Новые функции в Universal Virus Sniffer (uVS)

[demkd 590]

PR55.RP55

а не факт что там что-то накручено

[Serega_490101 5]

По поводу GameUX.dll:

Она собирает информацию об игре при её запуске с целью добавить игру в список Пуск->Все программы->Games

При этом с некоторыми играми зависает нагружая первое ядро процессора

Также мне известен случай с одной игрой (Emperor: battle for Dune), когда игра при запуске ждёт завершения rundll32.exe и если его не завершить принудительно или не включить интернет вообще не запустится

Для исправления необходимо в реестре ключ HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\GameUX

Значения DownLoadGameInfo, FirstRunDialogLaunched, GameUpdateOptions установить в 0

ключ HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\GameUX\Service Location

Значение Games установить в localhost

Сбор сведений производится с сайта Microsoft отсюда: https://games.metaservices.microsoft.com/ga...WebService.asmx

Пользователь пытается запустить каким-то образом исполняемый файл. Но система не сразу дает ему управление, а сначала пытается проверить его совместимость по различным признакам (такие как имя, контрольная сумма и т.п.) Если системе показалось, что файл находится в списке несовместимых или устаревших, то она может либо предупредить пользователя о том, что нужно применять режимы совместимости, либо вообще заблокировать выполнение этой задачи (установщик старой версии Windows, к примеру).

В Висте/Семерке к этому списку добавился еще и список legacy игр. Проверка для них осуществляется только по имени исполняемого файла. Если имя исполняемого файла игры совпало с одним из этого списка, то _ПЕРЕД_ запуском этого исполняемого файла ОС запускает этот самый rundll32, чтобы он добавил игру в гейм эксплорер. Пока он не отработает - запуска этого исполняемого файла не произойдет. Данные для добавления берутся из файла GameUXLegacyGDFs.dll.

Далее, в какой-то момент портится база данных ГеймЭксплорера. Портится она самопроизвольно в результате работы самого ГеймЭксплорера (точнее того кода, который был в него добавлен в семерке). Не у всех и достаточно редко. Виноват, конечно, сам пользователь - выключил компьютер когда Геймэксплорер на фоне занимался очень важной оптимизацией для быстродействия своих данных или рано закрыл окно ГейЭсплорера после запуска игры, не промедитировав положенные 10 минут .

Другие варианты решения:

1) Переименовать исполняемый файл игры - система определяет, что программа является игрой в том числе и по имени файла;

2) Удалить базу старых игр GameUXLegacyGDFs.dll. Записи о новых играх будут работать, но отключатся старые.

В некоторых редких случаях помогает обновление rundll32.exe (если установлена старая его версия)

[demkd 590]

Serega_490101

спасибо, посмотрю

а если просто удалить ключ со всем содержимым, это не поможет? HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\GameUX

установка в localhost как-то неэстетично.

у меня вот этого ключа вообще нет, хотя есть игры найденные этим самым "оборзевателем игр" и проблем тоже нет с rundll

[Serega_490101 5]

у меня вот этого ключа вообще нет, хотя есть игры найденные этим самым "оборзевателем игр" и проблем тоже нет с rundll

Возможно в этом дело и заключается.

Забыл добавить, что проблема появилась в Windows 7, т.е. в висте и ранее сбор информации об игре не производился.

Также проблема не появляется в некоторых пиратских сборках т.к. эта функция там может быть изначально отключена или вовсе вырезана из системы.

а если просто удалить ключ со всем содержимым, это не поможет?

не проверял, часа через 3 проверю

[demkd 590]

Serega_490101

у меня как раз оригинальный windows 7x64, gameux работает правильно.

[Serega_490101 5]

Удалил весь ключ HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\GameUX

Игры запускаются, rundll32.exe не виснет.

[demkd 590]

Serega_490101

ага, я так и думал, что должно по идее помочь, добавлю твик

[Serega_490101 5]

Serega_490101

ага, я так и думал, что должно по идее помочь, добавлю твик

помочь то помогло, но заметил, что игры запускаются с задержкой секунды в две

[alamor 69]

Теперь для каждой игры отдельный твик добавлять?

[demkd 590]

Serega_490101

а если localhost прописать то быстрее?

alamor

дело тут в пожирании процессорного вермени, а твик пригодится для многих игр.

[Serega_490101 5]

Serega_490101

а если localhost прописать то быстрее?

alamor

дело тут в пожирании процессорного вермени, а твик пригодится для многих игр.

Да запускается сразу, не успеваю папку Games закрыть

[PR55.RP55 82]

herdprotect.com

Число файлов = 12000 000

[PR55.RP55 82]

1) команда: Сбросить статус "проверенный" у всех файлов в списке.

Предлагаю реализовать команду:

Сбросить статус "проверенный" у всех файлов в списке - кроме проверенных оператором.

Пример: Оператор работает с образом автозапуска.

Просматривает категорию: Подозрит. и вирусы.

удаляет угрозы, а к оставшимся в списке применяет команду: Все файлы в текущей категории проверены.

