Новости и объявления Обсуждение CHKLST.RU — CHKLST.RU

Universal Virus Sniffer v 5.0 + обновление

safety — Wed, 29 Mar 2017 06:15:43 +0000

текущая версия: 5.0.5 релизная 5.0 !!!

5.0 RC1-RC2-RC3-RC4-релиз
o В окно запуска добавлен пункт меню "Перезагрузить в интерфейс встроенного ПО [UEFI]"
Доступно начиная с Win10.

o В окно запуска добавлен выбор основного шрифта.

o Пополнено окно дополнительных настроек.

o В функцию удаления временных файлов добавлено 4 каталога с временным файлами Windows.
o \Windows\Downloaded Program Files
o \ProgramData\Microsoft\Windows\WER\ReportArchive
o \ProgramData\Microsoft\Windows\WER\ReportQueue
o \ProgramData\Microsoft\Windows\WER\Temp
Функция больше не выводит в лог пути до отсутствующих каталогов.

o Исправлена критическая ошибка инициализации режима DDA,
она могла проявляться на чипсетах AMD при подключении
физического монитора к компьютеру, который был отключен или физически
не подключен на этапе загрузки системы, при этом меняются логические
номера дисплеев и 1-го дисплея обычно не существует, поэтому
если вы подключились и 1-й дисплей показывает черный квадрат то
стоит попробовать переключиться на 2-й и т.п.
(!) В этом случае не работает программный способ вывода дисплея из сна,
(!) поэтому в текущей версии движения мыши в любом случае передаются на
(!) удаленный компьютер, что гарантировано пробуждает спящий дисплей
(!) при переключении на него.

o Исправлена ошибка создания загрузочного диска под Windows 11 24H2,
по неизвестной причине в этой редакции Windows dism из пакета ADK
не способен без ошибок сформировать загрузочный образ диска,
поэтому все операции с образом диска теперь выполняет штатный dism из системного каталога.

o Исправлена ошибка для определения пути до драйвера CDD.DLL при анализе
ключей безопасного режима.
5.0.RC2
o При обнаружении внедренного потока в процессе в лог печатается точное
время создания потока и ТОП 10 наиболее вероятных виновников.
(!) Только для потоков не имеющих привязки к DLL.
(!) Функция требует активного отслеживания процессов. (Твик #39)

o Изменен способ адресации мониторов при работе с удаленным рабочим столом.
Теперь выбирается не логический номер монитора, а его порядковый номер,
что позволяет избежать проблем при обновлении драйверов на видеокарту
без закрытия окна удаленного рабочего стола.

o В окно удаленного рабочего стола добавлена кнопка "Меню", она открывает
на удаленном компьютере окно с кнопками быстрого доступа к часто используемым
настройкам системы и системным утилитам.
Утилиты из этого окна запускаются на удаленном компьютере под текущим пользователем.
uVS 5.0.RC3
o Процессы с измененным кодом теперь выделяются в отдельный объект для каждого pid,
"путь" до объекта получает префикс "FAKE:", объект получает статус "FAKE".
В контекстное меню этих объектов добавлен пункт "Выгрузить все процессы с измененным кодом".
Для выгрузки таких процессов через скрипт добавлена команда "delfake".

o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт:
"Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс.

o В uVS интегрирован загрузчик файлов на сервис VT.
Загрузчик используется если в settings.ini не указан параметр VTUploader.
Для работы функции требуется указать VTAPI ключ в настройках или в settings.ini.
После загрузки файла в выбранном браузере откроется отчет с проверкой файла.
(!) На сервер VT не рекомендуется загружать файлы размером больше 200Mb,
(!) максимально допустимый размер 650Mb.
(!) Загрузка файлов возможна в параллельном режиме, каждый файл загружается в отдельном потоке,
(!) в uVS установлен лимит на 32 потока загрузки, есть ли лимит у VT на параллельную загрузку неизвестно.
(!) Перед загрузкой файла проверьте файл по хэшу, если файл будет найден по хэшу на сервере то
(!) лучше использовать функцию повторного сканирования файла по хэшу без его загрузки на сервер.

