uVS - Тестирование

[demkd 638]

---------------------------------------------------------
 4.11.9
---------------------------------------------------------
 o Твик #39 теперь дополнительно включает отслеживание командных строк завершенных процессов, командные строки отображаются в окне информации.
   Только для Windows 8.1/Windows Server 2012 R2 и старше.

 o WLBSCTRL.DLL теперь автоматически получает статус подозрительного файла.

 o В окне информации сетевого адаптера (в разделе DNS) теперь отображается поле DHCP Domain при его наличии.

 

[SQx 4]

 Спасибо,  как раз появился новый случай.
 

    DhcpDomain    REG_SZ    domain.name
    DhcpNameServer    REG_SZ    192.168.1.1

 

[SQx 4]

[demkd 638]

---------------------------------------------------------
 4.11.10
---------------------------------------------------------
 o Улучшена функция определения внедренного кода.
   Теперь при обнаружении модифицированного кода в процессе (hollowing/dopelganging и т.п.) выдается предупреждение в лог.

 o Исправлена ошибка обработки кэша задач, задачи с отсутствующим в реестре CLSID не отображались в списке.

 

[demkd 638]

---------------------------------------------------------
 4.11.11
---------------------------------------------------------
 o Добавлена поддержка Windows 11.

Майкрософт поленился сменить версию потому Windows 10 x64 2009 build 22000 = Windows 11.
Добавлена база известных файлов (km110.x64), пополнена база проверенных, startf я не переписывал и скорее всего не буду, он корректно работает и с базой от 10-ки.

[santy 153]

20 часов назад, demkd сказал:

4.11.11
---------------------------------------------------------
 o Добавлена поддержка Windows 11.

удачный выбор версии uVS с поддержкой Windows 11

[demkd 638]

---------------------------------------------------------
 4.11.12
---------------------------------------------------------
 o В обработчик BITS добавлен разбор командной строки нотификации. (BITS v1.5+)

 o Добавлено автоматическое определение NTFS линков.

 

[PR55.RP55 83]

Полное имя                  Z:\WINDOWS\PROCEXP64.EXE
Имя файла                   PROCEXP64.EXE
Тек. статус                 АКТИВНЫЙ ПРОВЕРЕННЫЙ в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ПРОВЕРЕННЫЙ в автозапуске
Процесс                     64-х битный
File_Id                     611B18E1197000
Linker                      14.29
Размер                      1509768 байт
Создан                      23.10.2021 в 19:53:18
Изменен                     18.08.2021 в 17:30:20
                            
TimeStamp                   17.08.2021 в 02:03:13
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Microsoft Corporation
                            
Оригинальное имя            Procexp.exe
Версия файла                16.43
Описание                    Sysinternals Process Explorer
Производитель               Sysinternals - www.sysinternals.com
                            
Доп. информация             на момент обновления списка
pid = 5152                  DESKTOP-CTVF6Q6\UserName
CmdLine                     "Z:\WINDOWS\PROCEXP64.EXE" "Z:\WINDOWS\SYSTEM32\TASKMGR.EXE"
Процесс создан              16:27:45 [2021.10.24]
С момента создания          00:00:24
CPU                         11,14%
CPU (1 core)                44,55%
parentid = 4856             Z:\WINDOWS\EXPLORER.EXE
SHA1                        D3DC46078A137F17C50887FF6F17BE40DAB20626
MD5                         29DA4E6B4B4325651FD4E1A87D333B22
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\Debugger
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\Debugger
Prefetcher                  Z:\WINDOWS\Prefetch\Layout.ini
                            
и т.д

-------

И где информация в лог ?

Где изменение статуса на подозрительный...

Загрузка процессора под 56%

[santy 153]

6 часов назад, PR55.RP55 сказал:

И где информация в лог ?

Где изменение статуса на подозрительный...

Загрузка процессора под 56%

ссылка на образ где?

[demkd 638]

7 часов назад, PR55.RP55 сказал:

И где информация в лог ?

В логе и есть, пролистай его посмотри. А статус сбрасывается на проверенный по очевидным причинам

 

[PR55.RP55 83]

Лог смотрел вчера, смотрел сегодня, искал по поиску.

Не вижу...

* Нужно отдельную колонку добавить - по всем активным процессам.

Тогда всё будет видно.

А просто 50 или 150 обьектов кидать в Подозрительные и потом рыться и искать в Инфо.

это не дело.

Образ: https://forum.esetnod32.ru/bitrix/components/bitrix/forum.interface/show_file.php?fid=120561&action=download

[santy 153]

у меня данный процесс со статусом ?ВИРУС?

за счет действия критерия.

