Антивирусная лаборатория Сергея Шибаева - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Антивирусная лаборатория Сергея Шибаева

Recommended Posts

Сергей Ильин

Раз все обсуждают фейловые антивирусы и псевдоантивирусы, то и я подкину немного дровишек для флейма. Перейду ну уровень выше. Фейковые антивирусы - это уже не модно. Надо брать выше - фейковые вирусные лаборатории :)

Барабанная дробь .... встречайте, Сергей Шибаев!

Антивирусная лаборатория Сергея Шибаева

_http://sergeshibaev.ru/

sergeshibaev.ru.PNG

(прямую ссылку не даю, у сайта неважная репутация, может быть себе дороже)

P.S. Кстати, были ли раньше фейковые вирлабы уже?

post-4-1372791496_thumb.png

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Товарищ в свободное время занимается эникейством и гоняет зверье на компах, потом пишет в художественной форме о данном процессе в свой блог, при этом вроде ничего не продает и фейковых услуг не оказывает - он безобиден.

Просто можно поулыбаться с того, что он себя вирлабом назвал :) Хотя скорее это он в шутку, чем всерьез.

Это типа если я займусь ремонтом и продажей скутеров и велосипедов на досуге, создам сайт "автоконцерн иван иваныча", где буду описывать тонкости настройки искры и на каком развале запчасти дешевле...

Пускай лучше винлоки удаляет, чем клей нюхает :)

А если он активнее будет этим заниматься, то даже пользу начнет людям приносить как Мистер Беляш.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

Илья! Вас это беспокоит? Хотите об этом поговорить?

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Если бы не хотел поговорить, то тему бы не создал. Давайте поговорим :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

priv8v, меня несомненно интересует, какой же всё-таки клей стоит нюхать в первую очередь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Гхм... Вообще-то смысл предложения

Пускай лучше винлоки удаляет, чем клей нюхает smile.gif

заключается в том, что некоторые нюхают клей, а Шибаев винлоки удаляет, делом занимается, пускай и дальше удаляет, только бы клей нюхать не начал.

Так что нечего обижаться на общественность. Просто забавное название сайта у Вас :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

priv8v, раньше не думал, что без клея можно вирусы удалять. Наверное, стоит попробовать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

У некоторых выходит...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

Я уже понял, что Сергей Ильин - далеко не Гарри Поттер. Тут нужна другая магия.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

while (Сергей Ильин != Гарри Поттер) {

int a;

a = AnotherMagic (slomat_nogi, zaddosit, obozvat_rediskoy, zakidat_yaitsami);

if a Then ExitLoop

}

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev
while (ThisPageStillExists){    console.log('<a href="/dummy"><span style="pipiska-size: -10pt;">Cut your dignity!</span></a>');}

Есть ещё вопросы? Или предложения?

Отредактировал SergeShibaev

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Что за точка после условия цикла? :) Откуда узнали про эту тему?

ps: вирусная лаборатория - вполне устоявшееся словосочетание с определенным лексическим значением, потому и смешно видеть сайт с таким названием. Потому не думаю, что тема как-то вас оскорбляет. Юмор он и есть юмор.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

Точка? Возможно, следует стряхнуть пыль с монитора? Или закрасить прозрачным цветом битые пиксели?

Откуда узнал? Часы от Яндекса показали.

PS. Гугл не знает лексического значения данного словосочетания. Может быть, проясните, к какому слову относятся ваши претензии? К 'антивирусной' или к 'лаборатории'? У меня есть совершенно определённые претензии к слову "фейковая". Надеюсь, Автор множества аналитических статей и признанный Эксперт в области компьютерной безопасности снизойдёт до нас, грешных, не удостоенных никаких громких титулов, и пояснит, что он хотел этим сказать. А мы будем покорно слушать каждое Его слово и, возможно, даже конспектировать для потомков, тайком смахивая слезу средним пальцем. И, может быть, прольёт свет нам, необразованным дилетантам, о количественном выражении "неважной репутации" сайта, на который он даже побоялся дать ссылку, а то вдруг оттуда вылезет Бабайка и покусает (кстати, спасибо за трафик, но как-нибудь обойдусь! А то ещё обойду по посещаемости, вот ведь подстава будет для популярного ресурса). Всё-таки надо нести культуру в массы, а не хихикать втихаря в углу над позами в камасутре.

