Новые функции в Universal Virus Sniffer (uVS)

[PR55.RP55 82]

santy

Да.

С вышесказанным согласен.

----------

1)

http://www.herdprotect.com/knowledgebase.aspx

Количество файлов достигло: 9 000000 миллионов.

Значимость сервиса, как и прогнозировалось растёт.

Нужно работать с сервисом.

[PR55.RP55 82]

Demkd

Может всё таки стоит автоматически добавлять в подозрит. Adware с подписью.

Полный _список_ Adware ( зафиксированных на данный момент времени ) в теме. ( их порядка 230 )

----

ЭТО нужно делать централизовано.

Чего народ мучить ?

Можно сделать в качестве подключаемого модуля.

----

Например может быть не одна база проверенных файлов SHA1 - а несколько.

Так и базу snms в качестве подключаемого блока...

----

*Следует учитывать, что может быть без: LTD; LLC

___Adware.7z

___Adware.7z

[santy 151]

RP55, надо ли отдельным списком? ведь можно и в критерии добавить.... тем более, что и настраиваемое действие можно будет добавить для критериев.

можно и в отдельный snms добавлять ( собирать) критерии по ЭЦП, поскольку работает из uVS импорт критериев.

[PR55.RP55 82]

santy

Я ранее предлагал глобальную настройку для критерия поиска.

т.е. быстрое формирование критерия по принципу:

Пример:

_____________

Цифр. подпись

_____________

YONTOO LLC

AMONETIZE LTD.

DEALPLY TECHNOLOGIES LTD

Bandoo Media Inc

***

*****

*******

_____________

Содержит

OR

...

т.е. в данном случае выбрали в настройке:

Цифровая подпись

Далее идёт список - где каждая строка...

И одна настройка на всех.

И тип: Содержит OR

---

Таким образом, для того чтобы сформировать критерий для 230 Adware

Потребуется 1 минута.

Создали настройку = правило поиска.

Экспортировали из .txt список Adware в критерий.

Проверили...

Готово.

1 - 2 минуты.

----

Если создавать как сейчас - на создание/проверку критерия уйдёт весь день.

И без гарантии, что будет работать как надо и не придётся его переделывать и перепроверять...

[santy 151]

RP55,

santy

Я ранее предлагал глобальную настройку для критерия поиска.

т.е. быстрое формирование критерия по принципу:

как минимум, можно при добавлении нового критерия из формы редактирования критерия, в новую чистую запись автоматически добавить наименование текущего атрибута, установить автоматически текущий логический оператор в условии, и оператор соединения.

например.

я редактирую критерий SIGNATURE.FALSE, который содержит однородные условия:

ЦИФР. ПОДПИСЬ~HEFEI FEIQIU и другие подобные условия соединенные с помощью OR

то при добавлении нового критерия из списка условий автоматически формируем новое условие

ЦИФР. ПОДПИСЬ(с возможностью редактирования)~(с возможностью редактирования)"ПУСТОЕ ЗНАЧЕНИЕ ДЛЯ ВВОДА" .OR. (с возможностью редактирования)

--------------

а возможность добавить новые условия из списка путем импорта - это уже из разряда доброй воли demkd

[PR55.RP55 82]

Я собственно примерно об этом:

см. фото пример. ( пример старый )

Желательно экспорт/импорт одним списком.

т.е. Открыли .txt файл - скопировали и вставили...

Разумеется список в .txt заранее подготовлен = Одна строка = один критерий поиска.

[santy 151]

в принципе, есть несколько критериев где список актуальных значений имеет место быть:

это список ложных цифровых, список левых DNS, список нежелательных программ....

чтобы не ломать уже форму критерия, можно добавить контекстную функцию "добавить новые критерии из файла"

тогда контекстное меню будет таким:

добавить новый критерий

редактировать критерий

добавить новые критерии из файла

------------

удалить критерий

при этом, при добавлении нового критерия из файла наследуются АТРИБУТ, добавляется значение из списка, наследуются логические операторы (в данном случае.... входит, и OR)

[PR55.RP55 82]

Santy пишет:

чтобы не ломать уже форму критерия, можно добавить контекстную функцию "добавить новые критерии из файла"

---

Команду реализовать в двух вариантах.

