Universal Virus Sniffer (uVS), Вопросы разработчику

[santy 153]

demkd,

что это может быть?

куча процессов calc*32.exe с цифровой от микрософт, некоторые проявляют сетевую активность.

в образе конечно есть и реальные трояны.

ADMIN-PC_2016-07-12_22-12-36.7z

ADMIN-PC_2016-07-12_22-12-36.7z

[demkd 638]

@santy, скорее всего в процесс внедрен поток, который и занимается полезной деятельностью, довольно старый прием.

[arraga 2]

demkd , на первой странице этой темы ФАК полностью нерабочий - ссылки никуда не ведут..

[demkd 638]

@arraga, спасибо, исправил, ид топика сменился

[PR55.RP55 83]

Demkd

 

у simplix-а автора AntiSMS есть форма для передачи подозрительных и чистых файлов: https://antisms.com/#send

 

simplix составляет свой список: чёрных ЭЦП

 

и многие операторы работают в связке uVS + AntiSMS - Live CD

 

Думаю от сотрудничества все выиграют.

 

Можно ли добавить соответствующее меню в uVS  ?

[arraga 2]

Хм, с полгода назад я задавал вопрос о том, что версия 385 работает значительно медленнее чем 382, тогда мне ответили что скорости ждать не стОит и в новых версиях она не увеличится. Это было печально. Однако сейчас скачал 387 версию - скорость сканирования сравнима с 382, если не выше. Это очень радует))

 

P.S. Оказывается, год прошел с того поста)) Время как быстро пролетает)

[demkd 638]

@arraga, uVS со временем быстрее работать точно не стал, что-то просто изменилось.

[PR55.RP55 83]

Demkd

 

у simplix-а автора AntiSMS есть форма для передачи подозрительных и чистых файлов: https://antisms.com/#send

 

simplix составляет свой список: чёрных ЭЦП

 

и многие операторы работают в связке uVS + AntiSMS - Live CD

 

Думаю от сотрудничества все выиграют.

 

Можно ли добавить соответствующее меню в uVS  ?

[santy 153]

RP55,

а смысл какой копировать это в uVS?

чистые ты можешь занести в свою базу SHA1, по подозрительным (если они взяты из образа uVS)  добавить критерии.

[demkd 638]

@PR55.RP55, смысла нет, я все равно не буду разбирать этот хлам.

[PR55.RP55 83]

Demkd

 

А, что если добавить возможность интеграции uVS в средство восстановления системы ?

по этому принципу: https://forum.simplix.ks.ua/viewtopic.php?id=562

[Гризлик 0]

Всем привет!

Есть вопросик. В Задачах есть такая надпись (см скрины). При удалении в скрипт ставится команда

delref EXPLORER.EXE HTTP://KB-RIBAKI.ORG

. Соответсвено удаляется сама запись в реестре, но файл задачи остается на месте. (В даном случае ANDREY.job)

 

А вопрос следующий. Почему в UVS в Списке задач не отображается сам файл задачи? Чтобы можно было по нему кликнуть и выбрать: Удалить файл со всеми сылками либо Удалить файл. Приходится ручную писать.

Или я что-то не понимаю?

Спасибо!

[alamor 69]

. Соответсвено удаляется сама запись в реестре, но файл задачи остается на месте. (В даном случае ANDREY.job)

В данном случае имя файла ANDREY без расширения. И uVS должен был его удалить.

А с .job это очевидно другое задание, которое вообще не отображается в образе, так как оно всё равно не работает.

[PR55.RP55 83]

Гризлик

 

http://www.anti-malware.ru/forum/index.php?showtopic=19126&page=116#entry188434

 

Если мне, что то не ясно, как я поступаю...

Создаётся временный критерий с именем: 111111111 в данном случае для: RIBAKI

т.е.  ищем все записи в образе по: RIBAKI

 

Получаем: _6 результатов. ( по первому образу )

[Гризлик 0]

Упс.. 

Оказывается эта тема в соседнем топике поднята. Извиняйте..

И uVS должен был его удалить.

 

delref - не может удалить файл.  У этой команды немного другая функция. Или я не прав?

 

@PR55.RP55, Ну то что он через задачу запускается это ясно.  Я про то, что чтобы эту задачу удалить приходится вручную команду в скрипт вносить, т.к. автоматом UVS это делать не дает.

[alamor 69]

delref - не может удалить файл.  У этой команды немного другая функция. Или я не прав?

delref - удаляет ссылки на файл. А если ссылкой является ярлык или задание, то должно удалить их.

[santy 153]

demkd,

возможно уже задавал вопрос, не помню.

какое действие должно выполниться по кнопке "добавить в базу"?

(ага, подсказка все такие есть - добавить в базу сигнатуры файлов).

 

вроде выбирается в диалоге исполняемые файлы, но дальше пусто. предполагаю, что должна добавиться сигнатура,

но имя сигнатуры не запрашивается, в списке сигнатур ничего нет похожего на имя файла,

если сигнатура уже есть или не может быть извлечена, тогда хотя бы сообщение в логи - что данная сигнатура уже извлечена (или не может быть извлечена из данного файла).

 

функция полезная, но как ее использовать - непонятно,

если отключена, тогда непонятно, зачем эта кнопка в интерфейсе программы.

[demkd 638]

@santy, да, поломалось походу, посмотрю

[santy 153]

demkd,

посмотри еще режим просмотра списка известных.

там фильтрация почему то работает только по наименованию файла.

переключаю сортировку по каталогу, и все равно фильтрация работает по наименованию файла.

+

вопрос по списку известных:

   km*    - списки известных модулей для соотв. OS
            (в открытом виде UTF8, km*.x64 для x64 систем)

 

есть режим добавления исполняемых файлов каталога в список известных.

в uVS один список используется, или как SHA1 несколько: один от разработчика ведется, другой от пользователя программы?

 

вроде добавил в список известных исполняемые из известного каталога, и они появились в списке (и в логи uvs показал, что добавлено 22файла), но не вижу, что модифицирован km61.x64 (Win7x64), т.е. дата изменения файла осталась прежней.

+

имхо, по "ZOO локальный" надо какое то свое контекстное меню применить, хотя и редко им пользуюсь.

[santy 153]

upd: вижу, что файл изменился, надо было просто закрыть uVS или открыть образ автозапуска.

 

но тогда вопрос:  а инкрементное обновление файлов от разработчика не затирает в данном случае, то что было добавлено в известные со стороны пользователя?

[demkd 638]

@santy, посмотрю и да, затирает, тут или мой список или свой

[PR55.RP55 83]

Demkd

 

http://www.anti-malware.ru/forum/index.php?showtopic=19126&page=119#entry188762

 

В новой версии косяк с некоторыми критериями.

P.S. всё таки нужно на сообщения как-то реагировать.

А то я не знаю, было ли сообщение прочитано, или нет.

Всегда хотя бы одно слово писать.

[demkd 638]

@PR55.RP55, как время есть так и реагирую.

[PR55.RP55 83]

Demkd

 

Компания Яндекс активно продвигает свой браузер.

Его всё чаще устанавливают.

uVS  браузер от Яндекса = его расширения не поддерживает...

А левые расширения для него начали появляться.

Думаю вопрос очевиден.

[demkd 638]

@PR55.RP55, может и добавлю когда-нибудь.