Future Changes to EAV-ESS 3.0 - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Sticky

Мне кажется, задача #2 у портала - это участие в разработке АВ. Посему предлагаю вам это участие.

Скоро выйдут новые сборки EAV, ESS. Каждый из участников портала может принять участие в разработке этого Продукта. Ваши знания и опыт помогут сделать его лидером на рынке АВ. Лучшим Продуктов в своем роде.

Future Changes to EAV 3.0

Future Changes to ESS 3.0

Вот уже утверждённый список изменений по ЕAV.

1. Provide "Pause" and "Stop" items on the ESET system tray icon pop up to allow users to pause or stop scans (including scheduled scans). It would also be helpful is the system tray icon changed colour or shape when a scan is running. The problem with using "balloons" to display messages it that users do not see the messages if they are away from the PC.

2. Provide a facility to automatically display on the screen (not a balloon) and/or email the results of a scheduled scan when it completes.

3. Provide "Disable" and "Exit" items on the ESET system tray icon pop up to allow users to temporarily disable all ESET functionality or exit ESET completely.

4. Make EAV 3.0 useable via Windows Scheduled Tasks, where other users may frequently group their tasks.

5. Add a HIPs module.

6. Expand the scope of information captured by Ctrl-C in some dialogs - see post number 7.

7. The ability to skip scheduled scans if a laptop is running on battery power at the time. Some defrag programs offer this functionality.

8. Integrate command line inside EAV and ESS like option scan for easy access

9. Bootscan as option (it demands restarting pc similar the Avast)

10. Elapsed and Estimated time scan pc

11. Add option web protection site advisory (icon green, yellow, red and "?" )

12. Web browser image Access denied "after" and "before".

13. Better User-centric settings control for the GUI. Things like splash screen toggle, etc.

14. More granular control of the password protection for different parts of the program (i.e. Quarantine protection having a different password than other sections).

15. Configurable scheduled scan 'snooze' button, with forced scan completion after X snoozes of Y minutes.

16. Add an option of automatic response when a possible threat is submitted you have actually received it ... an automatic reply you have received the ~threat , no matter if you are going to add it.

17. Active Process Scanning

18. As mentioned above, better self protection (right now, I can kill the process with an application I built in vb. This shouldn't be so easy.)

19. Configurable archive scanning depth

20. Better integration with Mozilla Thunderbird (like it was in 2.7)

21. The ability to make the list of blocked addresses configurable per user so that certain URLs are only blocked for certain users.

22. Add a setting to the proxy filter for programs so users can set auto or manual adding setting so advance users don't get a list full of programs that don't belong in there.

23. Add the non GUI option as some don't need a pretty GUI for AV.

24. Downloading Progress Bar

Мне кажется, что из "20. Better integration with Mozilla Thunderbird" в итоге получится что-то вроде "Почта Windows".

ЕAV (качество скриншотов оставляет желать лучшего)

f4281985c2a035d9be9ef6e5447a621b.jpg

87d1353a846ea56e4b23e286a9bab512.jpg

da72ca7dd3a708533c1b624addd38e0b.jpg

P.S. Жаль, что портал не принимает участия в разработке Kaspersky 8.0. Видимо, придется брать инициативу в свои руки.

Русский язык велик тем,што можно точно передать-сформулировать-донести свои бредовые мысли,даже с ошибками поэтому:исход текст

Дело в том,што мне кажется(может я заблуждаюсь), но задача номер 2 у "anti-malware.ru" должна быть: Участие в разработке AV на самом серьёзном уровне!

Вот и хочу предложить вам поучаствовать,темболее эта тема вами както незамечаеться!

Очень скоро выйдет новая-модернизированная сборка EAV,ESS.(поэтому надо поторопиться!)

Вот поэтому мне очень хочится штоб "anti-malware.ru,а также все учасники принели участие в этом добром деле,приложив свою активность и накопленый опыт!

Почему бы вам непротестировать последнию сборку 3.0.642.0 на 4 пладформах Windosw XP SP2 64 bit и 32 bit,

и 3-4 пладформа Windows Vista 64bit и 32bit и неподелиться своими идеями,соображениями,опытом,как не вам лудьше знать каких технологии нехватает напремер лечения,борьбы с активным заражением,обноружением активного Rotkin(и прочие и прочие!),и уже утверждённых списков изменений,как не вам загленуть в будушие события развития малваре, ведь у вас накоплен колосальный опыт!

ссылка 1,2

Вот уже утверждённый список изменений по ЕAV.

1.- 24.

