Новые функции в Universal Virus Sniffer (uVS)

[santy 151]

будут белые критерии, будет больше возможностей по автоматической корректировке скрипта. + комбинированный детект сигнатур и критериев (в какой то форме) можно будет реализовать.

добавлю что есть идеи правильные и есть тупиковые.

удаление на основе сигнатурного детекта - это правильная идея, поскольку в скрипт добавлен по сути ордер на удаление (убийство файлов), причем взятый из самого образа.

т.е. на основании чего файл удаляется и хелпер отвечает за это. ситуацию создания скрипта легко воспроизвести. импортируем сигнатуры из скрипта и проверяем что будет удалено.

удаление всего из текущей категории - это тупиковая идея. мало того что ситуация с удалением невоспроизводимая (нет основания для удаления файлов в самом скрипте - на основании чего это удаляется: проверка ВТ, сигнатуры, критерии, внешние проверки в КСН, herdprotectScan? хз. абстрактный оператор об этом молчит), она еще и бесперспективная в плане автоматического создания скрипта.

[PR55.RP55 82]

Команда может работать для всех: url объектов.

В том числе и в автоматическом режиме.

-------

команда: "Удалить все файлы в текущей категории"

Следует понимать, что команда может работать так: "Удалить все файлы в текущей категории ( с учётом фильтрата ) "

т.е. можно, при фильтрации удалить все ?ВИРУС?

как объект получил/получает статус ?ВИРУС? - ?

По результату проверки на V.T...

По результату работы поискового критерия...

Критерий в частности может быть основан на цифровой подписи/производителе.

----

Можно работать и без критерия.

По производителю.

Задали производителя > получили список состоящий только из одного производителя например: Ask***

И применив одну команду удалили все объекты/файлы от данного производителя.

---

А в принципе - решение за оператором, что и как ему в текущей ситуации делать - какое принять решение - какой сделать выбор.

---

И здесь нет сигнатур.

здесь нет автоспорта.

---

т.е. минимизация первичных операций.

[PR55.RP55 82]

Недавно были непонятки.

по .sys файлу: http://www.anti-malware.ru/forum/index.php...st&p=178694

Который, как оказалось не был исполняемым.

А относился к - sys файлам типа: "текстовый или содержит какие-то данные"

Если несколько человек посмотрели Инфо. ...

И с ходу этого не поняли...

Это серьёзный недостаток.

Оператор с полу-взгляда должен видеть с чем он имеет дело.

В новой версии программы нужно так подать материал - чтобы сразу было видно.

без: "можно догадаться"

дело серьёзное.

А в серьёзном деле такие выражения, как ДОГАДАТЬСЯ не подходя.

[PR55.RP55 82]

1)

         deltmpdelnfrczoorestart  ; Всего знаков кода: 4987; Установленный лимит знаков кода: 5000

Суть в том, что на ряде форумов есть ограничение на число символов.

Логика: Оператор пишет скрипт > Открывает окно сохранения скрипта > Видит, что скрипт нуждается в корректировке = сокращении числа строк/символов кода.

Или же строк так много, что нужно сохранять в файл.

Или видит - скрипт может быть размещён на форуме так, как есть.

Лимит знаков кода прописывается в: settings.ini

[santy 151]

demkd,

сейчас распространена проблема Search with Bing

как правило в образах есть три файла

HKLM\System\CurrentControlSet\Services\NetHttpService\ImagePath

C:\Windows\SysWOW64\nethtsrv.exe

HKLM\System\CurrentControlSet\Services\nethfdrv\ImagePath

\??\C:\Windows\system32\drivers\nethfdrv.sys

HKLM\System\CurrentControlSet\Services\ServiceUpdater\ImagePath

C:\Windows\SysWOW64\netupdsrv.exe

--------------

скажем создал я критерий Search with Bing

и добавил в него условие

ссылка~ \Services\nethfdrv\

и хочу расширить этот критерий, добавив еще пару условий по другим файлам.

сейчас это можно сделать, редактированием в списке критериев. находим критерий Seach with Bing и добавляем вручную другие условия.

предлагаю расширить возможности редактирования критерия из окна "Инфо" следующим образом.