o Исправлена потенциальная ошибка при добавлении в список объектов.
5.0.RC4
o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
Теперь при включении отслеживания в лог печатается статус этой опции.

o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
если образ сделан при активном отслеживании процессов.

o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).
5.0
o Новый параметр в settings.ini
[Settings]
; Задает количество выводимых в лог процессов, возможно причастных к внедрению подозрительного потока в процесс.
TopCount (Допустимые значения 0-20, по умолчанию 5, 0 - отключено).

Полную историю обновлений смотрим в файле:
DOC\WhatsNew.txt

зеркало1_chklst.ru (v 5.0.5):

v5.0.5
CRC32: 59993A97
MD5: 653AAEC430F6BF0EF2C050A98CB8DEF1
SHA-1: 6EC67EB9213F712F4900D2AAAB73AF332D1C47BD

зеркало2_dropbox.com (v 5.0.5)

v5.0.5
CRC32: 59993A97
MD5: 653AAEC430F6BF0EF2C050A98CB8DEF1
SHA-1: 6EC67EB9213F712F4900D2AAAB73AF332D1C47BD

VirusTotal: Анализ кода VirusTotal AI расширяет поддержку сценариев Windows и Linux

safety — Sat, 08 Sep 2012 00:04:58 +0000

VirusTotal: Google купил сервис VirusTotal

Our goal is simple: to help keep you safe on the web. And we’ve worked hard to ensure that the services we offer continually improve. But as a small, resource-constrained company, that can sometimes be challenging. So we’re delighted that Google, a long-time partner, has acquired VirusTotal.

Наша цель проста: помочь вам оставаться в безопасности в Интернете. И мы работали над тем, чтобы услуги, которые мы предлагаем, постоянно улучшать. Но как небольшая компания с ограниченными ресурсами, это иногда может быть сложной задачей. Поэтому мы рады, что Google, давний партнер, приобрел VirusTotal. http://blog.virustotal.com/2012/09/an-update-from-virustotal.html

ФБР предупреждает о вредоносных QR-кодах, используемых для кражи денег

safety — Sun, 23 Jan 2022 16:42:31 +0000

На этой неделе Федеральное бюро расследований (ФБР) предупредило, что киберпреступники используют вредоносные коды (QR) для кражи их учетных данных и финансовой информации.

«Киберпреступники подделывают QR-коды, чтобы перенаправить жертв на вредоносные сайты, которые крадут логин и финансовую информацию», — заявили в федеральном правоохранительном органе.

ФБР заявило, что мошенники меняют законные QR-коды, используемые предприятиями для целей оплаты, чтобы перенаправить потенциальных жертв на вредоносные веб-сайты, предназначенные для кражи их личной и финансовой информации, установки вредоносных программ на их устройства или перенаправления их платежей на счета, находящиеся под их контролем.

После того, как жертвы сканируют то, что выглядит как законные коды, их отправляют на фишинговые сайты злоумышленников, где им предлагается ввести свой логин и финансовую информацию. После ввода он отправляется киберпреступникам, которые могут использовать его для кражи денег с помощью взломанных банковских счетов.

«Хотя QR-коды не являются вредоносными по своей природе, важно соблюдать осторожность при вводе финансовой информации, а также при оплате через сайт, на который можно перейти с помощью QR-кода», — добавили в ФБР. «Правоохранительные органы не могут гарантировать возврат потерянных средств после перевода».

Будьте внимательны при сканировании QR-кодов

ФБР посоветовало обращать внимание на URL-адрес, который они отправляют после сканирования QR-кодов, всегда быть осторожными при вводе своих данных после сканирования QR-кода и следить за тем, чтобы физические QR-коды не были покрыты вредоносными.

