uVS - Тестирование

[demkd 590]

---------------------------------------------------------
4.15
---------------------------------------------------------
 o Исправлена ошибка в функции виртуализации реестра, которая потенциально могла привести к порче кустов реестра.

 o Функция быстрой виртуализации удалена.
   Скриптовые команды sreg и vreg теперь синонимы.

 o Для совместимости со старшими версиями Windows обновлена функция замены/восстановления реестра,
   теперь создается специальный каталог "uvs_regback" в корне системного диска,
   все операции необходимые для бэкапа и замены кустов реестра производятся только в нем.

 o Исправлена ошибка из-за которой при восстановлении реестра из каталога с бэкапом удалялись сохраненные файлы:
   security, drivers, components. Идентичная ошибка есть и в ABR v1.10.

 o Исправлена ошибка из-за которой не все каталоги с бэкапом реестра отображались в окне выбора.

 o Новый параметр в settings.ini
   [Settings]
   ; Размер основного шрифта
     FontHeight (по умолчанию 10)

 o Новый параметр в settings.ini
   [Settings]
   ; Название основного шрифта
     FontName (по умолчанию Tahoma)

 

[demkd 590]

Утилита restore из пакета ABR обновлена до версии 1.11 для соответствия текущей версии uVS.
 

[PR55.RP55 82]

В новой версии в Инфо. файла ползунок с правой стороны отображается не полностью.

[PR55.RP55 82]

Всё хочу написать, да всё стесняюсь :)

Отображение результат анализа на V.T.  в ряде случаев трудно назвать корректным. ( это их косяк - однако...)

Пример:

Полное имя                  C:\PROGRAM FILES (X86)\LG SOFTWARE\LG SMART SHARE\DMC\INTEROP.UPNPLIB.DLL
Имя файла                   INTEROP.UPNPLIB.DLL
Тек. статус                 АКТИВНЫЙ DLL
                            
www.virustotal.com          2016-02-25 13:20 [2019-11-20]
-                           Файл был чист на момент проверки.
                            
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ DLL
File_Id                     4BCF3838A000
Linker                      8.0
Размер                      12288 байт
Создан                      23.08.2021 в 20:35:01
Изменен                     22.04.2010 в 19:31:12
                            
TimeStamp                   21.04.2010 в 17:39:04
EntryPoint                  +
OS Version                  4.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              +
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Оригинальное имя            Interop.UPNPLib.dll
Версия файла                1.0.0.0
Описание                     
Производитель               
Комментарий                  
                            
Доп. информация             на момент обновления списка
SHA1                        CD3153D8B7EC5192560151DC7FC363ADDBA8EB70
MD5                         3399CCA98DEDF7A0BD0948F76870917F
                            
Процессы                    на момент обновления списка
Процесс                     C:\PROGRAM FILES (X86)\LG SOFTWARE\LG SMART SHARE\DMC\AGGREGATION.EXE [8848]
----------

Как мы видим - дата проверки это ахинея. ( 2016-02-25 13:20 [2019-11-20] ) так как файл проверялся в 2011

https://www.virustotal.com/gui/file/e149b5d22d5509a048c447956c811bc05135cd88c89b02ee8e1ff2244b3294a2/details

Creation Time

2010-04-21 17:39:04 UTC

First Seen In The Wild

2019-11-20 00:37:45 UTC

First Submission

2011-07-16 16:11:55 UTC

Last Submission

2011-07-16 16:11:55 UTC

Last Analysis

2016-02-25 13:20:27 UTC

 

[demkd 590]

В 09.01.2024 at 6:01 PM, PR55.RP55 сказал:

Как мы видим - дата проверки это ахинея. ( 2016-02-25 13:20 [2019-11-20] ) так как файл проверялся в 2011

https://www.virustotal.com/gui/file/e149b5d22d5509a048c447956c811bc05135cd88c89b02ee8e1ff2244b3294a2/details 

 

 

В 02.01.2024 at 4:37 PM, PR55.RP55 сказал:

В новой версии в Инфо. файла ползунок с правой стороны отображается не полностью.

Гляну.
А пока ABR обновлен до v1.20, добавлен бэкап и восстановление BCD и я крайне не рекомендую использовать msconfig, при некоторых параметрах он ломает BCD, что приводит к серьезным и неустранимым стандартными средствами проблемам.
Аналогичные изменения будут и в uVS v4.15.1
и скорее всего добавлена функция лечения BCD после... использования msconfig-а.

