uVS - Тестирование

[demkd 638]

9 часов назад, PR55.RP55 сказал:

Я это к тому пишу, что потребуется выявлять и восстанавливать повреждённые записи.

В данном случае поможет только откат ресстра на момент до заражения или выборочное восстановление веток по сохраненной копии и то и другое есть в uVS, вопрос только в наличии копии.

[PR55.RP55 83]

Demkd

Меня один момент смущает:

 

Полное имя                  C:\WINDOWS\SYSWOW64\LSM.EXE
Имя файла                   LSM.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Не_типичен для этого файла [имя этого файла есть в известных]
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{f3b975e7-e068-4f66-81ef-b23e0a0e64c9}\ApplicationIdentity
ApplicationIdentity         lsm.exe

-----------

Такие записи стали встречаться почти в каждом образе - а раньше не было.

2) Отвалилась проверка: DNS  на https://www.nic.ru

изменили алгоритм работы...
                            

[alamor 69]

В 2 апреля 2018 г. at 1:54 PM, PR55.RP55 сказал:

Полное имя                  C:\WINDOWS\SYSWOW64\LSM.EXE

Инф. о файле                Не удается найти указанный файл.

В 2 апреля 2018 г. at 1:54 PM, PR55.RP55 сказал:

 

uVS со многими файлами так выводит, в том числе и с системными, давно уже заметил. Тут файл лежит в system32, а uVS его ищет и в ней и с редиректом в syswow64 (где он никогда и не лежал и не должен лежать). Не находит его и выводит в лог как отсутствующий, хотя по факту никаких отклонений в системе нет.

 

 

[demkd 638]

9 часов назад, alamor сказал:

В 02.04.2018 at 3:54 PM, PR55.RP55 сказал:

 

uVS со многими файлами так выводит, в том числе и с системными, давно уже заметил. Тут файл лежит в system32, а uVS его ищет и в ней и с редиректом в syswow64

обычно это просто мусор которого в реестре windows море, если ссылка лежит в 32-х битной ветке реестра то путь до файла обязательно попадает под редирект.
 

В 02.04.2018 at 3:54 PM, PR55.RP55 сказал:

2) Отвалилась проверка: DNS  на https://www.nic.ru

посмотрю

[demkd 638]

---------------------------------------------------------
 4.0.11
---------------------------------------------------------
 o Восстановлена работа с сервисом whois на nic.ru

 o Добавлен твик #38 - Очистить список DisallowedCertificates

 o Исправлена функция парсинга параметра browser.startup.homepage в perfs.js (Firefox).

 

[santy 153]

demkd,

а что означает это сообщение?

Splicing m3 detected: RegReplaceKeyW

[demkd 638]

15 минут назад, santy сказал:

Splicing m3 detected: RegReplaceKeyW

это случай когда регион памяти где находится тело функции RegReplaceKeyW очень маленький, чего в обычном случае быть не должно, сигнатуры в этом случае не сличаются,  но это косвенный признак перехвата функций, лично я ниразу не видел такого, но предупреждение таки вписал на этот случай.

[PR55.RP55 83]

Demkd
           

Полное имя                  F:\USERS\BUH\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1TASKMGR.EXE
Имя файла                   1TASKMGR.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
File_Id                     58B8AF7219000
Linker                      10.0
Размер                      94720 байт
Создан                      08.04.2018 в 17:59:22
Изменен                     08.04.2018 в 17:59:22
                            
TimeStamp                   02.03.2017 в 23:49:06
EntryPoint                  +
OS Version                  5.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                            
Доп. информация             на момент обновления списка
SHA1                        45C6CEF1932EDBAF0EFDE7B11AFF3E646BC53B1C
MD5                         3962C9DDCF0365945724BDC98CE89717
 ---------------

Это, как ?

Образ: http://rgho.st/7SZRdxQRw 

                 

[demkd 638]

2 часа назад, PR55.RP55 сказал:

Статус                      ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]

скорее всего он скрыт от просмотра через листинг каталога, но не скрыт по прямому доступу, а путь выловился через кэш, потому нет статуса "в автозапуске".

[PR55.RP55 83]

Цитата

Demkd пишет:     скорее всего он скрыт от просмотра через листинг каталога, но не скрыт по прямому доступу,  

А в случае с:  hosts*  или иными схожими системными файлами, что будет ?

[demkd 638]

17 минут назад, PR55.RP55 сказал:

А в случае с:  hosts*  или иными схожими системными файлами, что будет ?

скрытые от листинга системные файлы? это что-то новое   а hosts всегда читается.

[PR55.RP55 83]

 

По крайне мере некоторые устаревшие версии файла способны запускать любые соответствующие файлы\библиотеки

Так например легальный\подлинный файл: GOOGLEUPDATE.EXE  прописывается в автозапуск.

В каталог с файлом GOOGLEUPDATE.EXE помещается файл:  GOOPDATE.DLL

Файл:  GOOPDATE.DLL  не имеет подписи - или подписан левым сертификатом и может иметь статус скрытый\системный и т.д.

Таким образом файл GOOPDATE.DLL в автозапуске...

А вот в логах его в автозапуске не будет.

----------

Нужно доработать uVS и считать все файлы: GOOGLEUPDATE.EXE  +++

как находящиеся в автозапуске.

Тем более, что случай исключительный.