Вам также следует избегать установки приложений с помощью QR-кодов или установки сканеров QR-кодов (вместо этого используйте тот, который поставляется с ОС вашего телефона).

И последнее, но не менее важное: всегда вводите URL-адреса вручную при совершении платежей вместо сканирования QR-кода, который может быть настроен для перенаправления вас на вредоносные сайты.

Как свидетельствует недавняя фишинговая кампания, нацеленная на немецких пользователей электронных банковских услуг, злоумышленники используют QR-коды вместо кнопок в спам-сообщениях, чтобы затруднить обнаружение своих атак программным обеспечением безопасности и успешно перенаправлять жертв на фишинговые сайты.

Жертв, успешно перенаправленных на фишинговые целевые страницы, просили ввести адрес своего банка, код, имена пользователей и PIN-коды.

https://www.bleepingcomputer.com/news/security/fbi-warns-of-malicious-qr-codes-used-to-steal-your-money/

ESET: Проблема запуска устаревших продуктов

safety — Mon, 10 Feb 2020 13:16:20 +0000

Детали оповещения

Мы хотели бы сообщить вам, что мы обнаружили проблему в более старых версиях продуктов наших бизнес-продуктов Windows, в частности ESET Endpoint Antivirus / ESET Endpoint Security v5 (старше 5.0.2271), ESET Endpoint Antivirus / ESET Endpoint Security / ESET Защита файлов для Windows 6.5.2000+, ESET Mail Security для Microsoft Exchange Server 6.5, ESET Security для Kerio 6.5, ESET Mail Security для Domino 6.5 и ESET Security для Sharepoint Server 6.5.

Эта проблема НЕ касается последних версий наших продуктов, включая последние версии ESET Endpoint Antivirus / ESET Endpoint Security - 6.6.2089 и ESET File Security для Windows 7.1.12018, и клиенты, использующие последние версии, никак не затрагиваются. Эта проблема относится к уязвимым версиям, перечисленным и описанным ниже.

ESET обнаружила, что в нашем ядре есть проблема с проверкой отметки времени уже истекшего сертификата (срок действия которого истек 7 февраля 2020 г.). Этот метод дает сбой, и наши модули в более старых, устаревших версиях объявляются как ненадежные и поэтому не загружаются. Этот механизм гарантирует, что ненадежная библиотека не загружается.

В результате уязвимые версии не загружают модули (брандмауэр, HIPS, обновление, защита устройства, защита через Интернет и электронную почту) и не работают, поэтому защита не работает.

Новейшие версии наших продуктов НЕ затрагиваются.

Симптомы:
Для версий старше 5.0.2271.x симптомы:
- Не удалось загрузить модули для семейства v5
- Графический интерфейс главного окна на английском языке и логотип показывает ESET Smart Security 5 вместо Endpoint Security

Для версий 6.5.x симптомы:
- Отчеты о продуктах антифишинга отключены
- Продукт сообщает, что он не активирован
- У расширенных настроек продукта отсутствуют функции

Если ими управляет наш ESET Remote Administrator или ESET Security Management Center, они обратятся к соответствующей параметрической группе и сообщат о предупреждении как не активированном, а модуль антифишинга - как неработающий.

В случаях, когда библиотеки загружены, SelfDefense защищает процесс EKRN и делает невозможным удаление.

Решение
Важно!

Если вы используете уязвимые версии и проблема не проявляется, не перезагружайте компьютер и немедленно выполните обновление.

На данный момент не существует автоматического решения, и ESET работает над подготовкой такого решения для большинства версий, когда это возможно.

Мы рекомендуем обновить конечные точки v5 до последней версии v5.0.2271.x, которая, по возможности, не затронута. В противном случае мы рекомендуем удалить v5 и установить ESET Endpoint Antivirus / ESET Endpoint Security 7.2.

