Перейти к содержанию
p2u

Избегайте PCTools Threatfire!

Recommended Posts

p2u

Я это обычно не делаю, но в этот раз решил, что надо наказать ребят из PCTools.

Узнал в Группе Новостей Стива Гибсона следующее: После удаления PCTools Threatfire остаётся драйвер этой программы tfkbmon.sys, который продолжает контролировать клавиатуру. Естественно, при установке другого ПО это даёт серьёзные проблемы. Это как бы стандарт у многих программ - плохо удалиться. Но здесь ещё хуже: если вы отключите или удалите этот драйвер, то тогда вы остаётесь без функции клавиатуры вообще. На форуме PCTools решений нет, хотя проблема уже существует с 2007 г. Человек, который пишет нашёл решение где-то в Интернете, но к сожалению не даёт подробностей - надо поправить реестр, но на каком месте и как - не указано. Поэтому и мой совет: избегайте таких программ как чума.

Из Группы Новостей Стива Гибсона (не доступна в он-лайне):

This might be old news to many of you. But I thought I should make everyone aware of this nasty little issue I experienced.

After using PCTools Threatfire for a little while, it got too annoying for me to handle (constant, unnecessary warnings). So I decided to remove it from my system. The problem is that it doesn't completely remove itself. It actually leaves its keyboard hook in place (tfkbmon.sys). In ThreatFire, this module supposedly protects you from keyboard loggers.

So uninstalling ThreatFire leaves this remnant behind (and loading on startup). If you disable or remove the driver (e.g. through AutoRuns), you will lose all keyboard function.

After some searching on the internet, I found the only available solution, which is a manual registry search/edit. Sadly, I didn't get that solution through their own forums. They seem to have been aware of a serious problem with this keyboard hook since 2007 (mainly problems through failed updates), but are somehow unable to deal with it properly.

It's bad enough when regular software leaves remnants behind. But in my view, it is absolutely outrageous that this kind of thing would occur in a software package that claims to be protecting you.

So my advice to everyone listening is to AVOID THREATFIRE LIKE THE PLAGUE.

P.S.: Автор Geoff - далеко не чайник; он один из самых уважаемых знатоков в группе Гибсона.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Но здесь ещё хуже: если вы отключите или удалите этот драйвер, то тогда вы остаётесь без функции клавиатуры вообще.

P.S.: Автор Geoff - далеко не чайник; он один из самых уважаемых знатоков в группе Гибсона.

Я раза два ставил эту прогу, но с данной проблемой не сталкивался. После удаления ИБ ПО я всегда подчищаю хвосты ручками.

Дополнительные подробности по сабжу есть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Дополнительные подробности по сабжу есть?

Ещё нет - там (USA) спят.

Кстати - нашёл всё-таки сервер, который показывает эту группу ReadOnly:

GRC News Server Temporary Gateway (read only)

Это сервер участника Dutch. Там много интересного. Группа, в которой он пишет:

grc.security.software.

Тема называется: Avoid PCTools ThreatFire

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович

Скорее всего, драйвер становится как upper или lower (или даже оба варианта) фильтр на драйвер клавиатуры. Тогда надо, действительно, чистить в CurrentControlSet.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Автор темы Avoid PCTools ThreatFire сам признаётся в том, что его новость стара.

Проблема с драйвером tfkbmon.sys давно решена, ранее для корректного удаления от PCTools предлагалась спец. утилита.

Сейчас для его выгрузки из памяти и системы дополнительной утилиты не требуется.

Вопрос закрыт.

PS. Сегодня, как и несколько лет назад, я с осторожностью устанавливаю любой бесплатный продукт от PCTools.

Памятуя о том: Кто узнаёт, как шпионят другие - сам становится шпионом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • кустомер
      Всем здравствуйте. СРАЗУ оговорка:
      Кнопка "Создать новую тему" только на главной странице форума.
      В выпадающем её меню НЕактивны абсолютно все разделы кроме этого.
      Тему разместить хотелось-бы в другом разделе.
      Ответ на тот вопрос ― наверное поэтому.
      Собственно по делу -
      У кого из считающих себя "мастером_своего_дела" могло-бы появиться желание
      подумать и высказать своё предположение метода проникновения файла сценария
      с печеньями (cookies) после того, как весь IP-диапазон адреса хранения файла
      был заблокирован в настройках Outpost, отлично справляющегося по сей день
      с блокировкой ЛЮБЫХ других (кроме этого) IP-диапазонов? Адрес(имя) файла:
      https://mc.yandex.ru/metrika/watch.js Outpost навскидку можно сравнить с другими продуктами защиты - там.

      Вопросы типа "а-зачем-вам-это-надо" будут
      расценены как флуд, отвлекающий от темы. (уважаэмым модераторам)
      Тема относится к способу проникновения этой заразы, а не к конкретному продукту защиты.
    • demkd
      на него уже давно не реагируют они сейчас самый опасный report_crash что дампы отправляет  
    • akoK
    • santy
      из архива uVS на зеркале уберите файл _autorun.zip (если он есть там), антивирусники как правило по этому файлу начинают "сходить с ума". для создания образа автозапуска юзерам он не нужен.
    • demkd
      Там 5 недоантивирусов, я на такое внимание не обращаю, тем более что случается уже не в первый раз.
      И какое зеркало?
×