uVS - Тестирование

[santy 153]

14 часов назад, PR55.RP55 сказал:

+

По поводу очереди команд.

Если в очереди нет записи - то...  ( см. фото )

Это будет и правильно и более информативно.

если в очереди нет команд, то опция "принять изменения" недоступна.

а вот зачем блокировать вход в категорию "очередь команд", и какая здесь большая информативность?

[demkd 638]

12 часов назад, PR55.RP55 сказал:

Я же так и написал: " оператор применил команду: Статус > проверенный. "

Он мог это сделать до детекта, так что только ручками таки случаи разруливать.

12 часов назад, PR55.RP55 сказал:

При работе с образами этого нет.

Добавлю.

12 часов назад, PR55.RP55 сказал:

пример на видео: http://zalil.su/8889833

Я помню кто-то очень долго на этом настаивал, вот оно и свершилось xD Правда уже давно.
-------------------------------------------------------
 4.00 Beta 9
---------------------------------------------------------
 o Функции "Проверить список" и "Добавить вирус" больше не добавляют в скрипт команды addsgn/bl/zoo.

[PR55.RP55 83]

Demkd

1) По хорошему нужно чтобы uVS добавлял в список все ( исполняемые ) файлы из корня системного диска.

Пример тема: http://www.tehnari.ru/f35/t253394/

2) Увеличить меж строчный интервал.

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL
C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL

До:

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL

C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL

 

Во втором случае работать легче - записи не сливаются в одно целое.

 

[demkd 638]

А вот "странные файлы" в корне дисков после работы uVS это глюк, в некоторых системах проявляется в полный рост, смешно но способа удалить некоторые файлы их из активной системы просто нет, в некоторых случаях может помочь загрузка в безопасный режим.

---------------------------------------------------------
 4.00 Beta 13
---------------------------------------------------------
 o Добавлена возможность вычислять и помещать в базу проверенных хэши
   объектов. (ссылки, guid-ы и т.п. при работе с образом)

 o Ссылки содержащие символы отличные от ASCII теперь получают статсу подозрительного объекта.

 o Исправлена ошибка из-за которой в корне диска могли оставаться файлы *.tmp (после обновления списка)
   к сожалению из-за глюка windows некоторые из них не удаляются из активной системы даже после перезагрузки
   и удалить их можно лишь загрузившись с диска или из другой системы.

 

[PR55.RP55 83]

По поводу приоритета.

есть критерий т.е. настройка для автоскрипта

Удалить: PRAETORIAN.EXE

но дело в том, что файл имеет ЭЦП:  OOO Yandex

и данная ЭЦП в белом списке в файле: wdsl

в итоге файл не удаляется.

 

[demkd 638]

10 минут назад, PR55.RP55 сказал:

и данная ЭЦП в белом списке в файле: wdsl

в итоге файл не удаляется.

и кто же в этом виноват?

[PR55.RP55 83]

3 часа назад, demkd сказал:

кто же в этом виноват?

Это не серьёзный разговор.

У Яндекса есть: PRAETORIAN.EXE

У ESET: UPGRADE.EXE

Компоненты отвечающие за проверку подлинности.

За принудительное обновление.

Отсылающие данные на сервер разработчика.

и т.д.

И сколько производителей нужно убрать из wdsl ?

Раз я настроил критерий на удаление объекта - объект должен удалиться.

[PR55.RP55 83]

Добавить удаление исполняемых файлов каталога для: %SystemRoot%\PREFETCH\

при:
  deltmp
( delnfr )

Образ\пример.
http://rgho.st/7dKSBYCyJ

[alamor 69]

PR55.RP55, не надо всякой фигнёй страдать. И поменьше читайте разные байки в интернете про очистку файлов префетчера.

Тем более в контексте uVS после такой очистки вы потеряете часть файлов в образе которые запускались неявно или вручную и будете потом обвинять demkd, что новая версия видит меньше вирусни чем старая.
 

[PR55.RP55 83]

alamor

У меня порой возникает такое впечатление, что я пишу одно - а люди читают, что-то совсем другое.

Ещё раз.

В 27.04.2017 at 10:48 PM, PR55.RP55 сказал:

Добавить удаление исполняемых файлов каталога для: %SystemRoot%\PREFETCH\

Каталог: PREFETCH   в норме не содержит исполняемых файлов.