---------------------------------------------------------------------------------------------------------------------------

Мне кажеться (20. Better integration with Mozilla Thunderbird ),будит выглядит премерно как щас на "Почта виндовс"

ЕAV (качество скриншотов неочень)

рис 1,2,3

P.S. Мне кажеться странным што "anti-malware.ru" непринемает оффицыального участия в разработке Kaspersky 8,а я очень жду этого! И надеюсь што "anti-malware.ru" возьмет инцыативу в свои руки! :blink:

Отредактировал Sticky
перевел на русский язык
  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Chaman

Sticky

То ли ты иностранный студент, то ли совсем безграмотен.

Пользуйся word-ом, openoffice-ом, или уж FireFox - есть встроенная проверка орфографии.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

виталя, иди спи уже,а

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Sticky (Виталий) ну зачем же ты каждый раз с нового ника пишешь, ведь твой стиль очень легко узнаваем (я читал твоё сообщение еще в неотредактированном варианте).

Кстати лучше бы ты написал уже что-то интересное, например, что 28го февраля выйдут наконец официальные русскоязычные версии EAV и ESS 3.x (не прошло и четырех месяцев с релиза английское версии :rolleyes: ) . Вот это интересная новость.

Кстати Виталя ты не знаешь какую конкретно версию EAV/ESS 3.xxx русcифицировали? 642ю, в которой часть ошибок исправили, или какую-то предыдущую?

А вообще в принципе интересно как и где идет процесс руссификации продуктов у Eset? Т.е. вновь выходящие сборки 6xx как быстро будут руссифицироваться и вывешиваться на российском сайте?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Fil

Кстати откуда узнали, что запуск EAV/ESS 3.0 будет именно 28 февраля? Я половину инета облазил и нигде не мог найти информацию об этом. :blink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

связи

я могу немного с датой ошибиться, но на следующей неделе точно будет

однакож вопрос какая сборка будет и как и где их руссифицируют мне так и не удалось прояснить

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Сообщение отредактировал Sticky - Вчера, 9:47

Причина редактирования: перевел на русский язык

О как! А это классно придумано: после моего перевода сделать мелкое изменение.

Виталя, когды ты действительно так будешь писать сам, я попрошу снять с меня полномочия Модератора. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Fil

