uVS - оффтопик - Страница 4 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

PR55.RP55

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Программный код творишь

Опутан проводами

Замученный делами

День и ночь сидишь.

Разблокировать систему,

Алгоритм создать,

В своём деле просто гений!

Он не умеет отдыхать!

Комп отодвинь!

Рискни оставить Vista

У тебя — День программиста!

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
akoK

santy, в чем соль?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

akok,

соль будет в самом скрипте, кто как мыслит решить проблему заражения системы на примере данного образа средствами uVS :)

скрипт может получиться длинным или коротким, с применением различных методов удаления зловредов, которые заложены в uVS.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Получилось вот так только папки уже лень было зачищать.

3.txt

3.txt

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Santy

Да...

Скрипт я от н** делать написал.

Выкладывать пока не буду.

---

А образ милый.

Там и вирусы разных типов, и модификация ими реестра.

И десятки разных ADWARE

И HIPS +

И модификация ярлыков.

И даже вроде как Майнер...

Левые расширения в браузере.

И Сетевой мухлёж разных типов.

И исполняемые файлы всех типов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55, тут дело добровольное, не хочешь - не выкладывай,

я тоже не все зачищал из бат файлов, только для основных браузеров

примерно такое. :)

am_script.txt

am_script.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот вот этот зловредный тип. ;)

Но, в _реальной обстановке я бы скрипт не стал писать.

Сначала всё сканерами прибить, а что останется - то, уже uVS.

( здоровье оно дороже )

_______111.txt

_______111.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

С Наступающим Новым 386 uVS! :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

С годом Ка:

:lol:

И с наступающим и с наступившим !

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

А вот интересно, новый жуткий; вызывающий оторопь вирус "недавно" найденный Kaspersky

Для жёстких дисков...

Интересно файл сверки в uVS его сможет выявить ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Интересно файл сверки в uVS его сможет выявить ?

Если коротко - нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Его вообще реально найти и как это можно сделать ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@PR55.RP55, если прочитать внимательно новость, то можно заметить, что распространение этого вируса относительно малое и заражает он машины избирательно. Так что вероятность, что в живой природе встретите такую машину очень низкая.

Встретить бесфайловый вредонос вероятность думаю намного выше. А uVS его тоже скорее всего не заметит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Как-то так получилось.

1.txt

1.txt

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

mike_1,

все команды отданы вручную, без автоскрипта?

 

с критериями и сигнатурами будет как то так.

- здесь конечно в том, что блок deldirex надо смещать ниже блока деинсталляций.

 

new_scr.txt

 

 

 

 

new_scr.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

И без всяких сигнатур.

Вычищает 95% всего.

а, что осталось то руками.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike_1,

все команды отданы вручную, без автоскрипта?

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы.

 

мы используем, и стремимся развить автоскрипт, чтобы среднестатистичные проблемы, которых порядка 50% (исключая шифраторы) решались автоматически, практически в фоновом режиме. открыл образ, выполнил 1-2 манипуляции с объектами, запустил автоскрипт, получил на выходе текст скрипта, передал его пользователю для выполнения, по необходимости выполнил контроль по логу.

 

по шифраторам сигнатуры работают по ctblocker.

по xtbl (csrss.exe) сигнатура будет фолсить, потому csrss.exe лучше детектировать через критерий.

по VAULT там по сути нет вредоносной программы, svchost.exe после завершения шифрования, или аварийной перезагрузки безопасен для системы и документов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот, файловые критерии: http://www.anti-malware.ru/forum/index.php?showtopic=23751&page=9#entry184760

 

Думаю прописать путь до файлов труда не составит.

 

- Можно протестировать на выше приложенном santy образе.

 

И написать какой результат/впечатление :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×