demkd

uVS - Тестирование

В этой теме 532 сообщений

9 часов назад, PR55.RP55 сказал:

Я это к тому пишу, что потребуется выявлять и восстанавливать повреждённые записи.

В данном случае поможет только откат ресстра на момент до заражения или выборочное восстановление веток по сохраненной копии и то и другое есть в uVS, вопрос только в наличии копии.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Demkd

Меня один момент смущает:

 

Полное имя                  C:\WINDOWS\SYSWOW64\LSM.EXE
Имя файла                   LSM.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Не_типичен для этого файла [имя этого файла есть в известных]
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{f3b975e7-e068-4f66-81ef-b23e0a0e64c9}\ApplicationIdentity
ApplicationIdentity         lsm.exe

-----------

Такие записи стали встречаться почти в каждом образе - а раньше не было.

2) Отвалилась проверка: DNS  на https://www.nic.ru

изменили алгоритм работы...
                            

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
В 2 апреля 2018 г. at 1:54 PM, PR55.RP55 сказал:

Полное имя                  C:\WINDOWS\SYSWOW64\LSM.EXE

Инф. о файле                Не удается найти указанный файл.

В 2 апреля 2018 г. at 1:54 PM, PR55.RP55 сказал:

 

uVS со многими файлами так выводит, в том числе и с системными, давно уже заметил. Тут файл лежит в system32, а uVS его ищет и в ней и с редиректом в syswow64 (где он никогда и не лежал и не должен лежать). Не находит его и выводит в лог как отсутствующий, хотя по факту никаких отклонений в системе нет.

 



 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
9 часов назад, alamor сказал:
В 02.04.2018 at 3:54 PM, PR55.RP55 сказал:
 

uVS со многими файлами так выводит, в том числе и с системными, давно уже заметил. Тут файл лежит в system32, а uVS его ищет и в ней и с редиректом в syswow64

обычно это просто мусор которого в реестре windows море, если ссылка лежит в 32-х битной ветке реестра то путь до файла обязательно попадает под редирект.
 

В 02.04.2018 at 3:54 PM, PR55.RP55 сказал:

2) Отвалилась проверка: DNS  на https://www.nic.ru

посмотрю

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

---------------------------------------------------------
 4.0.11
---------------------------------------------------------
 o Восстановлена работа с сервисом whois на nic.ru

 o Добавлен твик #38 - Очистить список DisallowedCertificates

 o Исправлена функция парсинга параметра browser.startup.homepage в perfs.js (Firefox).

 

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

demkd,

а что означает это сообщение?

Splicing m3 detected: RegReplaceKeyW

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
15 минут назад, santy сказал:

Splicing m3 detected: RegReplaceKeyW

это случай когда регион памяти где находится тело функции RegReplaceKeyW очень маленький, чего в обычном случае быть не должно, сигнатуры в этом случае не сличаются,  но это косвенный признак перехвата функций, лично я ниразу не видел такого, но предупреждение таки вписал на этот случай.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Demkd
           

Полное имя                  F:\USERS\BUH\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1TASKMGR.EXE
Имя файла                   1TASKMGR.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
File_Id                     58B8AF7219000
Linker                      10.0
Размер                      94720 байт
Создан                      08.04.2018 в 17:59:22
Изменен                     08.04.2018 в 17:59:22
                            
TimeStamp                   02.03.2017 в 23:49:06
EntryPoint                  +
OS Version                  5.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                            
Доп. информация             на момент обновления списка
SHA1                        45C6CEF1932EDBAF0EFDE7B11AFF3E646BC53B1C
MD5                         3962C9DDCF0365945724BDC98CE89717
 ---------------

Это, как ?

Образ: http://rgho.st/7SZRdxQRw 

                 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
2 часа назад, PR55.RP55 сказал:

Статус                      ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]

скорее всего он скрыт от просмотра через листинг каталога, но не скрыт по прямому доступу, а путь выловился через кэш, потому нет статуса "в автозапуске".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Цитата

Demkd пишет:     скорее всего он скрыт от просмотра через листинг каталога, но не скрыт по прямому доступу,  

А в случае с:  hosts*  или иными схожими системными файлами, что будет ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
17 минут назад, PR55.RP55 сказал:

А в случае с:  hosts*  или иными схожими системными файлами, что будет ?