В процессе оператор понимает, что нужно сбросить статус "проверенный" в категории ВСЕ - так, как есть подозрение, что ряд угроз имеет цифровую подпись...

----

Теперь подробно.

Что будет при применении команды/варианта который реализован в uVS сейчас ?

т.е. будет применена команда: Сбросить статус "проверенный" у всех файлов в списке.

Получается, что файлы которые вручную проверил оператор придётся просматривать/перепроверять повторно.

Особенно когда в с списке десятки файлов/объектов.

Что крайне нехорошо...

Теперь вариант №2

Сбросить статус "проверенный" у всех файлов в списке - кроме проверенных оператором.

Получается, что файлы которые вручную проверил оператор будут проверены.

И удастся избежать повторной проверки десятков файлов.

Что хорошо и логично.

[PR55.RP55 82]

3.82.3

---------------------------------------------------------

o Функция проверки по хэшу на VT теперь использует данные о проверке ЭЦП,

если VT вернул данные о том что ЭЦП для файла верна И нет детектов,

то файл помечается как проверенный с указанием первого подписавшего.

Дабы не повторяться здесь подробно:

http://www.anti-malware.ru/forum/index.php...st&p=179098

[PR55.RP55 82]

Предложение.

По проверке цифровых подписей.

Вначале посмотрим, что есть в системе из подписанных файлов ?

1) Это собственно файлы системы.

Действительна, подписано Microsoft Corporation

Действительна, подписано Microsoft Windows

И прочие варианты.

2) Драйвера устройств.

usb; видео; звук. и т.д.

2.1) Интерфейс пользователя - настройка параметров работы.

Где драйвера и интерфейс имеют одну ц. подпись !

3) Установленные программы.

Программы разделим на две категории

а) Известные/крупные компании

б) Все прочие...

---------------

Теперь ранжируем их по уровню надёжности.

1) Системные файлы и их подписи - 100 % надёжны

2) Драйверы устройств - 99% надёжны.

* Были прецеденты с Realtek и ещё рядом компаний.

Но эта проблема относиться только к угрозам которые в реальной практике встречаются раз в год.

3) Установленные программы.

Слабое звено - уровень надёжности определить проблематично.

Сегодня человек зарегистрировавший подпись - выпускает нормальное программе обеспечение.

А завтра...

Или продаёт кому программу и начинаются Adwarные дела.

----

Значим нам нужно отделить одно от другого...

Надёжное от не надёжного.

----

Устанавливается статус Проверенный для:

системных файлов/подписей.

И для драйверов устройств + интерфейс.

----

Отдельно идут программы.

----

Сейчас создал критерий поиска.

ц. подпись + действительна.

И просмотр/подсчёт колонка - производитель.

Получается в одном образе _всего_ от 60 - до 110 разных; разных/вариантов подписей.

Разбиваем их на группы.

По типу ( из трёх выше приведённых типов )

И по производителю/подписи.

----

Теперь практически.

Варианты...

Можно отдать команду:

" Сбросить статус проверенный - только для программ )

Значит в списке останутся только программы.

+ Если будет белый список куда можно внести таких производителей как Intel...

----

Дальше надо думать...

И обсуждать.

--------

Разумеется нужно будет реализовать дифференциацию.

Где:

"

uVS сможет отличить программу/файл/драйвер устройства

от собственно просто программы.

и потом выдать данные в инфо. по файлу.

[santy 151]

1. список белых цифровых желательно добавить так же как список критериев или сигнатур, т.е. чтобы им можно было управлять.

(найти, выделить, удалить из списка и т.п.)

2. можно добавить (контекстную) функцию автоматического пополнения белого списка.

проверяем по SHA1. если в образе есть файл с текущим SHA1, то автоматически добавляем издателя (если его там еще нет) в белый список ЭЦП.

(как то его надо назвать, чтобы в дальнейшем можно было называть просто по имени.)

--------

имхо, не вижу пока смысла в (предварительной) дифференциации. и драйвера есть с левой подписью.

Полное имя C:\WINDOWS\SYSTEM32\DRIVERS\SSNFD.SYS

Имя файла SSNFD.SYS

Тек. статус АКТИВНЫЙ ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ драйвер в автозапуске

Цифр. подпись Действительна, подписано "Search Snacks, LLC"

Оригинальное имя ssnfd.sys

Версия файла 1.9.0.5

Описание Search Snacks Driver x86

Производитель Search Snacks

Комментарий Compiled: 2014-05-13T18:16:07Z. Configuration: Release

Доп. информация на момент обновления списка

SHA1 98C1AD78697C5506CD2A3ECED9C264AE54319E29

MD5 06F6AD247C18A398DE851113E42333E7

Ссылки на объект

Ссылка HKLM\System\CurrentControlSet\Services\ssnfd\ImagePath

ImagePath system32\drivers\ssnfd.sys

ssnfd тип запуска: При инициализации ядра (1)

[PR55.RP55 82]

Santy пишет:

1. список белых цифровых желательно добавить так же как список критериев или сигнатур, т.е. чтобы им можно было управлять.

