Новые функции в Universal Virus Sniffer (uVS)

[PR55.RP55 82]

Модель авто.коррекции сигнатуры.

1) тип файла: exe*; dll ;sys и т.д.

Фиксируется из какого типа файла извлечена сигнатура.

т.е. если сигнатура извлечённая из exe* сработала на файл .sys - это ложное определение.

Или обратная ситуация.

2) Извлечена из файла без ЭЦПодписи.

срабатывание на файл с ЭЦП.

Или обратная ситуация.

3) Срабатывание на известный/системный файл *

Может быть задано исключение - исключение задаётся по имени файла.

( как пример - RPCSS.DLL )

т.е. на RPCSS.DLL - сигнатура сработает. ( но с условием )

4) Вес файла.

Пример файл весит: 200kb

Если определение на файл в 600kb и >более это определение ложно.

5) Наличие/отсутствие ЭЦП в белом списке _wdsl_

6) Сигнатура файла извлечена из файла без ресурса на файл с ресурсами

Возможен учёт типа ресурса.

Или обратная ситуация.

7) SHA1 - файла есть в базе проверенных.

Срабатывание сигнатуры на такой файл - это ложное определение.

8) Сочетание выше перечисленных элементов.

Механизм: Увеличение длинны сигнатуры - при отсутствии положительного результата работает hide

----

Данные указываются в связке с сигнатурой.

пример:

addsgn

{1ACE709A5583508FF42B624E4148F6962575D98A6D691FF37A964E50AFA365B356073C2232AAE84

143343C16467E654E82DF00FE52DAB0AFE96FF9ECAD0E9AFF 8 DWARE.MED

EXE* : Banner LLC : 13091304 байт: Ресурсы + :}

Под EXE* - пониматься все файлы этого типа вне зависимости от _фиктивного_ расширения.

---------

---------

По ЭЦПодписи.

1) Белый список _wdsl_

2) Чёрный список

3) Не обработанные Х

---

Все файлы категории "Чёрный список" получают статус ?Вирус?

- добавление в базу аналогично Белому списку из меню инфо.

Или путём редактирования файла "Чёрный список"

- оператор не создаёт критериев для ЭЦП - оператор работает с Чёрным списком.

- Это позволит тратить меньше времени ( нет необходимости создавать поисковые критерии по этому типу )

- Даёт возможность применить автоскрипт для всех объектов статуса ?Вирус?

3.1) Все Не обработанные файлы с неизвестной ЭЦП помещаются в отдельную категорию. ( опционально )

---------

По сигнатурам - я это написал для обобщения. ( ещё вчера )

У нас с santy - мысль в одном направлении пошла

----------

По форумам и наличию на них вирусов - да, была вышка Corkow

А до этого месяцы тишины - как и сейчас.

-----

Что касается загруженных dll + Так это давно известная вещь.

-----

А по herdprotect.com - я ещё раз говорю - речь о поступлении _новых фалов_

[santy 151]

RP55,

Все файлы категории "Чёрный список" получают статус ?Вирус?

смысла нет в нем, если есть механизм критериев. иначе надо отдельно формировать кучу списков. Список нежелательных программ, список левых DNS, список hosts и т.д.

другое дело, что можно апгрейдить работу с критериями - но об этом уже выше говорилось.

-------

по поводу автоматического hide для объектов без цифровой из белого списка.... по ним необходимы дополнительные проверки, автоматизировать это пока не представляется возможным.

[PR55.RP55 82]

santy

всё так.

По чёрному списку ЭЦП я это к тому, что уже сейчас у меня порядка 300 ADWARE с ЭЦП

А может быть 1000 и более...

И сформировать человеку с нуля 1000 критериев дело нереальное.

Это несколько дней работы - а то и неделя.

Пришёл человек - говорит хочу работать с uVS...

И...

У каждого своя база - свои критерии и на импорт/экспорт их никто не даст ( это потенциально опасно )

( да и нет смысла - оператор должен понимать логику создания/составления критерия )

А чистить и удалять сотни значений в snms - чтобы оставить одни ADWARE с их ЭЦП - геморрой на весь день.

Один раз можно сделать - а регулярно... с поддержкой базы в актуальном состоянии - нереально.

---

Нужны изменения в работе uVS

[santy 151]

RP55,

У каждого своя база - свои критерии и на импорт их никто не даст ( это потенциально опасно )

( да и нет смысла - оператор должен понимать логику создания/составления критерия )

А чистить и удалять сотни значений в snms - чтобы оставить одни ADWARE с их ЭЦП - геморрой на весь день.

