Случай с Антивиром (Приколы вирусов) - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
3TE116

Случай с Антивиром (Приколы вирусов)

Recommended Posts

3TE116

Обычно говорят,что антивирус на заражённый комп ставить нельзя,иначе от него не будет толку.Везде ставил и проблем никаких.

Но вот вчера я стокнулся с такой дилемой,что подтвердило вышесказанное,а именно.История по порядку.

Пожаловался товарищ по работе.

Говорит,что появился какой-то новый антивирус,но он названия не запомнил.Говорит,что на его компе нашёл 600 вирусов,который потом предложил его купить за 200,чего,не знаю.Все поняли о чём я говорю и я ему объяснил.НО дело не в этом.

Вчера я смотрел его комп,а там такая попсня была мама не горюй.Курит нашёл 1 троян и убил.Там ещё 2 сообщения винды было типа перезагрузится просится - одно большое,другое - маленькое.Я ему сказал,что винда врёт.

Думаю Антивир прокатит,а нифига.Когда делал апдейт и он делался,но в отчёте писалось,что скачал 0 :blink:<_<

Это не всё прикол был дальше.

Начал сканить,нашёл файлик на котором он просто зацыклился и сыпал алертом,где был только Карантин :blink: .Надоело это.Вырубил антивир и что вы думаете?

Вырубить-то вырубил,но этот алерт продолжал дальше надоедать.Я же вырубил Антивир,а нифига,чё с катушек съехал?

Думаю,ну раз такой расклад событий,то HJT и AVZ помогут,но и тут без надругательств не обошлось.Хотел сделать апдейт,а он мне типа,какой нафиг апдейт...он в отключке,спит :blink: .Думаю,ну ни фига себе дела и расклад.

Тем более я спешил,так мне сканить и чистить некогда было,отложил на следующий раз.

Всё-таки ездил вчера на концерт Романа Карцева,а его пропустить я никак не могу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
3TE116

И ещё кое-что забыл сказать.

КурИтом после того,как просканил - флешку вынял.Представьте что я увидел...Курит неизвестно откуда сам появился,но окна нетуblink.gif.Как я сказал выше о проблеме.

Да и ещё.Спросил товарища,лазил ли он в Интернет без антивируса?

Тот расчитывал под дурака прикинуться.Говорит,что не лазил,но я то знаю,что вирусы сами неизвестно откуда не беруться.

Я как раз ставил Авиру на заражённый комп и этот случай не прокатил,но обычно везло.

Я знаю,что Антивир лучший антивирус и менять не собираюсь.

Но у товарища,когда поставил,то Антивир с катушек съехал.Без мата не обошлось и материл я не Антивир,а вирусы,чтобы им пусто былоbiggrin.gif

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu

Мозг отказался понимать написанное ^__^

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

А я думал, мне одному непонятно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey888

В принципе все понятно, хотя к написанию некоторых сообщений данного пользователя нужно привыкнуть. И не нужно с сарказмом на меня смотреть, мол сам только пришел на форум и уже такие высказывания. Это я тут не долго, а на форуме Авиры дольше и узнал бы неповторимый стиль написания сообщений данного пользователя под любым ником. :D

Кстати никаких претензий к 3TE116 и вполне возможно что все так и есть, но вам бы не помешало потренироваться писать сообщения формулируя их более четко. А то все это выглядит как плохо написанная сказка. ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
STALK:ER