скрытые от листинга системные файлы? это что-то новое :D  а hosts всегда читается.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

 

По крайне мере некоторые устаревшие версии файла способны запускать любые соответствующие файлы\библиотеки

Так например легальный\подлинный файл: GOOGLEUPDATE.EXE  прописывается в автозапуск.

В каталог с файлом GOOGLEUPDATE.EXE помещается файл:  GOOPDATE.DLL

Файл:  GOOPDATE.DLL  не имеет подписи - или подписан левым сертификатом и может иметь статус скрытый\системный и т.д.

Таким образом файл GOOPDATE.DLL в автозапуске...

А вот в логах его в автозапуске не будет.

----------

Нужно доработать uVS и считать все файлы: GOOGLEUPDATE.EXE  +++

как находящиеся в автозапуске.

Тем более, что случай исключительный.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
9 часов назад, PR55.RP55 сказал:

В каталог с файлом GOOGLEUPDATE.EXE помещается файл:  GOOPDATE.DLL

Файл:  GOOPDATE.DLL  не имеет подписи - или подписан левым сертификатом и может иметь статус скрытый\системный и т.д.

Таким образом файл GOOPDATE.DLL в автозапуске...

А вот в логах его в автозапуске не будет.

 

 

 

RP55,

смысл добавления для dll статуса "в автозапуске"?

данный dll запускается только в том случае, если запущен исходный exe

в образ автозапуска этот файл попадает, в списке загружаемых dll он есть,

C:\USERS\POWER\APPDATA\ROAMING\GOOGLEUPDATE.DLL

файл проверен при создании образа автозапуска и помечен как "НЕИЗВЕСТНЫЙ".

В итоге Uvs присваивает ему статус:

АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL

по этому статусу можно добавить критерий, чтобы подобные файлики попадали в отсек "ВИРУСЫ и подозрительные" для последующего анализа.

(СТАТУС ~ АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ DLL )(1) [auto (0)]

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Demkd

https://www.comss.ru/page.php?id=4839

Нужно бы добавить выявление Криптомайнеров в браузерах.

+

Для всех процессов  рассчитывать\фиксировать  потребление ресурсов. Что позволит не только эффективнее бороться с майнерами но и выявлять проблемные приложения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Demkd

Сейчас хотел составить критерии для: Установленные программы.

С той целью чтобы из списка автоматически скрывались известные программы.

Но это не работает.

А, как было бы удобно - составил список и в перечне остались только НЕ известные программы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
В 16.05.2018 at 12:57 PM, PR55.RP55 сказал:

, как было бы удобно - составил список и в перечне остались только НЕ известные программы.

А кто их знает известные они или нет, имя можно любое написать, как и подкинуть валидный дезинсталятор в каталог.

---------------------------------------------------------
 4.0.12
---------------------------------------------------------
 o Добавлена поддержка защищенных системных процессов (для Vista+)
   Добавлен новый статус "защищенный".

 o Исправлена ошибка обработки имен файлов с ведущим пробелом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Цитата

Demkd пишет:   А кто их знает известные они или нет, имя можно любое написать, как и подкинуть валидный дезинсталятор в каталог.    

Лучше иметь такую информацию, чем её не иметь. Тем более при работе с образом - когда нет доступа к файлам.

+

Время отведённое на анализ всегда ограничено и весь анализ _списка программ основывается на критерии - Известен: ДА \ НЕТ

+

Файлы программы не ограничиваются одним дезинсталятор-ом,  проанализированы будут и другие файлы.

Кроме того, если дезинсталятор подписан левой ЭЦП ( по критерию поиска ) - это должно влиять на Статус программы в списке и на процесс автоматизации.

В любом случае решение должно быть за оператором - как ему работать и не стоит его искусственно ограничивать - чем больше у оператора возможностей - тем лучше.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

@demkd, просьба добавить обработку и вывод в образ списка поисковых систем из файла \CHROME\USER DATA\Default\Web Data

Файл никак не пошифрован. Надо сделать чтение и удаление (если оператором будет отдана команда на удаление) соответствующей поисковой системы из этого файла.
 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Почтовики в последнее время начали успешно блокировать карантины UVS находя в них потенциально вредоносное содержимое. Можно что-то сделать (например сменить пароль)?

