Перейти к содержанию

Recommended Posts

PR55.RP55

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Программный код творишь

Опутан проводами

Замученный делами

День и ночь сидишь.

Разблокировать систему,

Алгоритм создать,

В своём деле просто гений!

Он не умеет отдыхать!

Комп отодвинь!

Рискни оставить Vista

У тебя — День программиста!

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
akoK

santy, в чем соль?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

akok,

соль будет в самом скрипте, кто как мыслит решить проблему заражения системы на примере данного образа средствами uVS :)

скрипт может получиться длинным или коротким, с применением различных методов удаления зловредов, которые заложены в uVS.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Получилось вот так только папки уже лень было зачищать.

3.txt

3.txt

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Santy

Да...

Скрипт я от н** делать написал.

Выкладывать пока не буду.

---

А образ милый.

Там и вирусы разных типов, и модификация ими реестра.

И десятки разных ADWARE

И HIPS +

И модификация ярлыков.

И даже вроде как Майнер...

Левые расширения в браузере.

И Сетевой мухлёж разных типов.

И исполняемые файлы всех типов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55, тут дело добровольное, не хочешь - не выкладывай,

я тоже не все зачищал из бат файлов, только для основных браузеров

примерно такое. :)

am_script.txt

am_script.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот вот этот зловредный тип. ;)

Но, в _реальной обстановке я бы скрипт не стал писать.

Сначала всё сканерами прибить, а что останется - то, уже uVS.

( здоровье оно дороже )

_______111.txt

_______111.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

С Наступающим Новым 386 uVS! :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

С годом Ка:

:lol:

И с наступающим и с наступившим !

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

А вот интересно, новый жуткий; вызывающий оторопь вирус "недавно" найденный Kaspersky

Для жёстких дисков...

Интересно файл сверки в uVS его сможет выявить ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Интересно файл сверки в uVS его сможет выявить ?

Если коротко - нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Его вообще реально найти и как это можно сделать ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@PR55.RP55, если прочитать внимательно новость, то можно заметить, что распространение этого вируса относительно малое и заражает он машины избирательно. Так что вероятность, что в живой природе встретите такую машину очень низкая.

Встретить бесфайловый вредонос вероятность думаю намного выше. А uVS его тоже скорее всего не заметит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Как-то так получилось.

1.txt

1.txt

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

mike_1,

все команды отданы вручную, без автоскрипта?

 

с критериями и сигнатурами будет как то так.

- здесь конечно в том, что блок deldirex надо смещать ниже блока деинсталляций.

 

new_scr.txt

 

 

 

 

new_scr.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

И без всяких сигнатур.

Вычищает 95% всего.

а, что осталось то руками.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike_1,

все команды отданы вручную, без автоскрипта?

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы.

 

мы используем, и стремимся развить автоскрипт, чтобы среднестатистичные проблемы, которых порядка 50% (исключая шифраторы) решались автоматически, практически в фоновом режиме. открыл образ, выполнил 1-2 манипуляции с объектами, запустил автоскрипт, получил на выходе текст скрипта, передал его пользователю для выполнения, по необходимости выполнил контроль по логу.

 

по шифраторам сигнатуры работают по ctblocker.

по xtbl (csrss.exe) сигнатура будет фолсить, потому csrss.exe лучше детектировать через критерий.

по VAULT там по сути нет вредоносной программы, svchost.exe после завершения шифрования, или аварийной перезагрузки безопасен для системы и документов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот, файловые критерии: http://www.anti-malware.ru/forum/index.php?showtopic=23751&page=9#entry184760

 

Думаю прописать путь до файлов труда не составит.

 

- Можно протестировать на выше приложенном santy образе.

 

И написать какой результат/впечатление :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×