1) "добавить новые критерии из файла"

2) "добавить новые критерии из файла > фильтр: " Критерий с таким именем уже существует" < активен."

т.е.

Если такой критерий уже создан ранее, или в списке несколько раз повторяется например:

Ask

Ask

Ask

То будет существовать 1 Ask критерий, а не 3 или 4.

[santy 151]

RP55,

Команду реализовать в двух вариантах.

вообще-то подразумевается, что перед добавлением нового элемента, выполняется проверка: добавлен такой (в точности) элемент уже в список условий или нет. Если нет, значит добавляется новый элемент

здесь варианты могут быть: либо полностью перезаписать критерий на основе списка в файле, либо добавить недостающие в уже существующем списке.

[PR55.RP55 82]

----

1) Подписка на платные услуги: Профилактика/Лечение.

Пользователь/фирма: Регистрируется > Производит оплату*

* Пробный 1-й месяц бесплатно.

Минимальный срок платной подписки 12 месяцев.

Оплата = 100 руб месяц.

При подписке более чем на 12 мес. предоставляется скидка. в 25%

------

Пользователь/фирма: Регистрируется > Производит оплату > При желании или возникновении проблемы подписчик обращается в тех. поддержку.

( специализированный форум ) + возможность удалённого подключения к рабочему столу. > Система проверятся, пролечиваеться даётся общая рекомендация.

т.е. Оказывается централизованная специализированная помощь.

Программа рассчитана на: Сервисные центры обслуживания PC; офисы; финансовые организации.

Общее число активных подписок/подписчиков не превышает 1000.

т.е. 25% всей прибыли идёт на раскрутку проекта = рекламу.

5% идёт на страхование от несчастных случаев.

----

Поддержку оказывает группа из 3-5 специалистов.

----

В будущем реализуется работа программы uVS - как монитора.

при возникновении подозрительной активности на PC - происходит уведомление пользователя.

----

[PR55.RP55 82]

1) Скрипт.

При формировании скрипта - вне зависимости от того в какой последовательности удалялся файл/объект _автоматически_ разбивать текст скрипта на объекты по типу: Секции.

-----

exe....

exe

exe

-----

dll

dll

dll

dll

-----

url

-----

sys

____________

Сейчас может быть мешанина из объектов с разными расширениями.

--

А так сразу видно - что и где.

Также стоит учитывать путь до объекта/тов

т.е. группировка.

[santy 151]

demkd,

можно сделать горячее переключение режима формирования скрипта? как обычного так и с виртуализацией.

нормальный скрипт формируется в соответствие с настройками settings.ini

оптимизированный скрипт: без комментарных строк (в секциях SIGN, uninstall), без автоматического ZOO при добавлении сигнатур. (или delall)

связано это с тем, что на некоторых форумах существует ограничение на число символов в сообщении. (до 5000)

скрипт же часто с учетом сигнатур в темах связанных с рекламой выходит до 10 000 символов.

----------

пока единственный выход - это либо ручная правка скрипта, либо запись скрипта в файл и выполнение скрипта из файла.

[demkd 590]

santy

я вообще не знаю зачем вам эти комментарии в скриптах

без комментариев в принципе можно, скажем добавить в окно сохранения скрипта кнопку - "убрать комментарии"

[santy 151]

demkd,

я комментарии не добавляю к паре ZOO, addsign. по ZOO видно какой файл попал под сигнатуру. а в строке uninstall удобно все таки с комментарием.

видим какая программа деинсталлируется.

в случае небольших скриптов можно считать что все это полезная информация для контроля скрипта.

в случае длинных скриптов можно убрать ВСЕ комментарии за исключением заголовка скрипта

;uVS v3.82.8 [http://dsrt.dyndns.org]

;Target OS: NTv6.2

полагаю этого будет недостаточно в некоторых случаях, хотя автоматически убирать ZOO тоже не есть хорошо.

[PR55.RP55 82]

1) Всё таки - в колонке должны быть две даты проверки по V.T первая < > крайняя.

Чтобы сразу было видно.

каждый день смотрю и убеждаюсь в этом.

2) По ;uVS v3.82.8 [http://dsrt.dyndns.org]

;Target OS: NTv6.2

Должна быть информация не только о версии uVS - Оператора но и информация о версии на которой сгенерирован образ.