(ССЫЛКА ~ \IMAGE FILE EXECUTION OPTIONS\)(1)   OR   (ССЫЛКА ~ .EXE\DEBUGGER)(1) [auto (0)]

АКТИВНЫЙ ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске

+

образ лучше переделать актуальной версией uVS (4.11.12), тем более, в 4.11.11 добавлена поддержка для Windows 11

uVS v4.11.10 [http://dsrt.dyndns.org:8888]: Windows 10 Pro 2009 x64 (NT v10.0 SP0) build 22000  [Z:\WINDOWS]

[santy 153]

кстати вопрос: будут ли разделяться файлы в STORE для windows10 и windows11?

[demkd 638]

56 минут назад, PR55.RP55 сказал:

Лог смотрел вчера, смотрел сегодня, искал по поиску.

Не вижу...

А нет все правильно, сейчас допустимая нагрузка 60% в пересчете на одно ядра, все что ниже приводит к массе ложных предупреждений.
CPU (1 core)                44,55%

 

[PR55.RP55 83]

Одно ясно - если нет соответствующего критерия оператор информацию не найдёт...

Наряду со: Статусом; Производителем - добавить колонки: gpu ; cpu и всё будет видно.

Можно в отдельную категорию.

А так в Подозрительных и Вирусах - всё подряд... И то, что uVS туда добавил, и всё по критериям.

кто там будет по всем: Инфо. искать ?

 

[santy 153]

[PR55.RP55 83]

santy

Я фото - не вижу.

Но я говорю о работе с Образом ... 

 

[santy 153]

один экран уже есть по Alt+D из активного режима.

[demkd 638]

4 часа назад, santy сказал:

кстати вопрос: будут ли разделяться файлы в STORE для windows10 и windows11?

будет, хотя конечно толку от store уже нет, windows и сам справляется с проблемой отсутствующих или поврежденных файлов

[PR55.RP55 83]

Невозможно добавить файлы каталога в Zoo ( при работе с образом ) если файл отсутствует.

Пример:

Полное имя                  C:\WINDOWS\REGPOLICY\ATICONTO.EXE
Имя файла                   ATICONTO.EXE
Тек. статус                 в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Run\aticonto
aticonto                    C:\Windows\RegPolicy\aticonto.exe
-------

т.е. в каталоге есть файлы;  нужно получить их копию.

но из контекстного меню невозможно отдать команду:  dirzoo %SystemRoot%\REGPOLICY

т.е. отдать то можно - но сама команда в скрипт не прописывается...

https://forum.esetnod32.ru/forum3/topic16634/

----------

+

Стоит автоматически добавлять все исполняемые файлы: C:\WINDOWS\REGPOLICY\

в список.

 

[demkd 638]

Релиз.

---------------------------------------------------------
 4.12
---------------------------------------------------------
 o Исправлена ошибка с курсором мыши при проверке списка по базе проверенных.

 o Добавлена поддержка STORE для Windows 11.

 o В STORE добавлены файлы для Windows 11.

 

[demkd 638]

В последнее время количество зловредов, использующих внедрение потоков в системные файлы или модификацию их кода при запуске заметно выросло, потому фаервол стал просто необходим.
Но тут есть проблема, которая лично меня заставила написать отдельную утилиту.
Писатели фаеров обычно мало уделяют времени эргономике их продуктов и почти всегда плюют на безопасность и просто выпускают системные приложения типа svchost по умолчанию в сеть.
А попытка контролировать все соединения svchost довольно тяжела для нервов пользователя из-за большого количества ip адресов к которым он цепляется, причем адреса меняются достаточно часто.
И вот мои нервы не выдержали и я сделал DNSLog, скачать можно у меня на сайте, в readme подробности.
А делает оно простую вещь логирует обращение к DNS и управляет разрешениями Comodo Firewall превращая его в что-то более-менее эргономичное, где доступ в сеть для приложений регулируется автоматически на базе доменных имен, а не IP адресов, все довольно просто и работает пока идеально.
Работает оно не так как в uVS т.е. логи системные включать не нужно, ну и управление comodо... впрочем понятно что такого в принципе быть не должно с продуктом отвечающим за безопасность, но оно есть.

[PR55.RP55 83]

demkd

Возможно интересный лог.

(!) Не удалось получить доступ к ***

Установлен: RAV Antivirus

Доступ буквально ко всему блокирует... ( Чудо антивирус )

https://www.tehnari.ru/f35/t272788/

 

[Vvvyg 12]

С антивирусом бодаться себе дороже.

[Vvvyg 12]

demkd А утилита сравнения, похоже не работает на образах 4.12.

CmpImg v1.02 Copyright(c) 2011-17 D.Kuznetzoff [demkd@mail.ru]
http://dsrt.dyndns.org

Loading OLD image: LAPTOP-4M6E9OJH_2022-03-30_17-52-29_v4.12.TXT
Loading NEW image: LAPTOP-4M6E9OJH_2022-04-01_13-28-42_v4.12.TXT

И всё (