Для семейства v6.5 мы настоятельно рекомендуем обновить до последней версии ESET Endpoint Antivirus / ESET Endpoint Security 7.2 или ESET File Security для Windows / ESET Mail Security для Microsoft Exchange Server / ESET Mail Security для Domino / ESET Security для Sharepoint Server 7.1 ,

Для ESET Security для Kerio 6.5 мы работаем над этим и исправим его как можно скорее.

Если вы используете Windows XP с EEA / EES 6.5.x, мы рекомендуем перейти на последнюю версию EEA / EES 5.0.2271.

Если эта проблема уже возникла на ваших компьютерах, и вы не можете удалить и / или обновить продукты ESET, обратитесь к местному клиенту ESET, который предоставит вам решение и проведет вас через весь процесс.

Пострадавшие сборки:

ESET Endpoint Antivirus и ESET Endpoint Security для Windows, версии от 5.0.2126.0 до 5.0.2260.x
Последняя доступная сборка ESET Endpoint Antivirus / ESET Endpoint Security 5.0.2271.0 не затрагивается.

ESET Endpoint Antivirus, ESET Endpoint Security и ESET File Security для Windows, версии 6.5.x
Последняя версия ESET Endpoint Antivirus / ESET Endpoint Security 6.6.2089.x и 7.2.2055.x не затронута, равно как и последняя версия 7.1.12018.x ESET File Security для Windows.

Если у вас есть какие-либо проблемы или вопросы - или вы не можете перейти на последние версии - не стесняйтесь обращаться в службу поддержки клиентов ESET в вашем регионе.

https://support.eset.com/en/alert7396-legacy-products-startup-issue

Новый SMB-червь использует семь средств взлома NSA

safety — Sat, 20 May 2017 04:07:15 +0000

Исследователи обнаружили новый червь, распространяющийся через SMB, но в отличие от червя компонента WansCry, этот использует семь инструментов NSA вместо двух.

Существование червя впервые обнаружилось в среду, после того, как оно заразило приманку SMB Мирослава Стампара, члена правительства Хорватии CERT, и создателя средства sqlmap, используемого для обнаружения и использования недостатков SQL-инъекций.

EternalRocks использует семь инструментов NSA

Червь, который Stampar назвал EternalRocks на основе свойств исполняемого файла червя, найденных в одном образце, работает с использованием шести SMB-ориентированных инструментов NSA, чтобы заразить компьютер с портами SMB, выставленными онлайн. Это ETERNALBLUE, ETERNALCHAMPION, ETERNALROMANCE и ETERNALSYNERGY, которые являются эксплойтами SMB, используемыми для взлома уязвимых компьютеров, в то время как SMBTOUCH и ARCHITOUCH являются двумя инструментами NSA, используемыми для разведывательных операций SMB.

Как только червь получил этот начальный плацдарм, он затем использует другой инструмент NSA, DOUBLEPULSAR, для распространения на новые уязвимые машины.

Вспышка WansCry outbreak, затронувшая более 240 000 жертв, также использовала червь SMB для заражения компьютеров и распространения среди новых жертв.

В отличие от EternalRocks, червь WannaCry SMB использовал только ETERNALBLUE для первоначального доступа, а DOUBLEPULSAR - для распространения на новые машины.

EternalRocks более сложный, но (пока!) менее опасный

Как червь EternalRocks менее опасен, чем компонент WannaCry, так как в настоящее время он не содержит вредоносного контента. Это, однако, не означает, что EternalRocks менее сложна. По словам Стампара, на самом деле все наоборот.

Во-первых, EternalRocks гораздо более изобретательнее, чем компонент WannCry SMB-червя. После заражения жертвой червь использует двухэтапный процесс установки с задержкой второго этапа.

На первом этапе EternalRocks получает точку опоры на зараженном хосте, загружает клиент Tor и запускает свой сервер C & C, расположенный в домене .onion, в Dark Web.

