Перейти к содержанию

Recommended Posts

santy
14 часов назад, PR55.RP55 сказал:

+

По поводу очереди команд.

Если в очереди нет записи - то...  ( см. фото )

Это будет и правильно и более информативно.

если в очереди нет команд, то опция "принять изменения" недоступна.

а вот зачем блокировать вход в категорию "очередь команд", и какая здесь большая информативность?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
12 часов назад, PR55.RP55 сказал:

Я же так и написал: " оператор применил команду: Статус > проверенный. "

Он мог это сделать до детекта, так что только ручками таки случаи разруливать.

12 часов назад, PR55.RP55 сказал:

При работе с образами этого нет.

Добавлю.

12 часов назад, PR55.RP55 сказал:

пример на видео: http://zalil.su/8889833

Я помню кто-то очень долго на этом настаивал, вот оно и свершилось xD Правда уже давно.
-------------------------------------------------------
 4.00 Beta 9
---------------------------------------------------------
 o Функции "Проверить список" и "Добавить вирус" больше не добавляют в скрипт команды addsgn/bl/zoo.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Demkd

1) По хорошему нужно чтобы uVS добавлял в список все ( исполняемые ) файлы из корня системного диска.

Пример тема: http://www.tehnari.ru/f35/t253394/

2) Увеличить меж строчный интервал.

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL

До:

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL

 

Во втором случае работать легче - записи не сливаются в одно целое.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

А вот "странные файлы" в корне дисков после работы uVS это глюк, в некоторых системах проявляется в полный рост, смешно но способа удалить некоторые файлы их из активной системы просто нет, в некоторых случаях может помочь загрузка в безопасный режим.

---------------------------------------------------------
 4.00 Beta 13
---------------------------------------------------------
 o Добавлена возможность вычислять и помещать в базу проверенных хэши
   объектов. (ссылки, guid-ы и т.п. при работе с образом)

 o Ссылки содержащие символы отличные от ASCII теперь получают статсу подозрительного объекта.

 o Исправлена ошибка из-за которой в корне диска могли оставаться файлы *.tmp (после обновления списка)
   к сожалению из-за глюка windows некоторые из них не удаляются из активной системы даже после перезагрузки
   и удалить их можно лишь загрузившись с диска или из другой системы.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

По поводу приоритета.

есть критерий т.е. настройка для автоскрипта

Удалить: PRAETORIAN.EXE

но дело в том, что файл имеет ЭЦП:  OOO Yandex

и данная ЭЦП в белом списке в файле: wdsl

в итоге файл не удаляется.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
10 минут назад, PR55.RP55 сказал:

и данная ЭЦП в белом списке в файле: wdsl

в итоге файл не удаляется.

и кто же в этом виноват?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
3 часа назад, demkd сказал:

кто же в этом виноват?

Это не серьёзный разговор.

У Яндекса есть: PRAETORIAN.EXE

У ESET: UPGRADE.EXE

Компоненты отвечающие за проверку подлинности.

За принудительное обновление.

Отсылающие данные на сервер разработчика.

и т.д.

И сколько производителей нужно убрать из wdsl ?

Раз я настроил критерий на удаление объекта - объект должен удалиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Добавить удаление исполняемых файлов каталога для: %SystemRoot%\PREFETCH\

при:
  deltmp
( delnfr )

Образ\пример.
http://rgho.st/7dKSBYCyJ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

PR55.RP55, не надо всякой фигнёй страдать. И поменьше читайте разные байки в интернете про очистку файлов префетчера.

Тем более в контексте uVS после такой очистки вы потеряете часть файлов в образе которые запускались неявно или вручную и будете потом обвинять demkd, что новая версия видит меньше вирусни чем старая.
 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

alamor

У меня порой возникает такое впечатление, что я пишу одно - а люди читают, что-то совсем другое.

Ещё раз.

В 27.04.2017 at 10:48 PM, PR55.RP55 сказал:

Добавить удаление исполняемых файлов каталога для: %SystemRoot%\PREFETCH\

Каталог: PREFETCH   в норме не содержит исполняемых файлов.