(найти, выделить, удалить из списка и т.п.)

2. можно добавить (контекстную) функцию автоматического пополнения белого списка.

проверяем по SHA1. если в образе есть файл с текущим SHA1, то автоматически добавляем издателя (если его там еще нет) в белый список ЭЦП.

Santy

Да.

Отличная идея.

+

Только автоматически НЕ НАДО.

Не стоит.

Человек мог выпускать нормальные программы.

Их SHA1 много лет подряд добавляли в базу проверенных.

А потом он продал права на программу & подпись.

И "добрые дяди " начали писать зверь, или ADWARE.

Если Оператор - внёс/добавил файл в белый список - это его проблемы.

А вот автоматически...

santy

Я вообще-то о драйверах устройств...

Драйвер устройства должен с устройством взаимодействовать.

[santy 151]

+

Только автоматически НЕ НАДО.

Не стоит.

Человек мог выпускать нормальные программы.

Их SHA1 много лет подряд добавляли в базу проверенных.

А потом он продал права на программу & подпись.

И "добрые дяди " начали писать зверь, или ADWARE.

Если Оператор - внёс/добавил файл в белый список - это его проблемы.

А вот автоматически... facepalm.gif

ничто не мешает удалить его из списка. и сказать а-я-яй такому человеку потом.

поскольку будет возможность просмотра списка, то и удалить можно будет ненадежные на 100%(неизвестные)

естественно, список пополнять двумя способами: автоматически, и из инфо по одной подписи.

[PR55.RP55 82]

ничто не мешает удалить его из списка. и сказать а-я-яй

а-я-яй я и сейчас могу сказать.

Потому, что здесь не хватает одного слова: ПОТОМ.

Сначала подпись АВТОМАТИЧЕСКИ попадёт в белый лист/список.

И все файлы получат статус ПРОВЕРЕН...

и Оператор будет работать с белым списком = доверять ему.

и только ПОТОМ...

нравиться ?

---------------------

В любом случае нет смысла сбрасывать статус: ПРОВЕРЕН у всех файлов.

Должна быть дефференциация по типу.

Файлы/подписи от системы.

или что иное.

Если и сбрасывать статус - то для Программ.

Почему сейчас операторы пропускают ADWARE объекты ?

Да потому, что приходиться за день проверять 10-20 образов автозапуска.

И никакого здороья не хватит...

Проверять десятки тысяч файлов/объектов.

[santy 151]

и Оператор будет работать с белым списком = доверять ему.

а не надо все подряд добавлять в белый список, и в SHA1.

к тому же Земля не сойдет с орбиты, если что-то лишнее окажется в белом списке, ошибка все равно найдется и исправится.

Статус ПРОВЕРЕН, можно будет сбросить у всех, кто не в белом списке.

[PR55.RP55 82]

santy

В принципе - Да !

Идеального не бывает.

но получить надёжность на уровне 99% - можно.

Очень это хорошая мысль !

---

Проверяем по SHA1. если в образе есть файл с текущим SHA1, то автоматически добавляем издателя (если его там еще нет) в белый список ЭЦП.

* Периодически UVS должна проверять СЕРТИФИКАТ.

и если сертификат был аннулирован - удалять ЭЦП из белого списка.

[PR55.RP55 82]

1)

Даже, если вышеприведённые предложения по ц. подписи не будут реализованы ( не дай бог !! )

То СЕЙЧАС реализовать по минимуму:

"

ОТЛИЧАТЬ программу/файл/драйвер устройства

от собственно просто программы - драйвера/программы.

и потом выдать данные в инфо. по файлу. "

Что это даст ?

Эта информация позволит оператору изучив Инфо.

понять с каким объектом он имеет дело.

какой у него статус = рейтинг.

Одно дело если это драйвер устройства с надёжность порядка 99%

и совсем другое дело, драйвер программы.

+

К этому...

Мы повышаем уровень безопасности.

Оператор - зная, что это драйвер 10 раз подумает прежде чем его снести/удалить.

Система может и не загрузиться...

Это доказано на практике - оператор удалил некий файл...

И система не загружается.

Оператор будет видеть/знать с чем он имеет дело.

[JunDF 5]

По-моему, было бы не плохо, чтобы uvs при создании файла сверки для поиска руткитов также сверяла загрузочный сектор. В целях поиска буткитов.

[demkd 590]

JunDF

он это делает изначально.

[PR55.RP55 82]

Реализовать команду: deldirexHide-Unins

" Удалить все исполняемые файлы каталога кроме: "

Uninstall.exe

uninstall.exe

---

uninst000.exe

unins000.dat

unins000.msg

unins000.*** - любое расширение.

---

Важное примечание:

ЕСЛИ файл содержит unins - и находиться в автозапуске файл будет удалён.

т.е. исключение на файл в автозапуске не распространяется.

---

Что это даст ?

Это позволит удалить исполняемые файлы каталога и при этом задействовать штатный uninstall.exe