Один раз можно сделать - а регулярно... с поддержкой базы в актуальном состоянии - нереально.

можно добавить контекстный функционал (для списка критериев): экспорт отдельного критерия в файл, с последующим его импортом (эта функция уже работает) к себе.

[PR55.RP55 82]

Santy пишет:

можно добавить контекстный функционал (для списка критериев): экспорт отдельного критерия в файл, с последующим его импортом к себе.

Да.

Я тоже об этом думал.

Это позволит значительно упростить и ускорить процесс.

----

Но, в тоже время - это не есть принципиальное решение вопроса.

Хорошо когда можно импортировать/экспортировать, а когда такой возможности нет...

----

[santy 151]

Хорошо когда можно импортировать/экспортировать, а когда такой возможности нет...

добавить это, думаю не сложно:

добавить при создании_редактировании критерия функцию импорта из текстового списка.

при добавлении нового составного условия

автоматически заполнять поле аргумент и значение и соединять с помощью OR

--------

но это уже в последующих версиях. сейчас не актуально.

актуально добавить в автоскрипт обработку по белому списку с исключением ложного детекта

[santy 151]

demkd,

актуально добавить в автоскрипт обработку по белому списку с исключением ложного детекта

+

так же можно добавить в автоскрипт автоматическое исключение из списка "вирусы и подозрительные объекты" со статусом ?ВИРУС?, по которым получен вердикт VTOK

[PR55.RP55 82]

Модель авто.коррекции сигнатуры. ( дополнение к вчера )

9) Сигнатура от 32 битный срабатывание на 64

Или обратная ситуация.

10) Сигнатура от .exe - как файл/а < или > .exe как пакет установки.

------

1) Оператор должен видеть, в колонке: | Производитель |

Есть у файла ЭЦП или нет.

Так и писать... | Производитель ХХХ. ЭЦП |

Для чего ?

Для формирования белого списка ЭЦП

Как это поможет в его формировании ?

Оператор - видит, что указан производитель...

Но не видит есть, или нет у файла ЭЦП

Файлов в списке тысячи - Смотреть Инфо. всех НЕ решение.

- чтобы не терять времени на пустышке нужно...

----

2) Для wdsl

Возможно есть смысл размещать записи ЭЦП в Алфавитном порядке ?

а) Так удобнее - ориентироваться/поиск.

б) Выше скорость проверки ?

- Кавычки ( если они есть игнорируются ) и список строиться по первой букве/символу I...

пример: "Innova Co. "

[santy 151]

RP55,

Оператор - видит, что указан производитель...

Но не видит есть, или нет у файла ЭЦП

зайти в инфо и глянуть ЭЦП. ведь между производителем и ЭЦП прямая связь, поэтому можно решить сразу, стоит по данному производителю добавить ЭЦП в белый список или нет. Не горит ведь, сразу и все надежные ЭЦП добавить в белые.

Возможно есть смысл размещать записи ЭЦП в Алфавитном порядке ?

сортировка работает в списке

[PR55.RP55 82]

Santy пишет:

зайти в инфо и глянуть ЭЦП

сортировка работает в списке

Именно, что зайти... посмотреть.

А если нет ЭЦП - зайти... и посмотреть другой файл, а если и там нет...

Сортировка не работает см. фото пример.

[santy 151]

у меня работает, здесь при сортировке учитывается регистр букв.

для поиска можно прикрутить фильтрацию.

[PR55.RP55 82]

у меня работает

Как- то это сомнительно.

[santy 151]

и кстати, фильтрация тоже работает. в этом огромное преимущество стандартных решений.

то, что сделано хорошо один раз, будет безошибочно работать в других случаях.

[PR55.RP55 82]

1) По ярлыкам браузеров.

Если человек работает с браузером то файл браузера будет в списке...

Пример:

Полное имя C:\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.EXE

Имя файла FIREFOX.EXE

Статус АКТИВНЫЙ [СЕТЕВАЯ_АКТИВНОСТЬ] [Запускался неявно или вручную]

File_Id 5000B729E0000

Linker 10.0

Размер 913888 байт

Создан 23.02.2014 в 17:29:40

Изменен 14.07.2014 в 05:13:42

Действительна, подписано Mozilla Corporation

------

Есть файл FIREFOX.EXE !_С ЭЦП_!

Есть путь до файла...

Мы знаем расположение рабочего стола/столов...

---

Для всех найденных _в списке_ браузеров создаётся ярлык ( по твику )

Ярлык помещается на рабочий стол.

