uVS - оффтопик - Страница 4 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

PR55.RP55

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Программный код творишь

Опутан проводами

Замученный делами

День и ночь сидишь.

Разблокировать систему,

Алгоритм создать,

В своём деле просто гений!

Он не умеет отдыхать!

Комп отодвинь!

Рискни оставить Vista

У тебя — День программиста!

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
akoK

santy, в чем соль?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

akok,

соль будет в самом скрипте, кто как мыслит решить проблему заражения системы на примере данного образа средствами uVS :)

скрипт может получиться длинным или коротким, с применением различных методов удаления зловредов, которые заложены в uVS.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Получилось вот так только папки уже лень было зачищать.

3.txt

3.txt

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Santy

Да...

Скрипт я от н** делать написал.

Выкладывать пока не буду.

---

А образ милый.

Там и вирусы разных типов, и модификация ими реестра.

И десятки разных ADWARE

И HIPS +

И модификация ярлыков.

И даже вроде как Майнер...

Левые расширения в браузере.

И Сетевой мухлёж разных типов.

И исполняемые файлы всех типов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55, тут дело добровольное, не хочешь - не выкладывай,

я тоже не все зачищал из бат файлов, только для основных браузеров

примерно такое. :)

am_script.txt

am_script.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот вот этот зловредный тип. ;)

Но, в _реальной обстановке я бы скрипт не стал писать.

Сначала всё сканерами прибить, а что останется - то, уже uVS.

( здоровье оно дороже )

_______111.txt

_______111.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

С Наступающим Новым 386 uVS! :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

С годом Ка:

:lol:

И с наступающим и с наступившим !

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

А вот интересно, новый жуткий; вызывающий оторопь вирус "недавно" найденный Kaspersky

Для жёстких дисков...

Интересно файл сверки в uVS его сможет выявить ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Интересно файл сверки в uVS его сможет выявить ?

Если коротко - нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Его вообще реально найти и как это можно сделать ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

@PR55.RP55, если прочитать внимательно новость, то можно заметить, что распространение этого вируса относительно малое и заражает он машины избирательно. Так что вероятность, что в живой природе встретите такую машину очень низкая.

Встретить бесфайловый вредонос вероятность думаю намного выше. А uVS его тоже скорее всего не заметит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

Как-то так получилось.

1.txt

1.txt

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

mike_1,

все команды отданы вручную, без автоскрипта?

 

с критериями и сигнатурами будет как то так.

- здесь конечно в том, что блок deldirex надо смещать ниже блока деинсталляций.

 

new_scr.txt

 

 

 

 

new_scr.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

И без всяких сигнатур.

Вычищает 95% всего.

а, что осталось то руками.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike_1,

все команды отданы вручную, без автоскрипта?

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Я не пользуюсь автоскриптом. Критерии использую, но не использую при этом автоскрипт. Сигнатуры у меня в основном для шифраторов созданы.

 

мы используем, и стремимся развить автоскрипт, чтобы среднестатистичные проблемы, которых порядка 50% (исключая шифраторы) решались автоматически, практически в фоновом режиме. открыл образ, выполнил 1-2 манипуляции с объектами, запустил автоскрипт, получил на выходе текст скрипта, передал его пользователю для выполнения, по необходимости выполнил контроль по логу.

 

по шифраторам сигнатуры работают по ctblocker.

по xtbl (csrss.exe) сигнатура будет фолсить, потому csrss.exe лучше детектировать через критерий.

по VAULT там по сути нет вредоносной программы, svchost.exe после завершения шифрования, или аварийной перезагрузки безопасен для системы и документов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Вот, файловые критерии: http://www.anti-malware.ru/forum/index.php?showtopic=23751&page=9#entry184760

 

Думаю прописать путь до файлов труда не составит.

 

- Можно протестировать на выше приложенном santy образе.

 

И написать какой результат/впечатление :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      Проблема оказалась в редакции windows, для home нужно дополнительно прописывать флаг в реестр, в RC4 теперь это делается автоматически.
        Добавил функцию для образов.

      ---------------------------------------------------------
       5.0.RC4
      ---------------------------------------------------------
      o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
        Теперь при включении отслеживания в лог печатается статус этой опции.

      o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
        если образ сделан при активном отслеживании процессов.

      o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).

       
    • santy
      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
    • demkd
      Да, с этим файлом проблема, починю.
    • PR55.RP55
      В настройках добавить: Отправлять лог применения\выполнения скрипта на сервер\адресату. Уникальный идентификатор прописывается в скрипт при его генерации. т.е. Оператор не запрашивает результат выполнения скрипта у пользователя.    
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.2.14.
×