он содержит файлы\информацию по запуску исполняемых файлов.

Никто не предлагает очищать сам каталог.

------------------------

SourceMonitor

Возможно, что-то в таком духе будет полезно для анализа файла, при добавлении этой информации в Инфо.

http://soft.oszone.net/program/5829/SourceMonitor/

[alamor 69]

PR55.RP55, извиняюсь, про исполняемые недосмотрел, подумал вы .pf файлы предлагаете чистить. Сейчас у многих это "модно".
 

[demkd 638]

---------------------------------------------------------
 4.00 RC 1
---------------------------------------------------------
 o Улучшена функция разбора параметров командной строки.

 o Исправлена функция анализа задач, в некоторых случаях файлы в параметрах запуска могли не попадать в список.

 o Функция удаления временных файлов теперь удаляет все _исполняемые_ файлы из каталога c:\windows\prefetch

 

[PR55.RP55 83]

Demkd

А вроде uVS объекты: Scrcons.mof < > Scrcons.exe

Не обрабатывает ?

https://technet.microsoft.com/ru-ru/aa384749

 

[demkd 638]

10 часов назад, PR55.RP55 сказал:

А вроде uVS объекты: Scrcons.mof < > Scrcons.exe
 

https://msdn.microsoft.com/en-us/library/aa823192(v=vs.85).aspx
 

[demkd 638]

Практически уже все, осталось переделать *.txt и дистрибутивы собрать.

---------------------------------------------------------
 4.00 RC 2
---------------------------------------------------------
 o Исправлена интерфейсная ошибка вычисления размера окна лога.

 o Исправлена функция чтения пути до расширения Chrome.
   (Для систем старше WinXP)

 

[PR55.RP55 83]

Demkd

Раз практически уже всё.

можно в settings.ini  добавить опцию\настройку: При отображении информации -

Чередовать строки ( строка пропуск; строка пропуск )

Так, как у меня здесь написано. ( очень нужно ) 

[santy 153]

demkd,

хорошо бы добавить дополнительное поле комментария в таблицу snms, чтобы можно было вносить пометку для какого случая используется данное правило.

(по умолчанию, это поле пустое)

например:

это было бы удобным для списочных однородных критериев. (тех условий, что соединены через OR)

и выводить этот коммент (если он заполнен) в Инфо, в блоке критериев.

чтобы  зафиксировать, какой объект детектируется данным правилом.

--------------

если это не войдет в релиз 4.00, который конечно крайне ожидаем, и уже на финишной прямой, то запланировать это в следующий релиз 4.0.n

 

[PR55.RP55 83]

uVS v4.0 RC2 [http://dsrt.dyndns.org]: Windows 7 Professional x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS]

-------------

Полное имя                  759PTAYMUSGAVLYKC:\WINDOWS\EXPLORER.EXE
Имя файла                   EXPLORER.EXE
Тек. статус                 [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\Program Files (x86)\Opera\44.0.2510.857\opera_crashreporter.exe" --ran-launcher --opener-id="759pTAYmuSgAVlYkC:\Windows\explorer.exe" --crash-reporter-parent-id=4584
CmdLine                     "C:\Program Files (x86)\Opera\44.0.2510.857\opera.exe" --ran-launcher --opener-id="759pTAYmuSgAVlYkC:\Windows\explorer.exe"
--------------

Тема\образ:    http://www.tehnari.ru/f35/t253566/              

[PR55.RP55 83]

+

Там же.

Полное имя                  D:\BREAKING_BAD_SEASON_2\S02E01.AVI
Имя файла                   S02E01.AVI
Тек. статус                 [Запускался неявно или вручную]
                            
www.virustotal.com          Хэш НЕ найден на сервере.
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
Размер                      467742720 байт
Создан                      02.05.2017 в 13:17:30
Изменен                     02.05.2017 в 13:27:34
Атрибуты                    R/O  
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\KMPlayer\KMPlayer.exe" "D:\Breaking_Bad_Season_2\s02e01.avi"
SHA1                        681160D7730E04F7478AA7AEBC215DF49BC125B0
MD5                         6C64339CFC6C1A2898EE0AB490A4A9F4
                            

 

[santy 153]

6 часов назад, PR55.RP55 сказал:

+

Там же.