- добавить в контекстное меню фунцию "выбрать текущий критерий из списка"

и при этом либо раскрывать список имен всех критериев из базы с возможностью выбора из него, либо ввсети поле редактирования в котором можно ввести имя критерия (полное, или часттично) и если данное имя найдено в списке критериев, то он устанавливается текущим, и новое условие добавляется уже в выбранный текущий критерий.

---------

сейчас текущий критерий (в окне Инфо) можно выбрать из тех критериев, которые были выведены по данному объекту.

[PR55.RP55 82]

1) Предложение см. фото.

Ещё бы на выбор из меню для колонки производитель.

Для основных.

Abode

Microsoft

Майкрософт

Google

Nvidia

------

Суть идеи - быстрое переключение/выбор между объектами.

Без набора поискового запроса и без переключения раскладки клавиатуры.

[santy 151]

RP55,

Суть идеи - быстрое переключение/выбор между объектами.

Без набора поискового запроса и без переключения раскладки клавиатуры.

быстрее будет вбить одну букву в запрос. Аналогично и по статусу.

[alamor 69]

4) Добавить в окно сохранения скрипта кнопку: "Скрипт отредактирован - сохранить изменения. "

т.е. пишем скрипт - решаем изменить последовательность применения команд, или убрать комментарии, или удалить часть команд и т.д.

+1, полезная фича.

[PR55.RP55 82]

1) Критерии поиска.

По факту ( сейчас ) все поисковые критерии разделены на группы.

Это группы:

a) ADWARE

б) VIRUS

c) Сеть

d) Информационные/уведомительные/предупреждения.

Теперь о каждой группе и о критериях поиска.

a) ADWARE - Определяются по:

Типу ( плагины ); По цифровой подписи; По известному имени файла/программы.

Надёжность этого типа критериев близка к 100%

т.е. Ложных определений по ним практически нет.

От этих объектов не зависит целостность системы.

Их случайное/преднамеренное удаление не наносит вреда системе.

б) VIRUS - Определяются по:

Многим признакам.

Это Ключи автозапуска, как постоянные так и временные: старт объекта из временного каталога; нетипичная директория объекта;

И сотни других параметров.

Создаются сложные/составные критерии.

Для определения одного вируса может быть задано несколько критериев.

Надёжность этого типа критериев: Не превышает 75 %

Вирусы маскируются и лучше перестраховаться чем пропустить угрозу.

Удаление может причинить значительный вред операционной системе.

Требуется проверка и перепроверка данных !

c) Сеть:

Работа с устойчивыми признаками.

hosts;DNS;стартовые страницы; IP; прокси ...

Надёжность этого типа критериев близка к: 98%

От этих объектов не зависит целостность системы.

Их случайное/преднамеренное удаление практически не наносит вред системе.

d) Информационные/уведомительные/предупреждения.

Например на выявление установленных антивирусных продуктов ( их потенциальных конфликтов )

Легальных программ слежения за PC; по некоторым системным обновлениям; конфликтующим программам; устаревшему софту; программам удалённого подключения

и т.д.

Надёжность критериев высокая.

От этих объектов, как правило не зависит целостность системы.

Но, клиенту может быть нанесён материальный ущерб.

----------

Как же работает uVS с этими группами...

Все найденные объекты получают статус: ?ВИРУС?

т.е. они равны.

Что есть сейчас в меню программы ?

Смотрим: Тесты > Проверить список по пользовательской базе признаков...

т.е. команда проверяет по всем _ЧЕТЫРЁМ_ типам одновременно и выдаёт один вердикт: ?ВИРУС?

Четыре типа... А вердикт один...

Что является серьёзной недоработкой - которую необходимо исправить.

Как это сделать ВАРИАНТЫ:

1) Вариант

При формировании поискового критерия Оператор задаёт имя критерия.

пример:....| СТАТУС |

ADWARE - ADWARE 1

.................ADWARE 17

.................ADWARE 20

----

VIRUS -.... VIRUS SPY

................VIRUS AutoRun

................VIRUS Sality

-----

Сеть - .... Сеть Левый IP

................Сеть Левый DNS

-----

В итоге в колонке | СТАТУС |

каждый объект получает ВЕРНЫЙ статус...

Применив фильтр/поиск - мы можем получить только объекты одного статуса.

Например: ADWARE

т.е. Получаем на 100% надёжный список из одних ADWARE.