Впрочем, следуя принципу "эксперт сказал, пацан сделал", прямо сейчас пойду, добавлю в вывеску слово "фейковая". Это же будет просто уникальный в России бренд: "Фейковая Антивирусная Лаборатория. Второе Издание" (сокращённо будет FALSE, чтобы никто не понял, или наоборот, все всё поняли). А то ведь больше ничего и не нужно: только правильное название. Аналитика есть, ресёрч имеется, кое-какой полезный сервис тоже, собственное ПО разрабатывается, бинарники разбираются на секции до молекул по мере необходимости, даже техподдержка работает 24/7/365. Ах, да, нет антивируса в красивой коробочке! Ну, это и изначально не планировалось. Пока нет необходимости превращать хобби в бизнес. Я удовлетворён своим финансовым положением. А то ещё придётся регистрироваться, как иностранный агент, потому что мне буржуйский Гугл по 50 баксов в месяц платит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash
А если он активнее будет этим заниматься, то даже пользу начнет людям приносить как Мистер Беляш.

Вы таго..нинада.

Гугль перекинет если что.

  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash
Фейковая Антивирусная Лаборатория. Второе Издание

Название для книги-супер.

Патентуйте.Уведут ведь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

Просто ппц! Я что-то пытаюсь доказать маркетологу!!!! Т.е. продавцу на рынке! Пукнул в толпе и свалил. Илюша, тебе нимб не жмёт? Я-то уж думал, будет дискуссия на тему, что я ещё не сделал в своё свободное время, чтобы удостоиться великого звания от "великого" продавца, чтобы законно именоваться "антивирусной лабораторией". Блин, его ж сам Мелкософт белой дланью помазал пару раз! Как у меня вообще пальцы достойны писать на этом форуме? Мой тебе бесплатный совет: лечи кого-нибудь другого! Ну, и русский язык не мешало бы выучить, а то над твоим названием темы люди ж смеются! Управляющий партнёр не должен так безграмотно выражаться! Наверняка, это великая должность. Пацаны ж не поймут, зарплату не дадут!

PS Даже жаль, что эту тему он удалит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Уважаемый SergeShibaev, а чего вы конкретно анализируете в своей с позволения сказать антивирусной лаборатории?

Дайте для начала ссылку хотя бы на пару-тройку ваших исследований. Не на копипаст с других сайтов и обобщения аля "для домохозяек как нужно жить", а полноценные исследования. Вот тогда и поговорим предметно о фейковых аналитиках, экспертах и лаборатории, ОК?

И, может быть, прольёт свет нам, необразованным дилетантам, о количественном выражении "неважной репутации" сайта

Лаборатория не знает о SiteAdvisor и аналогах? :o Поиск по этому сайту и форуму поможет поднять лабораторию на новый уровень, как сейчас модно говорить. "Фейковая лаборатория нового уровня" - звучит же!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Мастерская дядюшки Лю. Хочет человек быть лабораторией- пусть будет. Конечно обычно лабораторией называют что-то где работает больше 1 человека, но пусть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

В 11 сообщении после условия цикла вместо фигурной скобки у меня видна именно точка. Операмини 5.1 выньмобайл. (с компа нормально все отображается)

У меня одного так?

ps: да, пусть будет лабораторией, мы ведь ему не запрещаем :)

ps2: OlegAndr, а может там не только один человек? например, кошка еще есть... ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Да пусть будет лабораторией. Вопрос в другом, в чем ценность этой лаборатории? Сеошный контентент созданный копипастом с других сайтов немного обрагороженный выдается за нечто очень полезное и наукоемкое.

Еще больше настораживает вот это:

Аналитика есть, ресёрч имеется, кое-какой полезный сервис тоже, собственное ПО разрабатывается

Дело Бабушкина пошло в массы :)

P.S. Проблема всех подобных товарищей, что они изначально ориентируются на копипаст, подражание, копирование чего-либо вместо того чтобы создавать что-то свое на уровне новой концепции и идеи. Духом стартапа тут не пахнет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SergeShibaev