он содержит файлы\информацию по запуску исполняемых файлов.

Никто не предлагает очищать сам каталог.

------------------------

SourceMonitor

Возможно, что-то в таком духе будет полезно для анализа файла, при добавлении этой информации в Инфо.

http://soft.oszone.net/program/5829/SourceMonitor/

706588-0-orig.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

PR55.RP55, извиняюсь, про исполняемые недосмотрел, подумал вы .pf файлы предлагаете чистить. Сейчас у многих это "модно".
 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

---------------------------------------------------------
 4.00 RC 1
---------------------------------------------------------
 o Улучшена функция разбора параметров командной строки.

 o Исправлена функция анализа задач, в некоторых случаях файлы в параметрах запуска могли не попадать в список.

 o Функция удаления временных файлов теперь удаляет все _исполняемые_ файлы из каталога c:\windows\prefetch

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Demkd

А вроде uVS объекты: Scrcons.mof < > Scrcons.exe

Не обрабатывает ?

https://technet.microsoft.com/ru-ru/aa384749

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Практически уже все, осталось переделать *.txt и дистрибутивы собрать.

---------------------------------------------------------
 4.00 RC 2
---------------------------------------------------------
 o Исправлена интерфейсная ошибка вычисления размера окна лога.

 o Исправлена функция чтения пути до расширения Chrome.
   (Для систем старше WinXP)

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Demkd

Раз практически уже всё.

можно в settings.ini  добавить опцию\настройку: При отображении информации -

Чередовать строки ( строка пропуск; строка пропуск )

Так, как у меня здесь написано. ( очень нужно )  :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

demkd,

хорошо бы добавить дополнительное поле комментария в таблицу snms, чтобы можно было вносить пометку для какого случая используется данное правило.

(по умолчанию, это поле пустое)

например:

krit.jpg

это было бы удобным для списочных однородных критериев. (тех условий, что соединены через OR)

и выводить этот коммент (если он заполнен) в Инфо, в блоке критериев.

чтобы  зафиксировать, какой объект детектируется данным правилом.

--------------

если это не войдет в релиз 4.00, который конечно крайне ожидаем, и уже на финишной прямой, то запланировать это в следующий релиз 4.0.n

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

uVS v4.0 RC2 [http://dsrt.dyndns.org]: Windows 7 Professional x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS]

-------------

Полное имя                  759PTAYMUSGAVLYKC:\WINDOWS\EXPLORER.EXE
Имя файла                   EXPLORER.EXE
Тек. статус                 [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\Program Files (x86)\Opera\44.0.2510.857\opera_crashreporter.exe" --ran-launcher --opener-id="759pTAYmuSgAVlYkC:\Windows\explorer.exe" --crash-reporter-parent-id=4584
CmdLine                     "C:\Program Files (x86)\Opera\44.0.2510.857\opera.exe" --ran-launcher --opener-id="759pTAYmuSgAVlYkC:\Windows\explorer.exe"
--------------

Тема\образ:    http://www.tehnari.ru/f35/t253566/              

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

+

Там же.

Полное имя                  D:\BREAKING_BAD_SEASON_2\S02E01.AVI
Имя файла                   S02E01.AVI
Тек. статус                 [Запускался неявно или вручную]
                            
www.virustotal.com          Хэш НЕ найден на сервере.
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
Размер                      467742720 байт
Создан                      02.05.2017 в 13:17:30
Изменен                     02.05.2017 в 13:27:34
Атрибуты                    R/O  
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\KMPlayer\KMPlayer.exe" "D:\Breaking_Bad_Season_2\s02e01.avi"
SHA1                        681160D7730E04F7478AA7AEBC215DF49BC125B0
MD5                         6C64339CFC6C1A2898EE0AB490A4A9F4
                            

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
6 часов назад, PR55.RP55 сказал:

+

Там же.


                            

 

(откуда это инфо взято и что здесь неправильно?)

