Universal Virus Sniffer (uVS), Вопросы разработчику - Страница 49 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

aliwas
а... ну это надо смотреть реестр, бывают левые ссылки для этого раздела особенно для 7-ки

А где и что смотреть? За автозапуск много веток отвечает. Какой алгоритм? Как эта левая ссылка будет выглядеть в реестре?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

aliwas

тяжело это для этого типа файлов, там десятки мест в реестре, проще таки будет выполнить команду "удалить все ссылки..."

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zloyDi

Все привет, есть вопрос, часто на форумах по безопасности стал встречать такую штуку

Аваст постоянно блокирует вредоносный сайт при запуске любого браузера. Меняется адрес прокси-сервера на reezz.com/bg43zv623/proxy.pac. В Хроме удалось изменить адрес, всплывающие сообщения аваста перестали появляться, но с другими браузерами картина остается преждней.

Ни утилита Dr.Wed - CureIt, ни Аваст - при сканировании ничего не находят.

Примеры тем

http://www.adminplanet.ru/t8125.html#post31047

http://www.adminplanet.ru/t8132.html

Или поиск по слову reezz.com http://virusinfo.info/search.php

Насколько я понял вирус прописывает прокси в браузеры, но как эту хрень убрать с помощью UVS? Перелопатил пару логов, ничего подозрительного не нашел...

Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Примечание: на версиях uVS 374-375

Было несколько случаев когда все файлы C:\ по команде: "Добавить все исполняемые файлы каталога в список" добавлялись в список в теченнии

10-секунд...

Чего явно быть не может в силу того, что на диске порядка 12000 файлов.

В обычном же случае на это требуется 5-7 минут.

Вероятно есть ошибка при формировании списка.

Сам HDD тестировал, всё в норме. XP-SP3; NOD32; Comodo F.

Сейчас пробовал воспроизвести ошибку однако нет результата.

Но причина ошибки была/есть !

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

zloyDi

никак, uVS показывает лишь проксю в MSIE, вообще прокси это уже дело пользователя, пусть включает и отключает самостоятельно.

Но причина ошибки была/есть !

никогда не замечал, а скорость добавления файлов величина переменная, скажем потвторное добавление когда все в кэше и пройдет за неск. секунд.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

релизнул v3.76. :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

а... забыл удалить, потом перезалью

... перезалил

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Severnyj

Win 7 x64 HB uVS вылетает с ошибкой через 5 секунд после нажатия кнопки Запустить под текущим пользователем:

759677bc3f46.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Severnyj

а если снять галку "антисплайсинг"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Severnyj

То же самое. Самым первым делом попробовал!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Severnyj

а 3.75 работает?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shestale
Win 7 x64 HB uVS вылетает с ошибкой через 5 секунд после нажатия кнопки Запустить под текущим пользователем:

А у меня на Win 7 x64 работает нормально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Severnyj

Блин, не работает, будем разбираться, раньше же работало

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Severnyj

вот и интересно почему не работает, обычно это говорит о наличии глюка в uVS,

хорошо бы минидамп получить и стоит еще попробовать чистую версию uVS развернутую из дистрибутива без своих ini и прочих файлов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zloyDi

А что означает? В предыдущей версии такого не было!

C:\WINDOWS\SYSTEM32\WBEM\\WMIPJOBJ.DLL [Синтаксическая ошибка в имени файла, имени папки или метке тома. ]

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Severnyj

хорошо, в пн. буду ковырять, может выловлю ошибку.

zloyDi

а это кривая ссылка на WMIPJOBJ.DLL в реестре, лишний слеш в пути до файла, в xp это было некритично, а вот в 7-ке лучше править, я думал над возможностью исправления таких ссылок, но пока лень превалирует над желанием. :D

а не было в старых версиях потому что ключ с этим файлом не попадал в список, а теперь попадает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
goover

Win7 x64

Есть службы, которые в реестре прописывают ImagePath = C:\Windows\system32\ , хотя физически файл находится в C:\Windows\SysWOW64\

На примере службы NAT программы Vmware Player:

_1.2.pngvmnat_proc.png

uVS помещает такие файлы в раздел 'Отсутствующие объекты'

vmnat.png

При удаления ссылок на отсутствующие объекты (в том числе через 'Безопасное удаление ссылок на ВСЕ отсутствующие объекты') такие службы в реестре удаляются, со всеми вытекающими ...

p.s. на первом скрине реестра есть параметр WOW64 = 1 , который, похоже, и указывает, где искать файл. Если там поставить ноль, то служба не запускается - "Файл не найден"

post-5047-1348473055_thumb.png

post-5047-1348473068_thumb.png

post-5047-1348473156_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

goover

почитаю, исправлю

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Smit

в общем была необходимость по сетке комп посмотреть:

если на основном стоит winXp а на жертве win7 прога не грузится с ошибкой что не удалось подключиться к ADMIN$

если на оборот работает нормально

а также не возможно работать с удаленной системой если на ней в учетке нет пароля

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Smit

так и должно быть, 7-ку нужно настраивать чтоб был доступ к amdin$ по умлочанию доступа нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
JunDF

В последней версии: http://s017.radikal.ru/i444/1209/c9/588f171ac704.png

Такого не было в предыдущей, такое ощущение, что UVS считает , что она запущена с LiveCD (диск X)

WinXP pro, НЕ виртуальная, диска X нет.

Отредактировал JunDF

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

JunDF

надо в информацию о файле зайти и посмотреть собственно где ссылка на него, может в реестре что криво прописано.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
JunDF

demkd

Сделал образа автозапуска новой версией UVS и предыдущей: http://upwap.ru/2854545

Отредактировал JunDF

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 19.2.17.
    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
×