которые можно ЕДИНОВРЕМЕННО удалить - как при помощи автоскрипта, так и применив команду:

" Удалить все файлы в текущей категории ( с учётом фильтра )

Разом можно удалить 20 или 100 файлов/объектов...

Их практически не нужно проверять...

Критерий заданы надёжные.

----

Сейчас 95% всей работы это работа по удалению рекламы.

( в темах лечения - форумах Вирусов практичеки нет )

А рекламы очень много, это десятки объектов.

И каждый нужно удалить.

----

Вариант №2

Разбить команду: " Проверить список по пользовательской базе признаков. "

На под. команды:

" Найти все ADWARE "

" Найти все VIRUS "

" Найти все уведомления "

...

варианта и здесь два.

1) Имя задаёт оператор.

2) ИЛИ Разделение файла snms - на 4 самостоятельных блока/файла.

------

Что ещё + даёт этот подход ?

Со временем критерии становиться всё больше и больше.

Время проверки увеличивается - ( особенно при работе с системой, а не с образом автозапуска.)

Оператор имеет возможность ситуационного выбора - с какими критериями ему работать, что сейчас актуально.

Быстрее найти нужное.

+

Можно свести ложные определения к нулю _0_

что позволит быстрее обработать данные/образ не отвлекаясь на мусор/рекламу.

Пример: В списке "Подозрит. и Вирусы" 54 файла/объекта

Из них 41 - ADWARE.

После их автоматического удаления в списке останется небольшая группа объектов.

Её можно изучить/проверить и принять решение...

+

Нет нагрузке на V.T. - при проверке всего списка - так, как список отфильтрован.

+

Можно работать без V.T. - ОПРЕДЕЛЕНИЕ основано на надёжных критериях.

+

Быстрота обработки данных.

Результат уже разбит по категориям.

Большая часть данных подлежащих анализу проходит автоматическую обработку.

[PR55.RP55 82]

1) Оператор-cache|SHA1

Оператор работает с образом, проверяет файлы.

Отдаёт команду: "файл проверен"; Все файлы каталога пров." ; "Все файлы в текущей категории пров. "

П Р О В Е Р Е Н Ы !

Оператор работает дальше > открывает новый образ автозапуса > применяет команду:

" Проверить по базе предыдущих проверок Оператор-cache|SHA1 "

Вопрос - какой смысл по 100 раз проверять одни и те же файлы ?

Да...

Образы разные...

Но файлы одинаковы по SHA1

Со временем накопиться большая база проверки - сотни тысяч файлов.

Получиться огромная экономия по времени.

- Команда национальная - оператор может её задействовать, а может и не задействовать при проверке, в зависимости от ситуации.

Какие есть + моменты ?

а) Это независимая база. *

Она является дополнением к базам: SHA1|MAIN ;SHA1|Оператор + vtcache + ( Оператор-cache|SHA1 )

* Можно отметить уровень надёжности баз.

SHA1|MAIN - от разработчика - и по сути самая надёжная.

SHA1|Оператор - на втором месте база файлов сформированная самим оператором или группой операторов.

vtcache - надёжно но... проверку может пройти и вирус - нужно время чтобы убедиться в надёжности файла.

Оператор-cache|SHA1 - Прежде всего основывается на мнении оператора - на его знаниях/опыте/практике.

Здесь оператор может отталкиваться в том числе и от результата проверки на V.T.

б) База формируется автоматически - параллельно работе.

Оператор проверяет > программа индексируется результат: _ ЭТИ _ файлы проверены __

в) Экономия по времени проверки.

На саму проверку.

На пополнении базы проверенных - Оператор-cache|SHA1

---------

2) Реализовать доп команды:

Удалить файл из базы: vtcache

Удалить файл из базы: Оператор-cache|SHA1

[PR55.RP55 82]

Demkd

Всё таки...

Не прося много...

Хотелось бы.

Узнать мнение по выше изложенным предложениям.

---

А то получается, что: "Тихо сам с собою я веду беседу"

Так и чердачёк фруттис может отъехать... в Пермь.

[demkd 590]

PR55.RP55

потом, после релиза очердной версии почитаю, пока времени нет.

[PR55.RP55 82]

Demkd пишет:

потом, после релиза очердной версии почитаю, пока времени нет.

Буду ждать - как новую версию, так и оценки предложений.