Сергей Ильин,

я до сих пор не могу понять сути ваших претензий. Вас раздражает то, что я делаю или вывеска? А теперь, наверное, и я сам? Может быть, я продал вам флешку, встроенную в гнилой огурец, или собственный антивирус с истекшим сроком годности, и теперь ваш ноутбук неприятно пахнет? Или убедил кого-то в том, что являюсь мега-экспертом, и сам Илья Шабанов звонит с предложением поиграть в гольф по сети? Или по ГОСТу, или СНиПам, в любых лабораториях должно работать минимум 2 человека, и Сергей Шибаев по закону должен исправить вывеску на "Антивирусный лаборатор"? Может быть вы раскрыли великий обман современности и как-то завуалированно пытаетесь предать его огласке? Я с удовольствием тоже присоединюсь к бесчинствующей толпе и пойду громить злодейские серверы и жёсткие диски. Пока что ваша информация об обнаружении фейковой лаборатории - не более чем фейк. По крайней мере для меня. Я так и не добился от вас, на чём был основан ваш первоначальный вывод. Ляпнул просто так, типа, я - эксперт, и моё мнение - как конституция? Выпил перед сном красного сухого и появилось стойкое желание с кем-нибудь об этом поговорить?

Вас ничего не заинтересовало в моей деятельности, но тем не менее вы не смогли удержаться, чтобы, прошу прощения у дам, громко пёрнуть в мою сторону, а потом позвать людей и показать на это облако. Ведь если бы в названии отсутствовало слово 'лаборатория', то вы просто прошли бы мимо, поправив корону, не замечая никого с высоты вашего величия. Значит, всё-таки дело в вывеске. Но я честно пытался найти хотя бы одну техническую статью признанного эксперта в области компьютерной безопасности. Видимо, не в той области ищу. Дайте ссылку, очень интересно ознакомиться. Пока что ничего конкретного я от вас не услышал, только заявления и лозунги, как от типичного менеджера по продажам. "... Игорь Цаплин - это круто! Остальные - 3.14доры!" Однако же вы уже нашли основания обвинить меня в наличии копипижженных статей, в отсутствии наукоёмкости исследований и приписали мой ресурс к ненадёжным, а меня самого к фейковым аналитикам. Вот только для чего тогда ваш virusinfo.info ссылается на такого фейкового горе-аналитика? Ай-яй-яй! Надо срочно оттуда убрать все прямые ссылки, а то "может быть себе дороже". А я сам напишу, прости Господи, Майкрософту и попрошу сделать то же самое. Да, и ещё бы пожизненный бан в Гугле и Яндексе оформить. Кстати, как у маркетолога, неужели у вас нет претензий к Microsoft? Название явно не отражает сути деятельности. Непорядок, надо срочно исправить!

Если вас настораживают мои разработки, то будьте спокойны, я не стану заставлять вас ими пользоваться и не спрошу ни цента за годовую лицензию. Вы настолько нереально крутой специалист, что уже смогли оценить мою квалификацию даже в этом вопросе. "Солженицына не читал, но осуждаю!" Я ни на кого не ориентируюсь, в отличие от вас, никому не навязываю то, что делаю, занимаюсь этим в своё свободное время по своему усмотрению. Три года назад я радовался, что меня читают 30 человек в день, в прошлом году огорчался, когда их было 1500. Вы же и за 8 лет не смогли уйти далеко, а основной трафик у вас идёт на форум, в чём вашей заслуги немного. У меня же нет желания набирать команду копирайтеров и выдавать еженедельную ньюс-компиляцию с лекциями по параноидальной вирусологии, не буду рисовать красивые графики, сколько и каких вирусов поймал за какое время, изображая из себя мега-эксперта, знающего хэш каждого валидного файла и сигнатуру каждой твари, и даже проведение тестов оставлю вам лично, точнее не вам, а вашим специалистам. Как маркетолог в лаборатории Касперского вы начинали с комплексного исследования рынка антивирусных продуктов, и впоследствии это стало вашим основным направлением деятельности и дохода. Даже не буду соваться в этот вопрос. Не дело разработчика учить работать менеджера по продажам.

PS Ну, хотя бы название темы поправили, а то ж просто ожог глаз можно получить от вашей орфографии!

Отредактировал SergeShibaev
  • Upvote 15

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Вам уже все ответили. Вкратце: сайт с копипастом и советами по ключам реестра и утилитами называется вирлабом и это смешно. Всем кроме вас.

На моей памяти никто из спецов себя вирлабом не именовал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash

Да хоть "Лаборатория расчленения трупов по системе Сикорского".

Чего к человеку прицепились?

Он с вас денег требует? Впаривает вам телевизор Березка 216?

Человек вправе озвучить/обозвать свой сайт/блог так как ему это заблагорасудится.

Не экстремизм. Законом не запрещено.

Независимый российский информационно-аналитический портал по информационной безопасности.