sergey888

+1

Umnik

Deja_Vu

И я, и я, и я такого мнения...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      + Уточнение по: " при первых запусках после установки драйвера Ф и перезагрузки PC  - uVS не видел процессов запущенного  Firefox ( все файлы в базе проверенных ( если это имеет значение ) " Я говорю о том, что процессов не было в "История процессов и задач..."
    • PR55.RP55
      Demkd По поводу: 5.0.4 На: "uVS v5.0.4v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] " История процессов и задач... Отобразить цепочку запуска процесса uVS начинает жрать память и... Out of memory. Сжирает все 8гб+файл подкачки и... На компьютере недостаточно памяти ( и да, твик: 39\40 ) на происходящее не влияет ) ----- Второе, при первых запусках после установки драйвера Ф и перезагрузки PC  - uVS не видел процессов запущенного  Firefox ( все файлы в базе проверенных ( если это имеет значение ) Третье: При проверке системы с Live CD Видим следующее: Загружено реестров пользователей: 6
      Анализ автозапуска...
      (!) Переменная окружения TEMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\rcvscxggb\Environment\TEMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\rcvscxggb\Environment\TMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TEMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\fnfozvsrt\Environment\TEMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\fnfozvsrt\Environment\TMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TEMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\rpnrvystm\Environment\TEMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\rpnrvystm\Environment\TMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TEMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\evikeffmz\Environment\TEMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\evikeffmz\Environment\TMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TEMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\uvs_default\Environment\TEMP
      --------------------------------------------------------------------------------------------------
      (!) Переменная окружения TMP содержит неcуществующий или испорченный путь: %USERPROFILE%\AppData\Local\Temp
      \REGISTRY\MACHINE\uvs_default\Environment\TMP ------------- Так это в списке Live CD: ;uVS v5.0.4v x64 [http://dsrt.dyndns.org:8888] [Windows 10.0.14393 SP0 ]
      ; Все ПОДОЗРИТ.  | <%TEMP%>
      ПОДОЗРИТ.  | <%TMP%>
      автозапуск | MMDRV.DLL
      автозапуск | MSCORSEC.DLL
      ПОДОЗРИТ.  | E:\USERS\DEFAULT\<%TEMP%>
      ПОДОЗРИТ.  | E:\USERS\DEFAULT\<%TMP%>
      ПОДОЗРИТ.  | E:\USERS\USER\<%TEMP%>
      ПОДОЗРИТ.  | E:\USERS\USER\<%TMP%>
       \DESKTOP\ЗАГРУЗКИ\PASSIST_STANDARD ( РАЗДЕЛЫ ДИСКА )_20251230.1.EXE
      ПОДОЗРИТ.  | E:\WINDOWS\SERVICEPROFILES\LOCALSERVICE\<%TEMP%>
      ПОДОЗРИТ.  | E:\WINDOWS\SERVICEPROFILES\LOCALSERVICE\<%TMP%>
      ПОДОЗРИТ.  | E:\WINDOWS\SERVICEPROFILES\NETWORKSERVICE\<%TEMP%>
      ПОДОЗРИТ.  | E:\WINDOWS\SERVICEPROFILES\NETWORKSERVICE\<%TMP%> ------ Четвёртое, по поводу запуска файлов В старых версиях uVS брал информацию: AppData\Roaming\Microsoft\Windows\Recent судя по всему сейчас этого нет.  
    • demkd
      ---------------------------------------------------------
       5.0.4
      ---------------------------------------------------------
       o Переменные окружения всех пользователей с некорректным содержимым теперь добавляются
         в список как подозрительные объекты со статусом "ПЕРЕМЕННАЯ".
         Удаление такого объекта приведет к удалению переменной пользователя или 
         к восстановлению значения по умолчанию если это системная переменная.  
         Поскольку уже запущенные процессы используют копии переменных потребуется перезагрузка системы.

       o Для процессов с внедренными потоками теперь печатается родитель этого процесса.

       o В лог выводится состояние SecureBoot.

       o В лог выводится версия драйвера Ф.

       o Добавлена интеграция с Ф:
         o История процессов загружается из Ф, а не из журнала Windows.
           Работает и при выключенной опции отслеживания процессов и задач, но если эта опция выключена
           то будет доступна лишь история процессов, но не задач.
           Это может быть полезно в случае когда зловред удаляет свою активность из журнала Windows.
         o Если установлен Ф v2.20 и старше, то в лог выводится список процессов (в т.ч. и уже завершенных)
           внедрявших потоки в чужие процессы, такие процессы получают статус "ПОДОЗРИТЕЛЬНЫЙ" и новый статус "ИНЖЕКТОР".

       o В меню запуска добавлена опция "Установить драйвер Ф".
         Версия драйвера: v2.20 mini - это урезанный драйвер бесплатной версии Ф.
         В отличии от драйвера в Ф эта версия не имеет региональных ограничений. 
         Драйвер ведет историю запуска процессов и внедрения потоков в чужие процессы.
         Дополнительно осуществляется защита ключа драйвера в реестре и самого файла драйвера.
         Остальной функционал удален.
         Драйвер устанавливается под случайным именем.
         Удалить драйвер можно будет в том же меню запуска, после установки/удаления требуется перезагрузка системы.
         (!) Для установки драйвера Ф потребуется выключить SecureBoot в BIOS-е.
         (!) Установка драйвера возможна лишь в 64-х битных системах начиная с Win7.
         (!) После установки драйвера система перейдет в тестовый режим из-за включения опции Testsigning.
         (!) При удалении драйвера запрашивается разрешение на отключение опции Testsigning.
         (!) Если эта опция изначально была включена и пользователь использует самоподписанные драйвера
         (!) то это опцию НЕ следует выключать, иначе система может уже и не загрузиться.

       o В меню "Запуск" и в меню удаленной системы добавлен пункт "Свойства системы".

       o Исправлена ошибка из-за которой в логе не появлялось сообщение о завершении сеанса при обратном подключении
         к удаленному рабочему столу.

       
    • PR55.RP55
      Возможно, что-то в открытом коде будет полезного и для uVS https://www.comss.ru/page.php?id=19320
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 19.0.14.
×