[santy 151]

RP55,

1) Критерии поиска.

По факту ( сейчас ) все поисковые критерии разделены на группы.

Это группы:

a) ADWARE

б) VIRUS

c) Сеть

d) Информационные/уведомительные/предупреждения.

все это можно делать в рамках назначенных действий для критериев.

при расширении структуры списка snms.

а) установка статуса объекта при детектировании

б) назначенные действия при детектировании (для автоматического добавления команды в скрипт)

но так же должна быть выполнена работа по унификации критериев, которые сейчас работают с разными списками:

- со списков файлов и объектов

-со списком записей из hosts

- со списком записей из установленных программ.

[PR55.RP55 82]

santy

Это всё хорошо.

но...

Сейчас бы хоть сделать: Сопоставление ОТОБРАЖЕНИЯ - ИМЯ критерия и колонки | Статус | -

Пример:

Имя Adware11 | Ст. Adware11 |

---

А потом уже переходить к автоматизации процесса.

[santy 151]

а что мешает тебе называть т.о. критерии? называй как тебе удобно. а статус, если будет принята(реализована) идея, можно будет устанавливать назначенной командой SETSTAT(?ВИРУС-АДВАРЕ?)

поскольку уже запланировано добавление функционала

10. доработка критериев: белые, назначение действия [v?.??]

то от него и надо отталкиваться.

а привязка статуса к названию критерия - это не есть хорошо.

[PR55.RP55 82]

Santy пишет:

Статус, если будет принята идея, можно будет устанавливать назначенной командой SETSTAT(?ВИРУС-АДВАРЕ?)

Зачем _устанавливать статус_ ЕСЛИ статус задан/УСТАНОВЛЕН ?

Задан в имени !!

Это группы:

a) ADWARE

б) VIRUS

c) Сеть

d) Информационные/уведомительные/предупреждения. ( Инфо. )

*Если нужны ещё группы - то Оператор их создаст - по своему усмотрению.

Это и есть статус...

И если мы говорим об автоматизации.

Под каждый тип можно задать перечень отдаваемых команд.

--------------------

На примере сигнатур.

Сейчас по факту каждая сигнатура - это критерий.

Каждой сигнатуре - задано собственное имя.

СОБСТВЕННОЕ Имя отображается в колонке | статус |

Представим, что этого нет...

А есть одно общее определение для всех сигнатур...

Пример:

;uVS v3.82.8 [http://dsrt.dyndns.org]

;Target OS: NTv6.1

zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE

bl 2BF4BEF954542E8E402F7A2CA6436B04 798024

addsgn 1AE49A9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D49

2B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 &

? ВИРУС ?

zoo %Sys32%\BTASYNCEX.AX

bl 63D0E921C242CF3A8AC969F5071E6C31 197120

addsgn 729053925465C9E30AD4AED1DAC82240250742F66900E02F060E3A575D46E1DCA91185DF39129C92

5E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 15 ? ВИРУС ?

zoo %SystemRoot%\APPPATCH\LFWYID.EXE

bl 2FEB5C4997A39899B85D5395271FB1A1 301056

addsgn 35E901E5156ABF760BD451BC69425205CDAD090976928202A9C39B3DB6E45D4C231EF6B4A0159DF2

7C1EBE9F0D95A2C6F61CC177A8B1F02C1E9A1E559E292240 8 ? ВИРУС ?

zoo %SystemDrive%\PROGRAM FILES\PRMT8\BACKUP\PROMTUSERS.EXE

bl 4D4BFA868A4314F16A64221FFF8B4DA9 53248

addsgn 1AD0729A55837A8FF42B254E3143FE84C9A2FFF68959AF79C4C34CB1FCD7304CAA026B567F551454

8F81C59FCF23E9FB3CDF614FC9DBF12C4BFBB1E7C6472215 8 ? ВИРУС ?

Сразу виден уровень марзама ээ... т.е. маразма !

-----

Так и для ПОИСКОВЫХ КРИТЕРИЕВ.

Недопустимо всё сваливать в одну кучу под наименованием ? ВИРУС ?

И радоваться - " вот какое холодное молоко даёт наша коровка "

Хорошо - что даёт.

Плохо, что ТОЛЬКО холодное.

Оно должно быть всяким: И холодным и тёплым и горячим - всё по мере необходимости.

