Лечение - Dr.Web - антивирусная защита для дома и офиса - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Олег777

Валерий! Не далее как вчера столкнулся с вирусом, блокирующим определенные сайты: одноклассники, мэйл.ру, яндекс и вконтакте. Попросила помочь преподаватель по бальным танцам (грешен, учусь красиво танцевать в свои 32 года...).

Так вот: DrWEb 5.0 вирус честно поймал и прибил (лечение активной угрозы), но сайты все равно не открывались.

Вылечил ручками путем редактирования файла hosts (там как раз таки были прописаны блокируемые сайты).

Посему возник вопрос: а разве лечение активного заражения не подразумевает возврат системы в исходное состояние до момента вирусного воздействия?

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Олег777

Это делается на уровне сигнатур. Т.е. Продукт должен был взять из сигнатур сведения о том, что вредонос правит hosts и восстановить его. Значит, либо продукт в принципе не умеет восстанавливать хотябы исходный hosts, либо вирлаб упустил эту особенность зверька. Но сие не относится к интервью, потому переедем в вендорный раздел

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Олег777

Это делается на уровне сигнатур. Т.е. Продукт должен был взять из сигнатур сведения о том, что вредонос правит hosts и восстановить его. Значит, либо продукт в принципе не умеет восстанавливать хотябы исходный hosts, либо вирлаб упустил эту особенность зверька. Но сие не относится к интервью, потому переедем в вендорный раздел

...либо зверек был отловлен Ориджином, скажем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Валерий! Не далее как вчера столкнулся с вирусом, блокирующим определенные сайты: одноклассники, мэйл.ру, яндекс и вконтакте. Попросила помочь преподаватель по бальным танцам (грешен, учусь красиво танцевать в свои 32 года...).

Так вот: DrWEb 5.0 вирус честно поймал и прибил (лечение активной угрозы), но сайты все равно не открывались.

Вылечил ручками путем редактирования файла hosts (там как раз таки были прописаны блокируемые сайты).

Посему возник вопрос: а разве лечение активного заражения не подразумевает возврат системы в исходное состояние до момента вирусного воздействия?

У большинства пользователей hosts-файл является пустым, но это не всегда так. Встречный вопрос -- каким образом антивирус "знает" (должен знать) состояние hosts-файла до его изменения в следствие работы вредоносного кода? Допустим, есть hosts-файл (непустой) со списком заблокированных пользователем сайтов. Происходит заражение, вредоносная программа добавляет в hosts-файл свои записи. Как антивирус должен знать, какие записи удалять, а какие оставить или он просто должен восстанавливать hosts-файл в пустом виде?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

K_Mikhail

Потому применяется восстановление дефолтного hosts. Что всяко лучше, чем его игнорирование. В принципе, можно в сигнатуре указать, какие сайты прописывает вредонос и откатывать только эти записи, но овчинка выделки не стоит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
K_Mikhail

Потому применяется восстановление дефолтного hosts. Что всяко лучше, чем его игнорирование. В принципе, можно в сигнатуре указать, какие сайты прописывает вредонос и откатывать только эти записи, но овчинка выделки не стоит.

Я против такого лечения непосредственно антивирусом, хотя для основной массы оно годится, хотя бы потому, что она даже не подозревает о существовании такого файла. Подобный функционал должен быть вынесен во вспомогательные диагностические утилиты -- AVZ (есть такой функционал) и разрабатываемый DwShark, в котором этот функционал ещё не реализован, но feature request на это висит.

Честно сказать, если бы антивирус, в результате лечения, улучшил бы мне hosts-файл до дефолтного, и мне пришлось бы свои записи восстанавливать вручную, я бы такой антивирус отправил бы подальше с диска.