 

 552-5.7.0 This message was blocked because its content presents a potential
    552-5.7.0 security issue. Please visit 552-5.7.0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
43 минут назад, akoK сказал:

Можно что-то сделать (например сменить пароль)?

можно в принципе сделать настройку, добавлю

  • Like 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

demkd

возможно ли создавать архив 7z из командной строки с шифрованием заголовков файлов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
7 часов назад, demkd сказал:

можно в принципе сделать настройку, добавлю

а что там делать? Она, в принципе, давно есть. Параметр ArchiveZoo только разве смена пароля поможет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
11 часов назад, santy сказал:

возможно ли создавать архив 7z из командной строки с шифрованием заголовков файлов?

Добавить -mhe ключ в параметр ArchiveZoo и все

8 часов назад, alamor сказал:

а что там делать? Она, в принципе, давно есть. Параметр ArchiveZoo только разве смена пароля поможет?

А вообще да, там же пароль указывается, я уже и забыл, можно вместе с -mhe попробовать, вполне возможно не нравятся имена файлов в архиве.
Ну а в случае гуглмейла ничего не поможет, он не предназначен для передачи шифрованных архивов, тем не менее им почему-то пользуются до сих пор :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Не проверял, как сейчас. Раньше, архивы с зашифрованными именами файлов gmail сразу блокировал, так что я бы не назвал это вариантом.

Для начала, определить источник, откуда и куда вы отправляете?

Вот только что отправил письмо с yandex.ru на gmail.com, файл ZOO_, дефолт. пароль, внутри:

ONENOTE 2016.LNK._22299B8A955CED97CD8E815D85990295F3A6D838.txt

ONENOTE 2016.LNK._22299B8A955CED97CD8E815D85990295F3A6D838

Всё нормально дошло.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • San
      Я вот сейчас тоже столкнулся с подобной проблемой. Кредит к сожалению, давать мне почему-то отказываются. Поэтому для себя лично я решил, что лучше будет взять деньги под залог автомобиля, потому как в худшем случае, я потеряю только свое транспортное средство, а не квартиру или что-то еще более важное. Нашел неплохие условия в Москве на сайте https://lombard-capital.ru/uslugi/dengi-pod-zalog-avto/ .  Кто-нибудь пользовался их услугами?
       
    • Harlison
      Кстати по сути вы говорите про те же материалы, из которых делают балконы разные, как тут под ключ кстати по адекватной цене https://salamander.com.ua/production/osteklenie-lodzhij-i-balkonov/balkon-pod-klyuch/ . В итоге суть в чём, можете попробовать с ними связать напрямую и предложить быть спонсорами такой то идеи, для создания удобства граждан. Или через горсовет и сразу предлагать, где можно их сделать, чтобы те всё оплатили.
      Если взялись, так делайте!
    • Viktorr
      Потому что для безопасности компьютеров, мало одних лишь антивирусов, нужно применять и другие способы защиты. В сети вообще-то немало данных по этой теме, к примеру вот здесь можете ознакомиться с подробной информацией, как проводить тестирование на проникновение, для обеспечения информационной безопасности  https://codeby.net/kniga-testirovanie-na-proniknovenie-s-kali-linux-2-0-na-russkom-jazyke/ . Там полностью на русском языке изложено, как проводить анализ уязвимостей в веб-приложениях, делать стресс-тесты сети и т.д. Так что внимательно изучите данную информацию, и делайте выводы, что нужно предпринять, чтобы надежно защитить свой компьютер.
    • demkd
      А причем тут разрабы, формат известен, проблема во времени необходимом на интеграцию sql в uVS и само совместимостью такого комбайна с PE, со временем вопрос решится буду смотреть.
    • PR55.RP55
      + Donkey CORP
      technologierutherford.com
      PC Accelerate Sales Inc
      technologieboussac.com
      RS INTERNET PAZARLAMA A S