Teams, DirectX).
      o У оригинального браузера Edge подпись всегда выглядит как
        |(Microsoft Corporation)|. В данном же случае пустая стрелочка в
        конце |-> )| показывает цепочку доверия Authenticode.
      o В легальном файле FRST проверяет издателя и замыкает цепочку:
        |(Microsoft 3rd Party Application Component -> Microsoft
        Corporation)|. Пустота после стрелки в вашем логе — это
        технический признак того, что вирус скопировал чужой блок
        подписи, но криптографическая проверка Authenticode провалилась.

 

 

 

[SQx 5]

Приветствую,

Мне попалась интересная тема, в которой пользователь модифицировал %path% переменные, что привело в Bsod 0xc000021a
https://www.sysnative.com/forums/threads/windows-11-pro-10-0-26200-8457-kb5089549-bsod-0xc000021a-dism-0x800f0915-after-update.46083/

Хотел уточноть, если возможно для uVS добавить возможность мониторить %path% в WinRE среде и если оно превышает лимит, или содержит вторичный вызов %path% в значение, то показать как предупреждение.
Получается так, что у пользователя  фактическое значение %PATH% содержало всего 23 333 символа, но из-за того что оно содержало вызов к %path% в значение, я предпологаю это вызвала превышение лимита (32,767 символов). т.е. виртульально содержала 46 667 символов из-за того что дублировался вызов. Поправьте если я не прав.
https://learn.microsoft.com/en-us/windows/win32/fileio/maximum-file-path-limitation?tabs=registry

Прикрепил hive реестра пользователя для примера.
 

env_hiv.zip

[demkd 641]

В 13.07.2026 at 7:28 PM, SQx сказал:

Хотел уточноть, если возможно для uVS добавить возможность мониторить %path% в WinRE среде и если оно превышает лимит, или содержит вторичный вызов %path% в значение, то показать как предупреждение.

возможность есть, гляну, размер переменных окружения действительно 32767 максимум, но конкретно path больше 4095 это уже может стать проблемой.

[PR55.RP55 84]

1) Ситуация когда нет доступа к virustotal.com ( и другим ресурсам )

Что предлагаю:

а) На примере Firefox 155 - Happy Eyeballs v3: подключение сразу несколькими путями

*Браузер больше не выбирает маршрут до сайта заранее, а пробует несколько вариантов подключения параллельно и работает через тот, который отозвался первым.

Выигрыш заметнее всего в сетях, где IPv4 или IPv6 работает медленно либо нестабильно: раньше браузер мог упереться в неотвечающий адрес и ждать таймаута, теперь соединение уходит по резервному пути без паузы.

б) Если сайт полностью не доступен - то, при потоковой проверке файлов не заставлять пользователя "бесконечно" ждать...

2) Драйвер фаервола - при проверке. По хорошему программа сама должна знать какие файлы её, какие нет и всякий раз не лезть к ним и не пытаться получить доступ к собственному файлу ?

 

[PR55.RP55 84]

* адрес страницы (ReferrerUrl) и адрес самого файла (HostUrl) в метке появились в Windows 10 версии 1703, их записывают браузеры, например Edge и Chrome. В статье показано, как посмотреть эти данные в Windows 11

https://www.comss.ru/page.php?id=22105

[demkd 641]

В 01.09.2026 at 8:05 PM, PR55.RP55 сказал:

1) Ситуация когда нет доступа к virustotal.com ( и другим ресурсам )

есть такая штука как VPN.
 

В 01.09.2026 at 8:05 PM, PR55.RP55 сказал:

2) Драйвер фаервола - при проверке. По хорошему программа сама должна знать какие файлы её, какие нет и всякий раз не лезть к ним и не пытаться получить доступ к собственному файлу ?

Без проверки хэша нельзя узнать что это за файл, а когда дело касается драйверов то там совсем все плохо, в windows можно легко сделать так что бы загруженный драйвер имел и подпись валидную и путь правильный, но загружено совсем не то что кажется
 

В 22.09.2026 at 10:53 PM, PR55.RP55 сказал:

* адрес страницы (ReferrerUrl) и адрес самого файла (HostUrl) в метке появились в Windows 10 версии 1703, их записывают браузеры, например Edge и Chrome. В статье показано, как посмотреть эти данные в Windows 11

Сомнительно что это вообще будет полезно, такие метки есть разве что у файлов скаченных через браузер.

[nev99 0]

Форум мертвый, новые темы удаляются, так понимаю?

[demkd 641]

1 час назад, nev99 сказал:

Форум мертвый, новые темы удаляются, так понимаю?

оффтопик удаляется, если хочется разместить что-то свое то для этого полно "живых" форумов, тот же ruboard.