                            

 

(откуда это инфо взято и что здесь неправильно?)

Полное имя                  D:\BREAKING_BAD_SEASON_2\S02E01.AVI
Имя файла                   S02E01.AVI
Тек. статус                 [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
Размер                      467742720 байт
Создан                      02.05.2017 в 13:17:30
Изменен                     02.05.2017 в 13:27:34
Атрибуты                    R/O  
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Доп. информация             на момент обновления списка
CmdLine                     "C:\KMPlayer\KMPlayer.exe" "D:\Breaking_Bad_Season_2\s02e01.avi"
SHA1                        681160D7730E04F7478AA7AEBC215DF49BC125B0
MD5                         6C64339CFC6C1A2898EE0AB490A4A9F4

PC_2017-05-03_15-59-54.7z                            

[PR55.RP55 83]

2 часа назад, santy сказал:

(откуда это инфо взято и что здесь неправильно?)

Из образа - откуда же ещё.

-------

А по поводу неправильности...

С каких пор uVS работает с .avi

или данный формат относиться к исполняем ?

Тогда нужно и: mp3; mp4 и всё прочее в образ добавить.

[demkd 638]

3 часа назад, PR55.RP55 сказал:

С каких пор uVS работает с .avi

В список попадает все что есть в параметрах запуска и все что похоже на файл/ссылку никаких фильтров по расширениям для командной строки никогда не было и не будет.

13 часов назад, PR55.RP55 сказал:

759PTAYMUSGAVLYKC:\WINDOWS\EXPLORER.EXE

Да тут надо будет доп. фильтр наложить.

23 часов назад, santy сказал:

хорошо бы добавить дополнительное поле комментария в таблицу snms, чтобы можно было вносить пометку для какого случая используется данное правило.

Дополнительное они ни к чему, разве что разрешить вводить "Имя" для каждого такого критерия.
...C другой стороны если сработает 40 из 100 таких условий, что все 40 имен выводить? xD

В 02.05.2017 at 10:20 PM, PR55.RP55 сказал:

Чередовать строки ( строка пропуск; строка пропуск )

Кто-то ныл что на формуах есть ограничение на размер, а тут +2 байта на каждую строку, да и нет желания у меня править в 50 местах код ради того чтобы потом услышать, о а теперь в окне редактора в 2 раза меньше строк видно.

[santy 153]

30 минут назад, demkd сказал:

Дополнительное они ни к чему, разве что разрешить вводить "Имя" для каждого такого критерия.
...C другой стороны если сработает 40 из 100 таких условий, что все 40 имен выводить? xD

сейчас выводится только одно условие (которое сработало) с максимальным приоритетом, поэтому и выводиться по идее должно только имя этого условия.

не думаю, что будет необходимость по каждому условию вводить имя, но для определенной группы условий не помешается сделать дополнительную пометку.

---------------

вот скажем сработало условие:

(ССЫЛКА ~ \CURRENTVERSION\RUN\ALCMETER)(1) [auto (0)] из группы критерией shifr.list,

но конкретно определить имя шифратора, который соответствует данному критерию я не могу сейчас.

 

а так бы я мог добавить, что это правило детектирует шифратор XORIST.

------------

 

Цитата

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Alcmeter

C:\DOCUME~1\user\LOCALS~1\Temp\H5v2CkER05dbREw.exe

 

------------------

нет, пожалуй, отзываю это предложение. подумаю как лучше это сделать. (не хочется вообщем, через лишнее поле перескакивать :))

 

[demkd 638]

24 минут назад, santy сказал:

не думаю, что будет необходимость по каждому условию вводить имя, но для определенной группы условий не помешается сделать дополнительную пометку.

Это если просто OR а если там связки из 3-5 AND между "или"? чего выводить?

[santy 153]

19 минут назад, demkd сказал:

Это если просто OR а если там связки из 3-5 AND между "или"? чего выводить?

да, это возможно только для условий с OR

там где связка через AND, там нет такой возможности добавить несколько критериев в одну запись в snms.

в таких случаях одна запись  - один простой или сложный критерий. (а значит и нет необходимости в дополнительном имени для одного условия)

-----------

пожалуй, отзываю это предложение. подумаю как лучше это сделать. (не хочется вобщем, через лишнее поле постоянно перескакивать :))