Российский сайт ESET'а сегодня действительно оживился. Может быть ночью уже будут доступны новые версии :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      Несколько не по теме. Но для владельцев сайтов актуально... https://www.comss.ru/page.php?id=20880
    • santy
      RP55, По п.10 уже есть реализация: в 5.04 o Переменные окружения всех пользователей с некорректным содержимым теперь добавляются
         в список как подозрительные объекты со статусом "ПЕРЕМЕННАЯ".
         Удаление такого объекта приведет к удалению переменной пользователя или 
         к восстановлению значения по умолчанию если это системная переменная.   по п. 8, для задач в uVS публикуется командная строка, но то что стали модифицировать известные задачи, это да, теперь придется за всеми задачами следить по п.7 В uVS есть указание на то что известный файл размещен по нестандартному пути, по идее тоже должно попасть в подозрительные. по п.6 Ранее уже сталкивались с подобным зловредом,  здесь, https://chklst.ru/forum/discussion/76/kak-udalit-bekdor-crexv-i-vosstanovit-normalnuyu-rabotu-menyu-pusk-v-xpvistaseven  
    • demkd
      ИИ — полезная штука, но, к сожалению, бесплатные версии, как тот же Google Gemini Flash, тупенькие на уровне 12b моделей, делают колоссальное число ошибок по мелочам. Яблочко от яблони... Мало того, "новое" у них обычно старое с отставанием на год, и это в лучшем случае. Я сейчас как раз занимаюсь новой, уже 3-й версией своего "Клавиатурного помощника". В нём будет поддержка локального ИИ, горячих ИИ-клавиш, голосовых команд, голосового ввода и вспомогательной LLM для переводов, правки текста и т.п. Именно локального ИИ без необходимости обращения в сеть и сопутствующих утечек данных И это не для старого железа — нужно как минимум много памяти и современный процессор, в идеале хотя бы RTX 5060 Ti 16 ГБ в качестве ускорителя. А результат, ну, такой себе. ИИ слишком склонен ошибаться, и доверять ему что-то серьёзное пока не стоит, даже код пишет, который как-то работает, но в нём масса мелких и незаметных ошибок и уязвимостей. 
      Текст исправлен с помощью Google Gemma 4 E4B. 
    • PR55.RP55
      Вы сказали: "Найди все новые ключи которые появились 2026 г. и ранее не использовались... Можешь ?"
      *Да, я могу помочь* составить список новых ключей реестра и путей
      автозагрузки, которые вредоносное ПО использует в текущих кампаниях
      (включая модификации 2026 года), маскируясь под легальные системные
      компоненты. ( скопирую частично) :   * *|HKLM\SOFTWARE\Classes\Protocols\Filter|* и *|\Handler|* — новые
          модификации Adware перехватывают протоколы edge:// или msproedg://
          для подмены поисковой выдачи.   * *|HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|* —
          использование подсистемы WSL для скрытого автозапуска
          Linux-ориентированных рекламных модулей, незаметных для стандартных
          триггеров автозагрузки Windows. Современные зловреды (особенно Adware и майнеры) научились прописываться
      в тихий автозапуск без создания классических ключей |Run| или
      |Services|. Они используют встроенный механизм Windows 10/11 —
      *псевдонимы выполнения приложений*.   * *Суть*: В реестре создается связь в ветке
          |HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths| или через
          механизм |AppXPackage|. Зловред подменяет вызов легальной команды
          (например, при наборе пользователем |notepad| или |calc| в строке
          «Выполнить») и запускает свое тело.
        * *Что добавить в памятку*: Обращать внимание на появление кастомных
          записей в блоке «Псевдонимы приложений» и проверять, куда
          перенаправляются стандартные системные вызовы. 2. Подмена через каталоги |Lxss| (WSL — Windows Subsystem for Linux)
      Это одна из самых опасных современных тенденций, так как многие
      антивирусы до сих пор слабо сканируют Linux-среду внутри Windows.   * *Суть*: Майнеры и стилеры прописывают свой запуск внутри
          дистрибутива WSL (ключ реестра
          |HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|). При старте
          Windows запускается скрытая фоновая сессия WSL, которая активирует
          ELF-бинарник (Linux-вирус). В логах автозапуска Windows это выглядит
          как легальный старт службы |wsl.exe|, но с хитрыми аргументами.
        * *Что добавить в памятку*: Формула «А+В+С»: если |wsl.exe|
          запускается автоматически с флагами |-d| (конкретный дистрибутив)
          или скрытыми bash-скриптами — это 100% повод для изоляции и проверки
          содержимого виртуального диска VHDX. 3. Продвинутый Timestomping с подделкой под апдейты ОС
      Раньше вирусописатели просто копировали даты у соседних файлов
      (|kernel32.dll| и т.д.). Теперь они действуют умнее:   * *Суть*: Дата создания файла выставляется ровно на день/час крупного
          официального обновления Windows (например, подстраиваются под график
          Patch Tuesday от Microsoft). Аналитик смотрит на лог uVS, видит дату
          (например, |14.10.2025|) и думает: «А, ну это тогда накопительный
          апдейт прилетел, файл чистый».
        * *Что добавить в памятку*: Правило проверки контрольных сумм. Не
          верить датам, даже если они идеально совпадают со временем
          системного обновления. Если у файла из папки |System32| с
          «правильной» датой обновления отсутствует валидная ЭЦП (или статус
          |Цифр. подпись: НЕТ|) — это критический триггер. 4. Атаки типа Living off the Land (LotL) через новые системные утилиты
      Вместо использования заезженных |powershell.exe| или |cmd.exe|, которые
      сейчас жестко блокируются любым EDR/антивирусом, малварь перешла на