ЗЫЖ Хоть мне антивирус, по сути, и не нужен, но копию hosts-файла храню. :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

K_Mikhail

Поднимать запрос на восстановление host. ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
K_Mikhail

Поднимать запрос на восстановление host. ;)

"Антивирус собирается улучшить ваш hosts-файл до дефолтного! Продолжить? [Y\N]" ? ;)

Опять же, повторюсь, хотя для основной массы оно годится, хотя бы потому, что она даже не подозревает о существовании такого файла, но моё мнение -- правкой hosts-файла должен заниматься либо лично пользователь (если он понимает, что делает), либо саппорт в лице конкретного вендора или virusinfo. Т.е. специалист.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Arakcheev
Валерий! Не далее как вчера столкнулся с вирусом, блокирующим определенные сайты: одноклассники, мэйл.ру, яндекс и вконтакте. Попросила помочь преподаватель по бальным танцам (грешен, учусь красиво танцевать в свои 32 года...).

Так вот: DrWEb 5.0 вирус честно поймал и прибил (лечение активной угрозы), но сайты все равно не открывались.

Вылечил ручками путем редактирования файла hosts (там как раз таки были прописаны блокируемые сайты).

Посему возник вопрос: а разве лечение активного заражения не подразумевает возврат системы в исходное состояние до момента вирусного воздействия?

А что делает каспер в подобном случае?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Arakcheev

Поднимает алерт с предложением восстановить hosts. Это AVPTool в 7-ке, за 8-ку не знаю. Возможно в автоматическом режиме она алерт не поднимает, а сразу восстанавливает.

Нет, я не знаю, восстанавливает стандартный или убирает записи вредоноса. Думаю, что все-таки стандартный.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Денис Лебедев
Не далее как вчера столкнулся с вирусом, блокирующим определенные сайты: одноклассники, мэйл.ру, яндекс и вконтакте. Попросила помочь преподаватель по бальным танцам (грешен, учусь красиво танцевать в свои 32 года...).

Так вот: DrWEb 5.0 вирус честно поймал и прибил (лечение активной угрозы), но сайты все равно не открывались.

Вылечил ручками путем редактирования файла hosts (там как раз таки были прописаны блокируемые сайты).

Посему возник вопрос: а разве лечение активного заражения не подразумевает возврат системы в исходное состояние до момента вирусного воздействия?

Какой вердикт вам вынес Др.Вэб? Как назвал данную заразу?

Далее вопрос - вы устанавливали др.вэб на зараженную машину или использовали cure-it? и далее интересует вопрос - какой тип сканирования был произведен - полное или быстрая проверка? Было ли отключено восстановление системы?

Я вот не исключаю такого момента, что после того как было проведено быстрое сканирование, один из семлов (лежавших где-нить в другом месте, даже например на флешке) после лечения и перезагрузки, смог опять активизироваться и поправить hosts.

P.S. считаю, что топик нужно рассматривать как конкретный случай заражения и лечения, перенести в сопутствующий форум, и изменить шапку топика (напр.: Dr.Web :: Лечение Shadow)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skeptic

Ребят, а у меня вот такой вопрос. Один знакомый недавно списался со мной, просил помочь избавиться от такой гадости, как AdSubscribe. Ну, недолго думая, дал ему ссылку на CureIt, он ее применил, все путем. Но - в реестре остались записи, и пришлось удалять вручную, тупым поиском по слову. Вот и хочу спросить: если уж Web не чистит реестр от записей зловредов, то... а ведь чего проще: механический поиск и удаление. Почему такая простая и явная вещь не предусмотрена в антивирусах?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Почему такая простая и явная вещь не предусмотрена в антивирусах?

Кое-кто из форумчан по этому поводу высказался прямо и точно: "Потому что антивирус Dr.Web - это не твикер". :)

А жаль, правда? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla
Кое-кто из форумчан по этому поводу высказался прямо и точно: "Потому что антивирус Dr.Web - это не твикер".

А причём тут твикер, не твикер? Тем более это же доктор, должен лечить, причём с корнем..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Arakcheev

А он и лечит с корнем. Ссылки в реестре удаляются, если на них прямо ссылается вредоносный файл. А косвенные ссылки могут и остаться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×