Кто дал право так назвать сайт антималваре?

Все ведь знают кому и как этот сайт пренадлежит. И какие односторонние тесты делает. Не?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

SergeShibaev, вы вообще в курсе чем занимаются обычно антивирусные лаборатории? Чем вообще занимаются лаборатории в широком смысле знаете? В вузе были лабы (высшее образование техническое имеется)? Не надо в дурочку играть, мол называюсь как хочу. Вы название выбирали и был определенный расчет.

Я попросил привести ссылки на несколько исследовательских работ вашего авторства, которые бы позволили говорить о вас как об исследователе. Где ссылки? Как я понимаю, кроме копипаста показать, увы, нечего. Поэтому это не лаборатория, а фейк. Топик создан по делу.

Три года назад я радовался, что меня читают 30 человек в день, в прошлом году огорчался, когда их было 1500. Вы же и за 8 лет не смогли уйти далеко, а основной трафик у вас идёт на форум

:lol:

Не дело разработчика учить работать менеджера по продажам.

Да уж и не нужно, до менеджера по продажам вам еще расти и расти, но в seo уже есть успехи!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr.Belyash
Не надо в дурочку играть, мол называюсь как хочу.

А кто вам дал право судить?

Вы наверное обще мироваой признаный специалист..и у вас наверное есть дипломы и сертификаты в этой области?

Даже если бы где-то в фантазиях это было, то и это не дает вам право лезть к человеку на сайт/блог и вываливать около вентилятора.