[santy 151]

RP55, я понимаю, тебе хочется писать и писать без остановки,

но даже если будет группировка критериев, то она никоим образом не относится к статусу объекта. по мне так достаточно одного активного статуса ?ВИРУС? (то что подлежит проверке, удалению, исправлению), остальное можно регулировать назначенными действиями.

действие же будет зависеть от того из какой категории приплыл объект в подозрительные.

единственно, можно позаимствовать идею у малваребайт и адвклинера, и в критерии добавить каталоги, чтобы потом их дополнительно очистить с помощью deldirex

--------

группировка она и сейчас есть. в зависимости от списка, с которым работает uVS

либо это список объектов и файлов, либо это список hosts, либо это список программ.

[PR55.RP55 82]

Santy пишет:

даже если будет группировка критериев, то она никоим образом не относится к статусу объекта. по мне так достаточно одного активного статуса ?ВИРУС? остальное можно регулировать назначенными действиями.

Это как - почему не относиться ?

http://www.grandars.ru/student/statistika/...kih-dannyh.html

действие же будет зависеть от того из какой категории приплыл объект в подозрительные.

Это сомнительно.

Например сетевая активность - в этой группе могут быть совершенно разные объекты...

Чаще всего простые итоговые сводки не удовлетворяют исследователя, так как они дают слишком общие представления об изучаемом явлении.

Поэтому статистический материал подвергается группировке.

И далее...

[santy 151]

потому что группировка данных - это одно, а статус объекта это другое. Если объект имеет статус :ПОДОЗРИТЕЛЬНЫЙ, значит выходит и часть критериев должна иметь группу - ПОДОЗРИТЕЛЬНЫЕ?

Группировка должна быть свободной и расширяемой. какой-то привязки к группе сейчас не видится, или видится в связи с разными списками. Например - одна группа (и только она) обрабатывает список hosts; другая группа (и только она) обрабатывает список установленных программ.

объекты в том числе и адварные могут быть из разных категорий. sys, exe и проч. Я например часто удаляю объекты sys через виртуализацию. объекты exe либо через chklst&delvir либо через del или delall.

корме того в качестве объектов (через критерии) можно будет добавить и каталоги и удалять их автоматически через deldirex

[PR55.RP55 82]

*

На herdprotect.com уже 11 000 000 файлов.

[PR55.RP55 82]

Уважаемый Vvvyg пишет:

И одна хотелка: было бы здорово, если бы все ссылки на страницы типа hxxp://www.sweet-page.com/.... и далее 100500 символов, и такое в нескольких вариантах - удалялись бы одной командой.

И соответственно предложение от RP55

1) Твик - удалить все: http://****

uVS будет содержать список основных ссылок не подлежащих удалению

типа: HTTP://GO.MICROSOFT.COM/FWLINK/?LINKID=

-------

P.S.

Что мешает это сделать ?

Бывает, что за раз необходимо удалить 8 и более ссылок.

Кому нравиться сидеть и тыркать 8 раз на удаление ?

Кому нравиться скрипт который не умещается в окно ?

И что в этом плохого ?

Удалиться пара стартовых страниц Aser или ещё чего... ( ценного )

Польза от твика очевидна.

Да и очистка url виде твика будет к месту.

[PR55.RP55 82]

Тема: Runddl32 загружает процессор на 50 %

http://pchelpforum.ru/f26/t139397/

Часто _у игрунов_ встречается такая проблема.

Предлагаю сделать твик по устранению проблемы.

[demkd 590]

PR55.RP55

пока не понятно что там твикать и из-за чего проблема, кому-то помогает замена rundll на правильную версию, кому-то правка ключей.

[PR55.RP55 82]

Demkd пишет:

пока не понятно что там твикать и из-за чего проблема, кому-то помогает замена rundll на правильную версию, кому-то правка ключей.

Замена rundll к твикам не относиться - значит остаётся правка ключей.

Нет идеального оружия...

Но эффективность в 50% будет хорошим достижением.

т.е. если из двух проблем данным твиком получиться решить одну - это уже хорошо.

Это актуально - жалобы на повышенную нагрузку встречаются часто.

Как пример правка/твик 12 для: " Сброс значений ключей Winlogon в начальное состояние. "

Так и для rundll +

твик: Убрать все накрученные хвосты.