LiveCD Vba32 Rescue - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
Рашевский Роман

LiveCD Vba32 Rescue

Recommended Posts

Рашевский Роман

Live CD Vba32 Rescue - это загрузочный диск аварийного восстановления системы после вирусного заражения, основанный на ОС Linux.

В состав Live CD Vba32 Rescue входят:

*Консольный сканер для *UNIX (VBA32.L);

*Файловый менеджер MidnightCommander;

*Интерфейс пользователя, реализованный в виде диалога;

*Лицензионный ключ до конца текущего года. После истечения срока действия лицензионного ключа, Вы можете заново скачать дистрибутив Live CD Vba32 Rescue абсолютно бесплатно.

Основные возможности Live CD Vba32 Rescue:

*Сканирование ПК на наличие вредоносных объектов;

*Создание отчетов сканирования системы для последующего обращения в службу тех. поддержки;

*Выполнение основных операций с файлами, находящимися на компьютере пользователя (переименование, копирование, перемещение и т.д.);

Скачать Live CD Vba32 Rescue можно здесь

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рашевский Роман

Здесь Вы можете высказывать свои мнения относительно LiveCD Vba32 Rescue ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

Как можно обновить базы в LiveCD Vba32 Rescue ?

и еще чисто от себя ... проверил LiveCD Vba32 Rescue найдено было всего 5 угроз (не ставил чистку и удаление) и после этого проверил cureit'ом нашел 157

а вообще оч понравилось то что загрузка происходит быстро в отличие многих live cd

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lafiel

ммм ...

А что за угрозы нашел Доктор?

Если он нашел обычные cookies от интернет браузеров,

то мы это за уязвимость не считаем,

если что-то еще, то возможно у вас остались копии и

вы можете прислать их нам на анализ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

могу прислать карантин в архиве под паролем после доктора веба. Я думаю может у меня старые базы в VBA ? Можно ли их обновить ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
могу прислать карантин в архиве под паролем после доктора веба. Я думаю может у меня старые базы в VBA ? Можно ли их обновить ?

1. Присылайте сюда beta[at]anti-virus.by

2. Обновлять базы в Vba32 Rescue нельзя. Необходимо полное выкачивание образа и его запись на болванку.

3. Посмотреть на дату сборки можно в логе сканера. Во время пробега сканера на вашем диске должна создаться папка VbaRescue, в которой и будет отчет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

1. понял (пополняю ClamAV Virus http://cgi.clamav.net/sendvirus.cgi)

2. тоже понял. сборка была скачана вчера вечером

3. если лог на компе сохранился (я сейчас не за ним) то посмотрю

спасибочки за ответы ^_^

вот лог вирустотал

Файл csrss.exe получен 2008.10.20 05:03:08 (CET)

Антивирус Версия Обновление Результат

AhnLab-V3 - - -

AntiVir - - -

Authentium - - -

Avast - - Win32:Trojan-gen {Other}

AVG - - -

BitDefender - - -

CAT-QuickHeal - - -

ClamAV - - -

DrWeb - - -

eSafe - - -

eTrust-Vet - - -

Ewido - - -

F-Prot - - W32/DelfInject.A.gen!Eldorado

F-Secure - - -

Fortinet - - -

GData - - Win32:Trojan-gen {Other}

Ikarus - - -

K7AntiVirus - - -

Kaspersky - - -

McAfee - - -

Microsoft - - -

NOD32 - - -

Norman - - -

Panda - - Suspicious file

PCTools - - -

Prevx1 - - -

Rising - - -

SecureWeb-Gateway - - -

Sophos - - Mal/Emogen-Y

Sunbelt - - -

Symantec - - -

TheHacker - - -

TrendMicro - - -

VBA32 - - -

ViRobot - - -

VirusBuster - - -

Дополнительная информация

MD5: a2d7878c4da60534349c48bec024b0b8

SHA1: 90076f441dcef50ab2bb5e5f7051838bb65fb3b8

SHA256: c4a7277b7323c19483eb5f2e47c75b7dcb008888bd77055a08ddcbedce519a83

SHA512: 46ac3985ec3ee132686ddd4f388f5d84283de902f6782524c97c0ffaf9a013cbdea6dcc126e410c6

f7a6e7e2fd3ba7acc23addf3d87239c58dff4f4cfe9f4c42

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

vba32.rar вот лог VBA32

а вот лог что потом нашел веб на зараженном компе (в логе пути прописаны не первоначально так как проверялся карантин после первой проверки) DrWeb.rar

vba32.rar

DrWeb.rar

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen

Чего-то я не понял вот с этим: C:\Documents and Settings\Admin\Рабочий стол\11022009\Quarantine. Это какой-то архив? Бежал ли по этому архиву vbarescue?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

да это папка. (сначала комп был проверен VBA32 Live CD (без чистки) лог выложел. потом проверил Вебом и собрал угрозы в карантин. лога на том компе не осталось, так вот я проверил этот карантин еще раз и выкинул лог сюда)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
да это папка. (сначала комп был проверен VBA32 Live CD (без чистки) лог выложел. потом проверил Вебом и собрал угрозы в карантин. лога на том компе не осталось, так вот я проверил этот карантин еще раз и выкинул лог сюда)

Все, теперь дошло :)

Тогда получается, что не задетектился червяк Win32.HLLW.Autoruner.6258 (по drweb). Вот он то почти один и определил разницу в 150 пунктов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
zalman

да я заметил :) что там один и тот же зловред. А вообще оч жаль что нельзя обновлять базы ... дело в том что использовать Live CD удобно оч с флешки и функция обновления была бы кстати. У других продуктов такая функция есть например в том же F-secure (там это крайне необходимо так как образ весит около 220 мегабайт и каждый раз загружать его накладно). За то сканер работает оч шустро в VBA32

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×