Войдите для возможности подписаться
Подписчики
0
Андрей Янкин: собственный SOC - это единственный путь сделать инструментарий ИБ под себя
Автор
AM_Bot, в Интервью с экспертами
Объявления
-
Сообщения
-
От PR55.RP55 · Опубликовано
Demkd Я бы ещё добавил подсчёт идентичных файлов. ( если это принципиально не скажется на производительности ) По крайней мере раньше бывало и такое, что в системе десятки идентичных файлов - но с разными именами. И Опционально Запуск uVS - в качестве ловушки. Например программа стартует не как: gvprin , а как firefox.exe и отслеживает всех желающих... приобщиться. -
От PR55.RP55 · Опубликовано
Добавить возможность "автоматического" контроля со стороны оператора\админа за актуальностью\версией установленных программ. т.е. Оператор создаёт файл "Контроль Программ.txt" и следит за его актуальностью. И при открытии меню: Дополнительно > Установленные программы в списке отображаться не только версия установленной программы - но и её актуальная версия из Контроль Программ.txt * * или же вместо числового значения\версии - отображается запись\уведомление заданное оператором: - например: ! Внимание найден антивирус ! ** Все записи подпавшие под... критерий - перемещаются в начало списка. -
От demkd · Опубликовано
---------------------------------------------------------
4.99.6
---------------------------------------------------------
o Добавлен еще один ключ автозапуска, используемый троянами и майнерами.
o Добавлена новая опция запуска uVS: Искать в пользовательских каталогах скрытые исполняемые файлы.
В пользовательских каталогах не должно быть подобных файлов, если же они есть то стоит внимательно изучить их содержимое.
По умолчанию опция включена, отключить ее можно в окне запуска.
Если опция включена то просматривается весь каталог "Documents and Settings" (Users+ProgramData для новых систем)
со всеми подкаталогами. При обнаружении исполняемых файлов с атрибутами "скрытый" или "системный" такой файл добавляется
в список со статусом "подозрительный", статус может быть снят автоматически если файл есть в базе проверенных файлов.
Сканирование каталогов идет в отдельном потоке параллельно с построением списка автозапуска,
однако включение этой опции может увеличить время обновления списка для одноядерных процессоров и систем на HDD.
Тестировании проводилось только для системы на SSD, тестовый "Documents and Settings" содержал в себе 70979 подкаталогов с 452175 файлами,
время обновления списка (при запуске uVS сразу после перезагрузки системы) увеличилось на 5%.
o В лог добавлен статус Windows Defender-а.
o В лог добавлен статус отслеживания командной строки процессов.
o Добавлена возможность удаления исключений Windows Defender-а в активной системе без виртуализации реестра с помощью powershell.
Функция может удалять исключения: путь, процесс, расширение.
(!) Функция недоступна если powershell отсутствует или powershell не имеет правильной эцп.
-
От PR55.RP55 · Опубликовано
Похоже эти версии https://vms.drweb.ru/virus/?i=21513908 https://vms.drweb-av.es/virus/?i=22278785 -
От demkd · Опубликовано
майнер то старый, но как запускается хз, до создания образа uVS уже прибиты задачи, через которые он почти наверное и запускался, да и uVS запущен без флага HKCR и без флага выгрузки левых потоков, а они были и их там быть не должно.
Однако самое неприятное то что нет командных строк в истории процессов, потому найти концы уже не получится.. возможно есть баг при включении отслеживания командных строк и это надо будет проверить.
-