Об этом выше подробно и с примерами написано.

3)

Demkd пишет: добавить в окно сохранения скрипта кнопку - "убрать комментарии"

Хорошая идея.

4) Добавить в окно сохранения скрипта кнопку: "Скрипт отредактирован - сохранить изменения. "

т.е. пишем скрипт - решаем изменить последовательность применения команд, или убрать комментарии, или удалить часть команд и т.д.

Отдали ряд команд > Открыли окно/скрипт > отредактировали > Применили команду: "Скрипт отредактирован - сохранить изменения. "

И пишем скрипт дальше...

[santy 151]

RP55,

Применили команду: "Скрипт отредактирован - сохранить изменения. "

И пишем скрипт дальше...

смысла нет добиваться произвольной обратимости скрипта (программировать этакую машину времени), есть откат от предыдущего действия, есть полная отмена всех действий надо образом. Тем более, что с учетом добавленных сигнатур и критериев скрипт переписывается почти мгновенно.

[PR55.RP55 82]

Santy пишет:

смысла нет добиваться произвольной обратимости скрипта (программировать этакую машину времени), есть откат от предыдущего действия, есть полная отмена всех действий надо образом. Тем более, что с учетом добавленных сигнатур и критериев скрипт переписывается почти мгновенно.

Пример: В образе куча мусора - мусор мешает - применили команды:

deltmp

delnfr

После этого удалили ряд программ...

Но после их удаления остался мусор...

И этот мусор стоит очистить !

И, что снова/повторно применяем команды:

deltmp

delnfr ?

----

Можно открыть скрипт - отредактировать...

И дать команды в конце скрипта.

-----------

Это же касается и команды: czoo

Зашли в подозрит. и вирусы...

Удалили вирусы, поместили их в zoo

Применили czoo

Открыли: ВСЕ

и оказалось, что там есть подозрительный объект - который также нужно запаковать = czoo

И что ?

Отменять все команды - переписывать скрипт ?

это бред.

Просто меняем последовательность команд.

----------

А работа с сигнатурами.

Я всё больше убеждаюсь в их бесполезности.

За месяц не применял их не разу.

-----

Далее не у всех настроены критерии поиска.

Не у всех настроен автоскрипт.

----

Нужно оценивать ситуацию в комплексе.

И не тянуть одеяло на себя - без необходимости.

[santy 151]

RP55,

а смысл какой после редактирования скрипта, продолжать работать с образом?

редактируем скрипт - это уже все. финиш. после редактирования, либо сохраняем в файл, либо копируем тело скрипта в сообщение.

если же хочется посмотреть какой получается скрипт, то alt+S: посмотрели, и продолжаем дальше работать с образом.

--------

по сигнатурам у меня все наоборот, наличие сигнатур позволяет формировать скрипт почти мгновенно... в правильной последовательности.

конечно, не всегда попадают все вирусные файлики под сигнатуры, но гораздо чаще под критерии. а объекты со статусом ?ВИРУС? я уже внимательно изучаю. проверяю на ВТ, внимательно смотрю инфо, добавляю новые сигнатуры если необходимо, исключаю ложные срабатывания... увеличиваю длину активной части. Это оправдывает себя.

вот пример.

1C190F15EBCF47B_2014_06_21_15_45_04.rar

а вот скрипт, который практически мгновенно сформирован, поскольку некоторые сигнатуры уже были добавлены.