[demkd 590]

В 09.01.2024 at 6:01 PM, PR55.RP55 сказал:

Как мы видим - дата проверки это ахинея. ( 2016-02-25 13:20 [2019-11-20] ) так как файл проверялся в 2011

Обычно in the wild дата меньше first submission, поэтому она у меня стоит в приоритете, придется сравнивать даты и прописывать минимальную.
Или ее уберу in the wild, надо будет посмотреть насколько эта дата сейчас актуально.

[demkd 590]

---------------------------------------------------------
 4.15.1
---------------------------------------------------------
 o При запуске с диска uVS v4.15+ требуется наличие поддержки HTA.
   Рекомендуется интрегрировать и WMI.
   Рекомендуемый размер шрифта 8.

 o Добавлен новый раздел "Defender: Исключения".
   В раздел вошли ислючений Windows Defender-а. (пути, файлы, расширения, процессы).
   (!) Удаление исключений возможно лишь при виртуализации реестра.

 o Сохранение реестра в каталог: теперь сохраняется BCD.
   Повреждения BCD (в том числе и логические) могут привести к отказу загрузки системы или к полному зависанию системы при запуске некоторых приложений,
   подвисаниям при смене разрешения экрана или использовании панели nVidia, использовании 3D режима видеокарты и т.п.

   Причины повреждений BCD: проблемы с диском, оперативной памятью или использование утилиты msconfig, последнее может привести к симптомам сходным
   с отказом железа, я НЕ рекомендую запускать эту "полезную" утилиту.

 o Восстановление реестра из каталога теперь восстанавливает BCD.
   После восстановление реестра система будет автоматически перезагружена (только для активной системы).

 o Обновлен start.exe:
   o используются настройки шрифта из setting.ini
   o добавлена кнопка для перезагрузки в меню дополнительных параметров загрузки.
   o при загрузке с диска автоматически выбирается для работы первая доступная система.

 o Добавлен твик #43 [Win7] Устранить последствия использования msconfig.
   Для Windows 7 и старше.
   Твик удаляет ключи в BCD, добавленные в него msconfig-ом для активации безопасного режима.
   Твик не влияет на опции выборочной/диагностической загрузки в msconfig-е, удалению подлежат лишь 10 ключей связанных с безопасным режимом или
   ограничивающих работу системы. Именно эти опции приводят к проблемам с системой после использования msconfig-а.
   (!) Для загрузки в безопасный режим или командную строку всегда используйте меню дополнительных параметров загрузки системы, в отличии от
   (!) того что делает msconfig это безопасный способ и в случае неработоспособного безопасного режима система всегда сможет загрузиться.

 o Теперь в каталог с сохраненным реестром помещаются утилиты restore и defrag из пакета ABR v1.20.

 o Теперь перед актуализацией реестра автоматически запускается функция "Принять изменения". (включая скриптовую команду areg)

 o Улучшена функция удаления защищенных ключей, вероятность удаления защищенных ключей повышена.

 o В результатах сервиса VT дата "First Seen In The Wild" теперь игнорируется из-за низкой ее достоверности.

 o Исправлена ошибка отображения развернутого лога.

 o Исправлена ошибка пересчета размера элементов в основном окне.

 o Исправлена ошибка пересчета размера элементов в окне информации.

 o Исправлены мелкие ошибки интерфейса.

[santy 151]

demkd,

По тем файлам, которые попадут в исключения дефендера: если файлы живые, то при удалении delall, или delvir ссылки в реестре на исключения файлов из проверки дефендером не будут удалены, и их придется удалять вторым скриптом (через виртуализацию)..

[PR55.RP55 82]

demkd,

По поводу копий реестра, загрузки и активации системы.

После создания копии реестра может быть изменение\сброс конфигурации оборудования - изменение буквы диска или пути. Учитывает ли это uVS.

[Vvvyg 12]

Если в исключениях защитника - папка, выдаётся ошибка чтения файла по этому пути.

[santy 151]

В 13.01.2024 at 4:33 PM, santy сказал:

demkd,

По тем файлам, которые попадут в исключения дефендера: если файлы живые, то при удалении delall, или delvir ссылки в реестре на исключения файлов из проверки дефендером не будут удалены, и их придется удалять вторым скриптом (через виртуализацию).. 

С этим все понятно теперь.