Полное имя                  D:\BREAKING_BAD_SEASON_2\S02E01.AVI
Имя файла                   S02E01.AVI
Тек. статус                 [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
Размер                      467742720 байт
Создан                      02.05.2017 в 13:17:30
Изменен                     02.05.2017 в 13:27:34
Атрибуты                    R/O  
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\KMPlayer\KMPlayer.exe" "D:\Breaking_Bad_Season_2\s02e01.avi"
SHA1                        681160D7730E04F7478AA7AEBC215DF49BC125B0
MD5                         6C64339CFC6C1A2898EE0AB490A4A9F4

PC_2017-05-03_15-59-54.7z                            

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
2 часа назад, santy сказал:

(откуда это инфо взято и что здесь неправильно?)

Из образа - откуда же ещё.

-------

А по поводу неправильности...

С каких пор uVS работает с .avi

или данный формат относиться к исполняем ?

Тогда нужно и: mp3; mp4 и всё прочее в образ добавить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
3 часа назад, PR55.RP55 сказал:

С каких пор uVS работает с .avi

В список попадает все что есть в параметрах запуска и все что похоже на файл/ссылку никаких фильтров по расширениям для командной строки никогда не было и не будет.

13 часов назад, PR55.RP55 сказал:

759PTAYMUSGAVLYKC:\WINDOWS\EXPLORER.EXE

Да тут надо будет доп. фильтр наложить.

23 часов назад, santy сказал:

хорошо бы добавить дополнительное поле комментария в таблицу snms, чтобы можно было вносить пометку для какого случая используется данное правило.

Дополнительное они ни к чему, разве что разрешить вводить "Имя" для каждого такого критерия.
...C другой стороны если сработает 40 из 100 таких условий, что все 40 имен выводить? xD

В 02.05.2017 at 10:20 PM, PR55.RP55 сказал:

Чередовать строки ( строка пропуск; строка пропуск )

Кто-то ныл что на формуах есть ограничение на размер, а тут +2 байта на каждую строку, да и нет желания у меня править в 50 местах код ради того чтобы потом услышать, о а теперь в окне редактора в 2 раза меньше строк видно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
30 минут назад, demkd сказал:

Дополнительное они ни к чему, разве что разрешить вводить "Имя" для каждого такого критерия.
...C другой стороны если сработает 40 из 100 таких условий, что все 40 имен выводить? xD

сейчас выводится только одно условие (которое сработало) с максимальным приоритетом, поэтому и выводиться по идее должно только имя этого условия.

не думаю, что будет необходимость по каждому условию вводить имя, но для определенной группы условий не помешается сделать дополнительную пометку.

---------------

вот скажем сработало условие:

(ССЫЛКА ~ \CURRENTVERSION\RUN\ALCMETER)(1) [auto (0)] из группы критерией shifr.list,

но конкретно определить имя шифратора, который соответствует данному критерию я не могу сейчас.

 

а так бы я мог добавить, что это правило детектирует шифратор XORIST.

------------

 

Цитата

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Alcmeter

C:\DOCUME~1\user\LOCALS~1\Temp\H5v2CkER05dbREw.exe

 

------------------

нет, пожалуй, отзываю это предложение. подумаю как лучше это сделать. (не хочется вообщем, через лишнее поле перескакивать :))

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
24 минут назад, santy сказал:

не думаю, что будет необходимость по каждому условию вводить имя, но для определенной группы условий не помешается сделать дополнительную пометку.

Это если просто OR а если там связки из 3-5 AND между "или"? чего выводить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
19 минут назад, demkd сказал:

Это если просто OR а если там связки из 3-5 AND между "или"? чего выводить?

да, это возможно только для условий с OR

там где связка через AND, там нет такой возможности добавить несколько критериев в одну запись в snms.

в таких случаях одна запись  - один простой или сложный критерий. (а значит и нет необходимости в дополнительном имени для одного условия)

-----------

пожалуй, отзываю это предложение. подумаю как лучше это сделать. (не хочется вобщем, через лишнее поле постоянно перескакивать :))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×