 

 

[santy 153]

9 часов назад, PR55.RP55 сказал:

В каталог с файлом GOOGLEUPDATE.EXE помещается файл:  GOOPDATE.DLL

Файл:  GOOPDATE.DLL  не имеет подписи - или подписан левым сертификатом и может иметь статус скрытый\системный и т.д.

Таким образом файл GOOPDATE.DLL в автозапуске...

А вот в логах его в автозапуске не будет.

 

 

 

RP55,

смысл добавления для dll статуса "в автозапуске"?

данный dll запускается только в том случае, если запущен исходный exe

в образ автозапуска этот файл попадает, в списке загружаемых dll он есть,

C:\USERS\POWER\APPDATA\ROAMING\GOOGLEUPDATE.DLL

файл проверен при создании образа автозапуска и помечен как "НЕИЗВЕСТНЫЙ".

В итоге Uvs присваивает ему статус:

АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL

по этому статусу можно добавить критерий, чтобы подобные файлики попадали в отсек "ВИРУСЫ и подозрительные" для последующего анализа.

(СТАТУС ~ АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL )(1) [auto (0)]

 

[PR55.RP55 83]

Demkd

https://www.comss.ru/page.php?id=4839

Нужно бы добавить выявление Криптомайнеров в браузерах.

+

Для всех процессов  рассчитывать\фиксировать  потребление ресурсов. Что позволит не только эффективнее бороться с майнерами но и выявлять проблемные приложения.

[PR55.RP55 83]

Demkd

Сейчас хотел составить критерии для: Установленные программы.

С той целью чтобы из списка автоматически скрывались известные программы.

Но это не работает.

А, как было бы удобно - составил список и в перечне остались только НЕ известные программы.

[demkd 638]

В 16.05.2018 at 12:57 PM, PR55.RP55 сказал:

, как было бы удобно - составил список и в перечне остались только НЕ известные программы.

А кто их знает известные они или нет, имя можно любое написать, как и подкинуть валидный дезинсталятор в каталог.

---------------------------------------------------------
 4.0.12
---------------------------------------------------------
 o Добавлена поддержка защищенных системных процессов (для Vista+)
   Добавлен новый статус "защищенный".

 o Исправлена ошибка обработки имен файлов с ведущим пробелом.

[PR55.RP55 83]

Цитата

Demkd пишет:   А кто их знает известные они или нет, имя можно любое написать, как и подкинуть валидный дезинсталятор в каталог.    

Лучше иметь такую информацию, чем её не иметь. Тем более при работе с образом - когда нет доступа к файлам.

+

Время отведённое на анализ всегда ограничено и весь анализ _списка программ основывается на критерии - Известен: ДА \ НЕТ

+

Файлы программы не ограничиваются одним дезинсталятор-ом,  проанализированы будут и другие файлы.

Кроме того, если дезинсталятор подписан левой ЭЦП ( по критерию поиска ) - это должно влиять на Статус программы в списке и на процесс автоматизации.

В любом случае решение должно быть за оператором - как ему работать и не стоит его искусственно ограничивать - чем больше у оператора возможностей - тем лучше.

 

 

[alamor 69]

@demkd, просьба добавить обработку и вывод в образ списка поисковых систем из файла \CHROME\USER DATA\Default\Web Data

Файл никак не пошифрован. Надо сделать чтение и удаление (если оператором будет отдана команда на удаление) соответствующей поисковой системы из этого файла.
 

[akoK 75]

Почтовики в последнее время начали успешно блокировать карантины UVS находя в них потенциально вредоносное содержимое. Можно что-то сделать (например сменить пароль)?

 

 552-5.7.0 This message was blocked because its content presents a potential
    552-5.7.0 security issue. Please visit 552-5.7.0

[demkd 638]

43 минут назад, akoK сказал:

Можно что-то сделать (например сменить пароль)?

можно в принципе сделать настройку, добавлю

[santy 153]

demkd

возможно ли создавать архив 7z из командной строки с шифрованием заголовков файлов?

[alamor 69]

7 часов назад, demkd сказал:

можно в принципе сделать настройку, добавлю

а что там делать? Она, в принципе, давно есть. Параметр ArchiveZoo только разве смена пароля поможет?

[akoK 75]

Ограничения: https://support.google.com/mail/answer/6590

Отредактировал Июнь 20, 2018 akoK
Бред написал

[demkd 638]

11 часов назад, santy сказал:

возможно ли создавать архив 7z из командной строки с шифрованием заголовков файлов?

Добавить -mhe ключ в параметр ArchiveZoo и все

8 часов назад, alamor сказал:

а что там делать? Она, в принципе, давно есть. Параметр ArchiveZoo только разве смена пароля поможет?

А вообще да, там же пароль указывается, я уже и забыл, можно вместе с -mhe попробовать, вполне возможно не нравятся имена файлов в архиве.
Ну а в случае гуглмейла ничего не поможет, он не предназначен для передачи шифрованных архивов, тем не менее им почему-то пользуются до сих пор

[Dragokas 2]

Не проверял, как сейчас. Раньше, архивы с зашифрованными именами файлов gmail сразу блокировал, так что я бы не назвал это вариантом.

Для начала, определить источник, откуда и куда вы отправляете?

Вот только что отправил письмо с yandex.ru на gmail.com, файл ZOO_, дефолт. пароль, внутри:

ONENOTE 2016.LNK._22299B8A955CED97CD8E815D85990295F3A6D838.txt

ONENOTE 2016.LNK._22299B8A955CED97CD8E815D85990295F3A6D838

Всё нормально дошло.