;uVS v3.82.8 [http://dsrt.dyndns.org];Target OS: NTv5.1OFFSGNSAVEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\TJLSDJN.EXEaddsgn 988C1F6AE2284C9AE623514EDB5C120525013B1ECC08E0870CA62D37A45F4F1ADC0243F77C5516073B0989BF7D5049713BDB4B5E6E9CB0A77B7F2D3AF73D6473 8 tr1zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\FFNQYIWRYET.EXEzoo %Sys32%\GJYSQJAUNFQZQCTMJNDS.EXEaddsgn 988C1FF2342A4C9A74D7AEB1DB5C120525013B1E0AEA1F780CA62D37A45F4F1ADC02B7377E5516073B09895F855049713BDB4BBE969CB0A77B7F2D3A17C56473 8 policies.0225zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\BETTERSOFT\OPTIMIZERPRO\OPTIMIZERPRO.EXEaddsgn 1AC3289A5583348CF42BC611DEC80261DABFFCF689FA943CA1D34CD074C6FC200707E8B76D03CAE8BB90868F7753B5C9B88F6117BD25C5D4A63258E882FADC8C 8 Win32/GenUpdaterzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ISAVER\KRK9ZPB.DLLaddsgn A7679B1928664D070E3CCFE364C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323DF5672E906CEF4B1649C9BD9F6307595F4659214E91236803327C 64 Win32/AdWare.MultiPlug.N [ESET-NOD32]zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\EXSTRASAVINGS\HWDK.DLLaddsgn A7679B1928664D070E3CDFE364C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D65642E906CEF4B1649C9BD9F6307595F4659214E91E36803327C 64 AdWare.MultiPlug.N [ESET-NOD32]zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\BRROWSE2SEAVUE\514C09740C0CB.DLLaddsgn 79132211B9E9317E0AA1AB59C0861205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5A0C58CAC8F2D4D37257FE96221C9F1AFD45AD6DE4A4ECFF0 64 Win32/Adware.MultiPlug.I [ESET-NOD32]zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\DOOWNSAVE\MFPQE_KN.DLLaddsgn A7679B1928664D070E3C9FFC64C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D05FB2F906C1F451649C9BD9F6307595F4659214E91D7E503327C 64 Win32/AdWare.MultiPlug.T [ESET-NOD32]zoo %Sys32%\ZZLCXNBSIXFLZIWMG.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\TVJCZRHASJTBRCSKGJY.EXEzoo %Sys32%\TVJCZRHASJTBRCSKGJY.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\VZPKJDVQKDPZREWQOTKAZ.EXEzoo %Sys32%\VZPKJDVQKDPZREWQOTKAZ.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\IJWOKBQIZPYFUETKFH.EXEzoo %SystemDrive%\TJLSDJN.BATzoo %SystemDrive%\ZRVERZFOW.BATzoo %SystemDrive%\NHNYNXFQAJL.BATzoo D:\TJLSDJN.BATzoo D:\ZRVERZFOW.BATzoo D:\NHNYNXFQAJL.BATzoo %Sys32%\SRCSMBOETHOTGOBQ.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\ZZLCXNBSIXFLZIWMG.EXEzoo %Sys32%\IJWOKBQIZPYFUETKFH.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\SRCSMBOETHOTGOBQ.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\GJYSQJAUNFQZQCTMJNDS.EXEzoo %Sys32%\MRIEEZSOJDQBUIBWVBTKKP.EXEzoo %SystemRoot%\SRCSMBOETHOTGOBQ.EXEzoo %SystemRoot%\ZZLCXNBSIXFLZIWMG.EXEzoo %SystemRoot%\IJWOKBQIZPYFUETKFH.EXEzoo %SystemRoot%\TVJCZRHASJTBRCSKGJY.EXEzoo %SystemRoot%\GJYSQJAUNFQZQCTMJNDS.EXEzoo %SystemRoot%\VZPKJDVQKDPZREWQOTKAZ.EXEzoo %SystemRoot%\MRIEEZSOJDQBUIBWVBTKKP.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\MRIEEZSOJDQBUIBWVBTKKP.EXEzoo %SystemDrive%\DOCUMENTS AND SETTINGS\ВАДИМ\LOCAL SETTINGS\TEMP\GVWCMR\TJLSDJN\ZRVERZFOW.EXE;------------------------autoscript---------------------------chklstdelvirdelref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\WINCLEAN PERFORMAP\WINCLEANPERFORMAP.DLLdelref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\THEBLOCKER\FREI0T.DLLdelref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ROBOSAVEER\V4DM.DLLdelref F:\TJLSDJN.BATdelref F:\NHNYNXFQAJL.BATdelref F:\ZRVERZFOW.BATdelref HTTP://QIP.RUdelref HTTP://SEARCH.QIP.RUregt 2; OptimizerProexec C:\DOCUME~1\ALLUSE~1\APPLIC~1\INSTAL~1\OPTIMI~1\Setup.exe /remove /q0deltmpdelnfr;-------------------------------------------------------------restart

кроме того следует отметить что можно использовать полезные детекты из малваребайт и АдвКлинера и для пополнения новых сигнатур, и для добавления новый полезных критериев.