Для примера. Я бы Вам свою машину не доверил лечить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • PR55.RP55
      Вы сказали: "Найди все новые ключи которые появились 2026 г. и ранее не использовались... Можешь ?"
      *Да, я могу помочь* составить список новых ключей реестра и путей
      автозагрузки, которые вредоносное ПО использует в текущих кампаниях
      (включая модификации 2026 года), маскируясь под легальные системные
      компоненты. ( скопирую частично) :   * *|HKLM\SOFTWARE\Classes\Protocols\Filter|* и *|\Handler|* — новые
          модификации Adware перехватывают протоколы edge:// или msproedg://
          для подмены поисковой выдачи.   * *|HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|* —
          использование подсистемы WSL для скрытого автозапуска
          Linux-ориентированных рекламных модулей, незаметных для стандартных
          триггеров автозагрузки Windows. Современные зловреды (особенно Adware и майнеры) научились прописываться
      в тихий автозапуск без создания классических ключей |Run| или
      |Services|. Они используют встроенный механизм Windows 10/11 —
      *псевдонимы выполнения приложений*.   * *Суть*: В реестре создается связь в ветке
          |HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths| или через
          механизм |AppXPackage|. Зловред подменяет вызов легальной команды
          (например, при наборе пользователем |notepad| или |calc| в строке
          «Выполнить») и запускает свое тело.
        * *Что добавить в памятку*: Обращать внимание на появление кастомных
          записей в блоке «Псевдонимы приложений» и проверять, куда
          перенаправляются стандартные системные вызовы. 2. Подмена через каталоги |Lxss| (WSL — Windows Subsystem for Linux)
      Это одна из самых опасных современных тенденций, так как многие
      антивирусы до сих пор слабо сканируют Linux-среду внутри Windows.   * *Суть*: Майнеры и стилеры прописывают свой запуск внутри
          дистрибутива WSL (ключ реестра
          |HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|). При старте
          Windows запускается скрытая фоновая сессия WSL, которая активирует
          ELF-бинарник (Linux-вирус). В логах автозапуска Windows это выглядит
          как легальный старт службы |wsl.exe|, но с хитрыми аргументами.
        * *Что добавить в памятку*: Формула «А+В+С»: если |wsl.exe|
          запускается автоматически с флагами |-d| (конкретный дистрибутив)
          или скрытыми bash-скриптами — это 100% повод для изоляции и проверки
          содержимого виртуального диска VHDX. 3. Продвинутый Timestomping с подделкой под апдейты ОС
      Раньше вирусописатели просто копировали даты у соседних файлов
      (|kernel32.dll| и т.д.). Теперь они действуют умнее:   * *Суть*: Дата создания файла выставляется ровно на день/час крупного
          официального обновления Windows (например, подстраиваются под график
          Patch Tuesday от Microsoft). Аналитик смотрит на лог uVS, видит дату
          (например, |14.10.2025|) и думает: «А, ну это тогда накопительный
          апдейт прилетел, файл чистый».
        * *Что добавить в памятку*: Правило проверки контрольных сумм. Не
          верить датам, даже если они идеально совпадают со временем
          системного обновления. Если у файла из папки |System32| с
          «правильной» датой обновления отсутствует валидная ЭЦП (или статус
          |Цифр. подпись: НЕТ|) — это критический триггер. 4. Атаки типа Living off the Land (LotL) через новые системные утилиты
      Вместо использования заезженных |powershell.exe| или |cmd.exe|, которые
      сейчас жестко блокируются любым EDR/антивирусом, малварь перешла на
      легальные, но редкие утилиты Windows (LOLBins).   * *Суть*: Для скачивания и запуска вредоносного кода используются
          системные компоненты:
            o |curl.exe| (теперь встроен в Windows) — для скрытой загрузки
              полезной нагрузки.
            o |tar.exe| — для распаковки зашифрованных архивов со стилерами
              прямо «на лету».
            o |winget.exe| (Windows Package Manager) — для скачивания
              вредоносных утилит из легальных репозиториев.
        * *Что добавить в памятку*: В uVS нужно тщательно анализировать
          параметры запуска командной строки в Планировщике задач (|TASKS|),
          если там фигурируют |curl|, |tar| или |bitsadmin|, качающие что-то с
          внешних IP-адресов. 6. Скрытые модификации через COM-объекты (COM Hijacking без изменения
      файлов)
      Вместо перезаписи файлов в |System32| или создания явных ключей |Run|,
      малварь перехватывает легальные системные интерфейсы через реестр.   * *Суть*: Зловред прописывает путь к своей вредоносной DLL в ветку
          *|HKCU\Software\Classes\CLSID\{GUID}\InprocServer32|*. При этом
          берется GUID легального и часто используемого компонента Windows
          (например, Проводника, контекстного меню или планировщика). Как
          только система или пользователь совершает обычное действие
          (открывает папку, кликает правой кнопкой мыши), Windows
          автоматически подгружает вредоносную DLL.
        * *Что добавить в памятку*: В uVS такие объекты часто попадают в
          категорию «Подозрительные CLSID» или скрытые расширения оболочки.
          Если в ветке |HKCU| (пользовательский уровень) переопределяется
          системный GUID, который по умолчанию должен жить только в |HKLM|
          (уровень системы) — это явный признак перехвата. 7. Спуфинг цифровой подписи через уязвимости каталогов (Catalog Signing
      Spoofing)
      Малварь научилась обходить базовую проверку подписей, из-за чего в логах
      некоторых утилит файл может ошибочно помечаться как «Подписан Microsoft».   * *Суть*: Используются уязвимости в механизме проверки файлов через
          каталоги безопасности Windows (|.cat| файлы). Вредоносный бинарник