Всем созданным ярлыкам присваивается имя: Ярлык от uVS для firefox.exe

---

Таким образом, на рабочем столе будут старые ( вероятно изменённые ) и новые ярлыки.

[alamor 69]

Если человек работает с браузером то файл браузера будет в списке...

У человека может быть несколько версий одного браузера, не говоря про несколько разных браузеров. Не факт, что он их все запустит.

Мы знаем расположение рабочего стола/столов...

А если человек предпочитает не хранить на рабочем столе лишние ярлыки и вызывать допустим из панели быстрого запуска? Если и создавать новые ярлыки, то перед этим смотреть где лежал старый.

[PR55.RP55 82]

alamor

Так, если у человека несколько версий браузера - то и ярлыки для них есть.

Как он браузеры запускает ?

А история по запускам сохраняется достаточно долго...

---

если человек предпочитает не хранить лишние - кто мешает их переместить, или удалить ?

---

Главное это решить проблему - а настройки и предпочтения за пользователем.

---

Чего городить огород - если есть простое решение.

[alamor 69]

PR55.RP55 значит я неправильно понял ваш предыдущий пост. Я подумал, что вы хотите определять путь к ярлыку по списку запущенных процессов.

[PR55.RP55 82]

alamor

Я как думаю...

У человека стоят браузеры....

Он с ними работает.

Что нужно для запуска браузера - нужен нормальный рабочий ярлык !

---

uVS - знает, что запускалось.

Мы знаем все имена браузеров ( их файлов ) - значит знаем, для каких объектов нужно создать ярлыки.

---

Создали ярлыки ( твик ) - поместил их на рабочий стол ( расположение раб. стола нам тоже известно )

Можно работать с браузерами...

В тоже время остались старые = проблемные ярлыки.

Чтобы не было путаницы - новые/созданные ярлыки отличаются по названию/наименованию.

- А дальше сам пользователь удаляет старые и копирует новые - копирует туда где они ему нужны.

- Это предложение решает множество проблем.

[PR55.RP55 82]

Да...

Есть нюанс.

При повторном применении твика - наименование ярлыков будет совпадать.

Значит вначале ярлыки раннее созданные uVS - нужно будет удалить - и после этого создать новые.

Есть + мы будем точно знать - какой ярлык нужно удалить.

------

alamor пишет:

Я подумал, что вы хотите определять путь к ярлыку по списку запущенных процессов.

Идея вероятно хорошая.

только не по одному списку запущенных - а ещё и по списку "запускались"

[PR55.RP55 82]

Твик №28 нужно модифицировать до:

" Заменить в ярлыках на рабочем столе .URL.BAT.***.на.EXE

Где: *** - любой тип файла/расширения.

[demkd 590]

PR55.RP55

это можно править до бесконечности, сперва bat, потом cmd, потом vbs, потом пойдут они же, но с именами отличными от exe - тут вообще 5 секунд переделать и твик можно выбрасывать, потом с путем отличным от того где лежит exе и на этом все закончится совершенно точно, тут нужен принципиально другой подход.

[PR55.RP55 82]

Demkd пишет:

а чего-то там насильно создавать, не спрашивая пользователя - это не метод.

Приходит Оператор ставит человеку систему...

Создаёт ярлыки для программ/браузеров.

В чём насилие ?

---

Создать группу ярлыков - основываясь на том, с какими программами человек работает...

Это насилие ?

[demkd 590]

PR55.RP55

конечно насилие, ведь все равно пользователь 2/3 ярлыков потом потащит в корзину, а бывает что и 3/3

а еще бывает что скажем firefox.exe ни разу не браузер

[PR55.RP55 82]

Так ещё раз = повтор.

---------

Твик №28 модифицировать до:

" Заменить в ярлыках на рабочем столе .URL.BAT.***.на.EXE

Где: *** - любой ВОЗМОЖНЫЙ тип файла/расширения.

----

Если человек работает с браузером то файл браузера будет в списке...

Пример:

Полное имя C:\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.EXE

Имя файла FIREFOX.EXE

Действительна, подписано Mozilla Corporation

------

Есть файл FIREFOX.EXE !_С ЭЦП_!

Есть путь до файла...

---

Что неизменно ?

Название исполняемого файла браузера ( например FIREFOX.EXE )

И неизменно наличие ЭЦП

----------

Если файл - битый и нет ЭЦП - его так и так переустанавливать - где Ярлык в случае перестановки будет создан автоматически .

[demkd 590]

PR55.RP55

и что же делать если их например три и все с эцп?