      легальные, но редкие утилиты Windows (LOLBins).   * *Суть*: Для скачивания и запуска вредоносного кода используются
          системные компоненты:
            o |curl.exe| (теперь встроен в Windows) — для скрытой загрузки
              полезной нагрузки.
            o |tar.exe| — для распаковки зашифрованных архивов со стилерами
              прямо «на лету».
            o |winget.exe| (Windows Package Manager) — для скачивания
              вредоносных утилит из легальных репозиториев.
        * *Что добавить в памятку*: В uVS нужно тщательно анализировать
          параметры запуска командной строки в Планировщике задач (|TASKS|),
          если там фигурируют |curl|, |tar| или |bitsadmin|, качающие что-то с
          внешних IP-адресов. 6. Скрытые модификации через COM-объекты (COM Hijacking без изменения
      файлов)
      Вместо перезаписи файлов в |System32| или создания явных ключей |Run|,
      малварь перехватывает легальные системные интерфейсы через реестр.   * *Суть*: Зловред прописывает путь к своей вредоносной DLL в ветку
          *|HKCU\Software\Classes\CLSID\{GUID}\InprocServer32|*. При этом
          берется GUID легального и часто используемого компонента Windows
          (например, Проводника, контекстного меню или планировщика). Как
          только система или пользователь совершает обычное действие
          (открывает папку, кликает правой кнопкой мыши), Windows
          автоматически подгружает вредоносную DLL.
        * *Что добавить в памятку*: В uVS такие объекты часто попадают в
          категорию «Подозрительные CLSID» или скрытые расширения оболочки.
          Если в ветке |HKCU| (пользовательский уровень) переопределяется
          системный GUID, который по умолчанию должен жить только в |HKLM|
          (уровень системы) — это явный признак перехвата. 7. Спуфинг цифровой подписи через уязвимости каталогов (Catalog Signing
      Spoofing)
      Малварь научилась обходить базовую проверку подписей, из-за чего в логах
      некоторых утилит файл может ошибочно помечаться как «Подписан Microsoft».   * *Суть*: Используются уязвимости в механизме проверки файлов через
          каталоги безопасности Windows (|.cat| файлы). Вредоносный бинарник
          модифицируется таким образом, что его хэш совпадает с хэшем
          легального файла в базе данных каталогов (используются коллизии или
          специфические уязвимости парсинга).
        * *Что добавить в памятку*: Правило двойной проверки. Если файл
          находится в нетипичном месте (например,
          |C:\Users\...\Temp\svchost.exe|), но uVS или ОС рапортует, что у
          него «Валидная подпись Microsoft» — необходимо принудительно
          отправлять хэш файла на VirusTotal через встроенную функцию uVS или
          проверять подпись сторонними утилитами (например, |Sigcheck| от
          Sysinternals) с проверкой отзывов сертификатов. 8. Эксплуатация механизма «Служб доставки обновлений» браузеров
      (Edge/Chrome Maintenance)
      Рекламное ПО (Adware) и кликеры ушли от создания собственных явных служб
      и теперь паразитируют на легальных планировщиках браузеров.   * *Суть*: Вредоносный скрипт не создает новую задачу в Планировщике.
          Вместо этого он модифицирует параметры /уже существующей/ легальной
          задачи, например, |MicrosoftEdgeUpdateTaskMachineCore|. В
          оригинальную команду дописывается скрытый аргумент
          (аргумент-паразит), который раз в сутки скачивает или запускает
          рекламный модуль. Аналитик видит знакомое имя задачи Edge, видит
          легальный путь к апдейтеру и пропускает её.
        * *Что добавить в памятку*: При анализе задач Планировщика (|TASKS|) в
          uVS нужно смотреть не только на имя файла, но и *полностью
          разворачивать строку аргументов*. Любые добавленные URL-адреса,
          вызовы |cmd /c|, или сторонние пути в параметрах легальных служб
          обновления — это стопроцентный признак компрометации. 10. Фейковые системные переменные в путях автозапуска
      Обман визуального восприятия аналитика через манипуляцию переменными среды.   * *Суть*: В реестре или планировщике путь к файлу прописывается как
          |%SystemRoot%\System32\drivers\malware.sys|. Но перед этим на уровне
          пользователя (|HKCU\Environment|) создается кастомная переменная
          |%SystemRoot%|, которая указывает вовсе не на |C:\Windows|, а на
          |C:\Users\Public\Documents|. В итоге аналитик глазами видит
          «безопасный» системный путь, а система при загрузке идет в скрытую
          пользовательскую папку.
        * *Что добавить в памятку*: Всегда проверять блок «Переменные
          окружения» в начале лога uVS. Любые попытки переопределить
          стандартные переменные вроде |%SystemRoot%|, |%WinDir%| или
          |%ProgramFiles%| на уровне текущего пользователя — это критическая
          угроза.
    • PR55.RP55
      Сейчас дал ИИ задание напиши скрипт и... Вот:  ( взял Инфо. из одного из старых образов) Скрипт лечения для uVS Чтобы полностью удалить эту службу, связанные с ней файлы и очистить ссылки в реестре, выполните следующий скрипт: text ; uVS v4.15.1 [Script] ; Target OS: Windows ; Удаление вредоносной службы и основного файла апдейтера delref %Network%\C:\PROGRAM FILES (X86)\YONTOO\Y2DESKTOP.UPDATER.EXE ; Удаление исполняемого файла в AppData, вызываемого через параметры службы delref %AppData%\YONTOO\YONTOODESKTOP.EXE ; Принудительное удаление самой службы из реестра delsrv Yontoo Desktop Updater ; Очистка остаточных путей и каталогов Yontoo deldir C:\Program Files (x86)\Yontoo deldir C:\Users\cappu44ino\AppData\Roaming\Yontoo ; Перезагрузка для применения изменений restart --------- Я сильно не увлекался - так для примера.  
×