          модифицируется таким образом, что его хэш совпадает с хэшем
          легального файла в базе данных каталогов (используются коллизии или
          специфические уязвимости парсинга).
        * *Что добавить в памятку*: Правило двойной проверки. Если файл
          находится в нетипичном месте (например,
          |C:\Users\...\Temp\svchost.exe|), но uVS или ОС рапортует, что у
          него «Валидная подпись Microsoft» — необходимо принудительно
          отправлять хэш файла на VirusTotal через встроенную функцию uVS или
          проверять подпись сторонними утилитами (например, |Sigcheck| от
          Sysinternals) с проверкой отзывов сертификатов. 8. Эксплуатация механизма «Служб доставки обновлений» браузеров
      (Edge/Chrome Maintenance)
      Рекламное ПО (Adware) и кликеры ушли от создания собственных явных служб
      и теперь паразитируют на легальных планировщиках браузеров.   * *Суть*: Вредоносный скрипт не создает новую задачу в Планировщике.
          Вместо этого он модифицирует параметры /уже существующей/ легальной
          задачи, например, |MicrosoftEdgeUpdateTaskMachineCore|. В
          оригинальную команду дописывается скрытый аргумент
          (аргумент-паразит), который раз в сутки скачивает или запускает
          рекламный модуль. Аналитик видит знакомое имя задачи Edge, видит
          легальный путь к апдейтеру и пропускает её.
        * *Что добавить в памятку*: При анализе задач Планировщика (|TASKS|) в
          uVS нужно смотреть не только на имя файла, но и *полностью
          разворачивать строку аргументов*. Любые добавленные URL-адреса,
          вызовы |cmd /c|, или сторонние пути в параметрах легальных служб
          обновления — это стопроцентный признак компрометации. 10. Фейковые системные переменные в путях автозапуска
      Обман визуального восприятия аналитика через манипуляцию переменными среды.   * *Суть*: В реестре или планировщике путь к файлу прописывается как
          |%SystemRoot%\System32\drivers\malware.sys|. Но перед этим на уровне
          пользователя (|HKCU\Environment|) создается кастомная переменная
          |%SystemRoot%|, которая указывает вовсе не на |C:\Windows|, а на
          |C:\Users\Public\Documents|. В итоге аналитик глазами видит
          «безопасный» системный путь, а система при загрузке идет в скрытую
          пользовательскую папку.
        * *Что добавить в памятку*: Всегда проверять блок «Переменные
          окружения» в начале лога uVS. Любые попытки переопределить
          стандартные переменные вроде |%SystemRoot%|, |%WinDir%| или
          |%ProgramFiles%| на уровне текущего пользователя — это критическая
          угроза.
    • PR55.RP55
      Сейчас дал ИИ задание напиши скрипт и... Вот:  ( взял Инфо. из одного из старых образов) Скрипт лечения для uVS Чтобы полностью удалить эту службу, связанные с ней файлы и очистить ссылки в реестре, выполните следующий скрипт: text ; uVS v4.15.1 [Script] ; Target OS: Windows ; Удаление вредоносной службы и основного файла апдейтера delref %Network%\C:\PROGRAM FILES (X86)\YONTOO\Y2DESKTOP.UPDATER.EXE ; Удаление исполняемого файла в AppData, вызываемого через параметры службы delref %AppData%\YONTOO\YONTOODESKTOP.EXE ; Принудительное удаление самой службы из реестра delsrv Yontoo Desktop Updater ; Очистка остаточных путей и каталогов Yontoo deldir C:\Program Files (x86)\Yontoo deldir C:\Users\cappu44ino\AppData\Roaming\Yontoo ; Перезагрузка для применения изменений restart --------- Я сильно не увлекался - так для примера.  
    • PR55.RP55
      santy Модели ИИ ( я делал запрос к google ) - есть возможность задать вопрос ( дать задание ) по заранее выбранным настройкам: настройки: yaml [SYSTEM_OVERRIDE] ---------- Код он сам себе напишет :)  Главное задать нужные вопросы и потом попросить\ сохранить настройки в виде кода ) Единственно - не все ИХ модели нормально работают. Результаты тоже нужно проверять... Например:  получить Резюме... По записи - ( как в моём примере в Новые функции ) С заранее заданными параметрами - что нам нужно.  Это и для обучения и для экономии времени и когда оператор устал, для написания отчёта - по работе на семинар, при обсуждении на форуме, анализ новых угроз или появился новый ключ автозапуска; там где есть сомнение - что это... Построить цепочку - чтобы увидеть механику процесса\заражения. Увидеть аномалии - как то, что браузер "подписан" но это ЭЦП не головного офиса - а ЭЦП - пусть и "легитимное" - но смежников.  Аномалии пути; размера; схожесть имени и т.д. Никакие настройки uVS этого не дадут.  Можно увидеть никогда ранее неиспользуемый ключ запуска ( или его нестандартное применение ).  Если железо современное - то возможно? - локальные модели ИИ. Можно попробовать например дать задание: Найди все новые ключи которые появились 2026 г. и ранее не использовались...  
    • santy
      Как гипотетические варианты действий: ---------------------- - получить детальную расшифровку выбранного антивирусного детекта по результату проверки файла на VT из экрана ИНФО. Здесь я бы обратил внимание на три основных детекта: у Kaspersky, DrWeb, ESET, возможно + Microsoft. - получить расшифровку по цифровой подписи файла, насколько известна, и надежна. -  может стоит продумать свою классификацию детектов, и потом уже на основании данной классификации находить другие примеры/способы запуска и т.п.
    • santy
      RP55, даже 5, но не 150 в день, по поводу ИИ в uVS: здесь надо понять, какую достоверную полезную информацию может добавить ИИ к тому, что делает uVS: Если просто как хелп для начинающих - это одно, если как помощник при написании скриптов, то здесь уже работает автоскрипт вполне справляется, если ему показать все необходимые  детекты. если как справка  по указанному типу угроз - это часто можно увидеть на ВирусТотал - может через API как то возможно это загрузить.
×