Перейти к содержанию

Recommended Posts

K_Mikhail

Вопрос такой -- Vba32AntiRootkit является отдельной стационарной утилитой для выявления\нейтрализации руткитов или для его работы необходимо устанавливать антивирус VBA32?

Вопрос возник вследствие того, что при указании в Utilities --> Kernel Modules или Utilities -->Process List выдаётся вывод в лог "Couldn't load AV-kernel!!!".

Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Вопрос такой -- Vba32AntiRootkit является отдельной стационарной утилитой для выявления\нейтрализации руткитов или для его работы необходимо устанавливать антивирус VBA32?

"Vba32 AntiRootkit может работать в трех режимах (с поддержкой антивирусного ядра Vba32 и без него):

1. В первом режиме, с поддержкой антивирусных баз, модуль находится в папке %VBA32%. После своей загрузки он пытается получить доступ к COM-объекту антивирусного ядра Vba32 и в случае успеха использует его для проверки.

2. Если доступ к COM-объекту получить не удается, модуль загружает антивирусное ядро и базы себе в память и работает с ними напрямую.

3. В третьем режиме можно использовать модуль Vba32 AntiRootkit отдельно от комплекса VBA32. В данном режиме проверка обнаруженных объектов антивирусным ядром производиться не будет. "

Т.е. если комплекс у вас не установлен, можете использовать консольный сканер, скопировав в него файл vba32arkit.exe

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
"Vba32 AntiRootkit может работать в трех режимах (с поддержкой антивирусного ядра Vba32 и без него):

1. В первом режиме, с поддержкой антивирусных баз, модуль находится в папке %VBA32%. После своей загрузки он пытается получить доступ к COM-объекту антивирусного ядра Vba32 и в случае успеха использует его для проверки.

2. Если доступ к COM-объекту получить не удается, модуль загружает антивирусное ядро и базы себе в память и работает с ними напрямую.

3. В третьем режиме можно использовать модуль Vba32 AntiRootkit отдельно от комплекса VBA32. В данном режиме проверка обнаруженных объектов антивирусным ядром производиться не будет. "

Т.е. если комплекс у вас не установлен, можете использовать консольный сканер, скопировав в него файл vba32arkit.exe

Угу, был невнимателен -- был включён "Use AntiVirus Kernel". :/ Спасибо!

Есть ещё вопросы, пока разбираюсь. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Угу, был невнимателен -- был включён "Use AntiVirus Kernel". :/ Спасибо!

Есть ещё вопросы, пока разбираюсь.

Ok.

P.S. Где-то со следующей недели стартует бета-тестирование следующей версии антируткита (счас пишется хелп и проводятся наши тесты). Там будет намного больше всего интересного и полезного.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      В меню: Скрипт добавить проверку скрипта находящегося в буфере обмена. Это нужно при работе на форумах.    
    • demkd
      причем хорошая такая защита, тут скорее всего только виртуализацией его выковыривать, если защиты и то нее нет, заморозка только на потоки в uVS работает, да и я не факт что именно поток защищает процесс.
    • santy
      похоже впервые по данному типу майнера используются потоки для защиты от удаления файлов. по крайней мере, в октябрьском варианте по этому распространенному на нек форумах майнеру нет потоков. C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE. может заморозку потоков делать перед  созданием образа автозапуска? по кройней мере в том случае, если они обнаружены  
    • demkd
      потому что файлы защищены: (!) Невозможно открыть процесс: dllhost.exe [6856]
      (!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE [7424], tid=7428
      Не удалось открыть файл: C:\PROGRAMDATA\REALTEKHD\TASKHOST.EXE
      Не удалось открыть файл: C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE
    • PR55.RP55
      C:\PROGRAMDATA\REALTEKHD\TASKHOST.EXE C:\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE Хэш файла не найден http://www.tehnari.ru/f35/t270519/
×