 

Еще один момент:

При удалении ссылок исключений формируем

sreg

удаление ссылок

areg

При этом команды удаления ссылок не попадают в скрипт пока мы не нажимаем apply,

и в этом случае apply тоже попадает в скрипт.

По описанию, применение изменений из очереди автоматически выполняется при запуске команды areg.

Возможно ли это сделать при отдаче команды areg (в интерфейсе), чтобы список команд из актуальной очереди появился в скрипте, а завершился строкой areg?

 

[PR55.RP55 82]

Полное имя                  C:\WINDOWS\SYSTEM32\DRIVERSTORE\FILEREPOSITORY\INTCOED.INF_AMD64_0F43CDA6A2474B5C\AS\IAS\INTELAUDIOSERVICE.EXE
Имя файла                   INTELAUDIOSERVICE.EXE
Тек. статус                 АКТИВНЫЙ ПРОВЕРЕННЫЙ
                            
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ПРОВЕРЕННЫЙ
Процесс                     64-х битный
File_Id                     61DC1BC082000
Linker                      48.0
Размер                      531008 байт
Создан                      27.02.2023 в 23:42:22
Изменен                     26.01.2022 в 12:22:20
                            
TimeStamp                   10.01.2022 в 11:42:56
EntryPoint                  -
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Intel Corporation
                            
Оригинальное имя            IntelAudioService.exe
Версия файла                1.0.2080.0
Описание                    IntelAudioService
Производитель               Intel
               
---------------
Полное имя                  C:\WINDOWS\SYSTEM32\DRIVERSTORE\FILEREPOSITORY\INTCOED.INF_AMD64_0F43CDA6A2474B5C\\AS\\IAS\INTELAUDIOSERVICE.EXE
Имя файла                   INTELAUDIOSERVICE.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
Инф. о файле                Синтаксическая ошибка в имени файла, имени папки или метке тома.
Цифр. подпись               проверка не производилась
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                            

[demkd 590]

В 13.01.2024 at 3:33 PM, santy сказал:

По тем файлам, которые попадут в исключения дефендера: если файлы живые, то при удалении delall, или delvir ссылки в реестре на исключения файлов из проверки дефендером не будут удалены, и их придется удалять вторым скриптом (через виртуализацию)..

так и есть, но можно сразу удалять все через виртуализацию
 

В 13.01.2024 at 7:37 PM, PR55.RP55 сказал:

После создания копии реестра может быть изменение\сброс конфигурации оборудования - изменение буквы диска или пути. Учитывает ли это uVS.

а как это может быть учтено? копия сделана раньше, восстановление копии откатит все логические изменения, например те же буквы, а изменения в оборудовании потребует установки новых драйверов, если они требуются.
 

В 14.01.2024 at 5:02 PM, Vvvyg сказал:

Если в исключениях защитника - папка, выдаётся ошибка чтения файла по этому пути.

Это нормально, у дефендера нет разделения на папки и файлы.
 

В 14.01.2024 at 8:29 PM, santy сказал:

Возможно ли это сделать при отдаче команды areg (в интерфейсе), чтобы список команд из актуальной очереди появился в скрипте, а завершился строкой areg?

переделаю и будут попадать, а пока надо как и раньше нажимать применить.

 

В 15.01.2024 at 6:15 PM, PR55.RP55 сказал:

\\AS\\IAS\INTELAUDIOSERVICE.EXE

да, ошибка в пути, как запускают так и отображается.

[PR55.RP55 82]

Цитата

а как это может быть учтено? копия сделана раньше, восстановление копии откатит все логические изменения, например те же буквы, а изменения в оборудовании потребует установки новых драйверов, если они требуются.     

При создании копии реестра можно создавать лог файл.  Типа: Копия реестра от ( 17.01.2024 ) Буквы диска - Загрузчик на: С:\

А при во становлении ( если будет обнаружена разница ) - предупреждать оператора: Обнаружены изменения которые могут привести к...

 

[demkd 590]

17 часов назад, PR55.RP55 сказал:

А при во становлении ( если будет обнаружена разница ) - предупреждать оператора: Обнаружены изменения которые могут привести к...

Дата создания копии видна в названии каталога, а последствия это проблема оператора, он должен сам понимать что он делает и зачем.

[demkd 590]

---------------------------------------------------------
 4.15.2
---------------------------------------------------------
 o Исправлена ошибка при работе с образом автозапуска.
   Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".

 o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
   (при работе с удаленной системой)

-----------------------------------------------------------
Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.