1C190F15EBCF47B_2014_06_21_15_45_04.rar

[PR55.RP55 82]

santy

У всех разные подходы к написанию скрипта.

И нет смысла агитировать за свой метод/подход.

Пусть у людей будет выбор.

----

Вирусы сейчас встречаются редко.

98% сейчас это ADware.

И от сигнатур как правило больше проблем - чем пользы.

Или сколько пользы столько и проблем.

----

Всё таки - нужна команда: "Удалить все файлы в текущей категории"

Проверили список - убрали чистые.

А всё оставшееся прихлопнули одной командой.

И сигнатуры не нужны.

И настроенный автоскритп не нужен.

И сигнатуры ненужно добавлять.

И отдавать в ручную по 30 разных команд...

[santy 151]

RP55,

обрати внимание на живой системе как долго выполняется скрипт, в котором много команд delall.

вернемся к этому же образу, по которому я привел пример.

как много здесь вирусных файлов в каталогах windows, windows\system32

deldirex здесь неприменим.

deldirex - это не панацея на все случае жизни. Иногда бывает полезен.

Поэтому я за то, чтобы использовать все заложенные возможности в uVS для автоматизации написания скрипта.

Мы же, хелперы, всячески будем помогать этому процессу.

У всех разные подходы к написанию скрипта.

И нет смысла агитировать за свой метод/подход.

Пусть у людей будет выбор.

Хочется писать скрипт руками, ради бога. В uVS есть такая возможность. Но после года активной работы на форумах (со скриптами), думаю твое мнение изменится в пользу автоматизации.

-------

[PR55.RP55 82]

santy

Я не против автоматизации - я наоборот - за неё.

И удаление должно быть через: del

Команда del удаляет файл без учета прав доступа к нему в т.ч. и

после перезагрузки если файл не удалось удалить сразу.

Я говорю о том, есть у Оператора настроенный автоскритп, или нет.

И насколько он ему нужен в принципе.

команда: "Удалить все файлы в текущей категории"

как раз и расширяет функционал.

Хочешь можешь делать так...

А можешь так...

Или так...

У всех свой подход.

Или одна ситуация/образ отличается от другой.

И что хорошо для одного случая - то плохо для другого.

Оператор должен выбрать оптимальный вариант ( команду ) - как в плане труд-затрат по времени.

Так и в плане эффективности решения.

[santy 151]

как минимум, чтобы удалять что-то... это что-то должно быть задетектировано. и сигнатурный детект здесь - самый лучший индикатор того что это чистый файл или вредоносный.

если по сигнатуре из скрипта ты можешь выполнить контроль скрипта, на основании чего было выполнено удаление,

то но удаление всего из текущей категории не несет подтвержающей информации об удалении объекта.

Так решил абстрактный оператор. х.з что у него было на тот момент в текущей категории.

[PR55.RP55 82]

1) Я предлагал разные подходы/варианты по корректировке работы сигнатуры.

И защиты от ложных определений.

Если их реализовать...

Тогда да, всё верно.

По: типу файла; по структуре; по ресурсам; и т.д.

Но этого... так и не было сделано.

-------

2) Оператор выбирая - тот или иной вариант решения/подход/команду

Отдаёт себе отчёт ( должен отдавать себе отчёт ) - на какой итог/результат он может рассчитывать.

Если человек крутит баранку на право он и едет на право.

Если он крутит её резко - он нагружает ходовую.

Если он крутит её резко в гололёд... будет ему торба на круче.

Вот они варианты...

Но они есть...

[santy 151]

угу, помним. а так же увеличить сигнатуру до 128 байт.

Уже сейчас не хватает 5000 слов чтобы добавить полностью скрипт в форму, приходится вручную резать, а с увеличением длины сигнатуры вдвое и больше не надо забывать, что все это потом должно быть запихнуто (не побоюсь этого слова) в скрипт юзера.

[PR55.RP55 82]

Да в том и прикол, что...

имея возможности по корректировке, можно работать с сигнатурой минимальной длины.

И не только не увеличить объём символов скрипта - но и значительно сократить его.