uVS - оффтопик - Страница 4 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

PR55.RP55

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Программный код творишь

Опутан проводами

Замученный делами

День и ночь сидишь.

Разблокировать систему,

Алгоритм создать,

В своём деле просто гений!

Он не умеет отдыхать!

Комп отодвинь!

Рискни оставить Vista

У тебя — День программиста!

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
akoK

santy, в чем соль?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

akok,

соль будет в самом скрипте, кто как мыслит решить проблему заражения системы на примере данного образа средствами uVS :)

скрипт может получиться длинным или коротким, с применением различных методов удаления зловредов, которые заложены в uVS.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Получилось вот так только папки уже лень было зачищать.

3.txt

3.txt

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Santy

Да...

Скрипт я от н** делать написал.

Выкладывать пока не буду.

---

А образ милый.

Там и вирусы разных типов, и модификация ими реестра.

И десятки разных ADWARE

И HIPS +

И модификация ярлыков.

И даже вроде как Майнер...

Левые расширения в браузере.

И Сетевой мухлёж разных типов.

И исполняемые файлы всех типов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55, тут дело добровольное, не хочешь - не выкладывай,

я тоже не все зачищал из бат файлов, только для основных браузеров

примерно такое. :)

am_script.txt

am_script.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот вот этот зловредный тип. ;)

Но, в _реальной обстановке я бы скрипт не стал писать.

Сначала всё сканерами прибить, а что останется - то, уже uVS.

( здоровье оно дороже )

_______111.txt

_______111.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

С Наступающим Новым 386 uVS! :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

С годом Ка:

:lol:

И с наступающим и с наступившим !

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

А вот интересно, новый жуткий; вызывающий оторопь вирус "недавно" найденный Kaspersky

Для жёстких дисков...

Интересно файл сверки в uVS его сможет выявить ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Интересно файл сверки в uVS его сможет выявить ?

Если коротко - нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Его вообще реально найти и как это можно сделать ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@PR55.RP55, если прочитать внимательно новость, то можно заметить, что распространение этого вируса относительно малое и заражает он машины избирательно. Так что вероятность, что в живой природе встретите такую машину очень низкая.

Встретить бесфайловый вредонос вероятность думаю намного выше. А uVS его тоже скорее всего не заметит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Как-то так получилось.

1.txt

1.txt

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

mike_1,

все команды отданы вручную, без автоскрипта?

 

с критериями и сигнатурами будет как то так.

- здесь конечно в том, что блок deldirex надо смещать ниже блока деинсталляций.

 

new_scr.txt

 

 

 

 

new_scr.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

И без всяких сигнатур.

Вычищает 95% всего.

а, что осталось то руками.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike_1,

все команды отданы вручную, без автоскрипта?

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы.

 

мы используем, и стремимся развить автоскрипт, чтобы среднестатистичные проблемы, которых порядка 50% (исключая шифраторы) решались автоматически, практически в фоновом режиме. открыл образ, выполнил 1-2 манипуляции с объектами, запустил автоскрипт, получил на выходе текст скрипта, передал его пользователю для выполнения, по необходимости выполнил контроль по логу.

 

по шифраторам сигнатуры работают по ctblocker.

по xtbl (csrss.exe) сигнатура будет фолсить, потому csrss.exe лучше детектировать через критерий.

по VAULT там по сути нет вредоносной программы, svchost.exe после завершения шифрования, или аварийной перезагрузки безопасен для системы и документов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот, файловые критерии: http://www.anti-malware.ru/forum/index.php?showtopic=23751&page=9#entry184760

 

Думаю прописать путь до файлов труда не составит.

 

- Можно протестировать на выше приложенном santy образе.

 

И написать какой результат/впечатление :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      Год от года фактически постоянно можно наблюдать ... такого рода записи C:\ProgramData\Google\Chrome\updater.exe PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE APPDATA\LOCAL\360EXTREMEBROWSER\CHROME C:\ProgramData\Google\Chrome\helper.exe Предлагаю все записи где фигурирует Chrome - добавить  к Категории: Chromium-based Да... это другое... Это, как правило имитация ( но имеющая отношение ) так какой смысл в отдельных записях, если всё это можно собрать в одной категории.  
    • PR55.RP55
      Добавить в меню команду: Удалить записи\сетевые адреса соответствующие поисковому запросу. * В списке может быть 10-20 записей\ссылок на левые сайты. Создавать критерии, не всегда нужно\выгодно... А отдавать команды по каждой ссылке большой расход времени и нервов.  
    • demkd
      Это внеплановое обновление для разбора необычного случая с внедренными потоками, соответственно релиз задерживается. ---------------------------------------------------------
       5.0.RC2
      ---------------------------------------------------------
       o При обнаружении внедренного потока в процессе в лог печатается точное
         время создания потока и ТОП 10 наиболее вероятных виновников.
         (!) Только для потоков не имеющих привязки к DLL.
         (!) Функция требует активного отслеживания процессов. (Твик #39)

       o Изменен способ адресации мониторов при работе с удаленным рабочим столом.
         Теперь выбирается не логический номер монитора, а его порядковый номер,
         что позволяет избежать проблем при обновлении драйверов на видеокарту
         без закрытия окна удаленного рабочего стола.

       o В окно удаленного рабочего стола добавлена кнопка "Меню", она открывает
         на удаленном компьютере окно с кнопками быстрого доступа к часто используемым
         настройкам системы и системным утилитам.
         Утилиты из этого окна запускаются на удаленном компьютере под текущим пользователем.

       
    • demkd
      С большой вероятностью эта версия и станет v5.0
      Все что было запланировано реализовано. ---------------------------------------------------------
       5.0.RC1
      ---------------------------------------------------------
       o В окно запуска добавлен пункт меню "Перезагрузить в интерфейс встроенного ПО [UEFI]"
         Доступно начиная с Win10.

       o В окно запуска добавлен выбор основного шрифта.

       o Пополнено окно дополнительных настроек.

       o В функцию удаления временных файлов добавлено 4 каталога с временным файлами Windows.
         o \Windows\Downloaded Program Files
         o \ProgramData\Microsoft\Windows\WER\ReportArchive   
         o \ProgramData\Microsoft\Windows\WER\ReportQueue
         o \ProgramData\Microsoft\Windows\WER\Temp
         Функция больше не выводит в лог пути до отсутствующих каталогов.

       o Исправлена критическая ошибка инициализации режима DDA,
         она могла проявляться на чипсетах AMD при подключении
         физического монитора к компьютеру, который был отключен или физически
         не подключен на этапе загрузки системы, при этом меняются логические
         номера дисплеев и 1-го дисплея обычно не существует, поэтому
         если вы подключились и 1-й дисплей показывает черный квадрат то
         стоит попробовать переключиться на 2-й и т.п.
         (!) В этом случае не работает программный способ вывода дисплея из сна,
         (!) поэтому в текущей версии движения мыши в любом случае передаются на
         (!) удаленный компьютер, что гарантировано пробуждает спящий дисплей
         (!) при переключении на него.

       o Исправлена ошибка создания загрузочного диска под Windows 11 24H2,
         по неизвестной причине в этой редакции Windows dism из пакета ADK
         не способен без ошибок сформировать загрузочный образ диска,
         поэтому все операции с образом диска теперь выполняет штатный dism из системного каталога.

       o Исправлена ошибка для определения пути до драйвера CDD.DLL при анализе
         ключей безопасного режима.

       
    • PR55.RP55
      Критическая уязвимость в ASUS DriverHub https://www.comss.ru/page.php?id=16443
×