Сервер C & C отвечает только по истечении заданного периода времени (в настоящее время 24 часа). Роль этой длительной задержки, скорее всего, состоит в том, чтобы обойти среды тестирования безопасности песочницы и исследователей безопасности, анализирующих червя, так как очень немногие будут ждать целый день для ответа от сервера C & C.

https://twitter.com/e_kaspersky/status/865298446147657729

Нет выключателя домена

Кроме того, EternalRocks также использует файлы с идентичными именами для тех, которые используются WannCry SMB-червем, чтобы попытаться обмануть исследователей безопасности при классификации.

Но в отличие от WannaCry, EternalRocks не содержит выключатель домена, ("ахиллесову пяту" WNCry), которую исследователи безопасности использовали для остановки WannaCry outbreak.

По истечении начального периода покоя и ответа сервера C & C EternalRocks переходит на второй этап процесса установки и загружает компонент вредоносной программы второй стадии в виде архива с именем shadowbrokers.zip.

Имя этого файла довольно понятно, так как в нем содержатся эксплойты NSA SMB-centric, просочившиеся группой Shadow Brokers в апреле 2017 года.

Затем червь запускает процесс быстрого IP-сканирования и пытается подключиться к случайным IP-адресам.

EternalRocks можно быть получить в одно мгновение

Из-за своего более широкого арсенала эксплойтов, отсутствия выключателя домена и из-за его начального покоя EternalRocks может представлять серьезную угрозу для компьютеров с уязвимыми портами SMB, которые открыты в Интернет, если его автор когда-либо решит использовать оружие в качестве червя Ransomware, банковские трояны, RAT или что-то еще.

На первый взгляд, червь представляет собой эксперимент или автор вредоносного ПО, выполняющий тесты и настраивающий будущую угрозу.

Это, однако, не означает, что EternalRocks безвреден. Компьютеры, зараженные этим червем, управляются с помощью команд сервера C & C, и владелец червя может использовать этот скрытый канал связи для отправки новых вредоносных программ на компьютеры, ранее зараженные EternalRocks.

Кроме того, DOUBLEPULSAR, имплантат NSA с функциями backdoor, продолжает работать на компьютерах, зараженных EternalRocks. К сожалению, автор червя не предпринял никаких мер для защиты имплантата DOUBLEPULSAR, который работает в незащищенном состоянии по умолчанию, то есть другие участники угрозы могут использовать его как черный ход для машин, зараженных EternalRocks, отправив свои собственные вредоносные программы на эти компьютеры.

IOC и дополнительная информация о процессе заражения червя доступны в репозитории Stampar GitHub, созданном несколько дней назад.

Свободный для всех SMB

В настоящее время выполняются множественные действия на компьютерах с более старыми и незагруженными версиями SMB-сервисов. Системные администраторы уже заметили и начали исправлять уязвимые компьютеры или отключать старый протокол SMBv1, постепенно уменьшая число уязвимых машин, которые могут заразить EternalRocks.

Кроме того, вредоносные программы, такие как Adylkuzz, также закрывают порты SMB, предотвращая дальнейшую эксплуатацию от других угроз, также способствуя сокращению числа потенциальных целей для EternalRocks и других вредоносных программ для SMB-охоты. В отчетах от Forcepoint, Cyphort и Secdo описаны другие угрозы, в настоящее время предназначенные для компьютеров с портами SMB.

Тем не менее, чем быстрее системные администраторы исправят свои системы, тем лучше. «Червь мчится наперегонки с администраторами, чтобы заразить машины до того, как они исправят ошибку», - сказал Стампар в разговоре с Bleeping Computer. «После заражения он может использовать оружие в любое время, независимо от позднего патча».

перевод статьи с форума Bleepingcomputer.com
https://www.bleepingcomputer.com/news/security/new-smb-worm-uses-seven-nsa-hacking-tools-wannacry-used-just-two/

Firefox 52 закрепляет политику в отношении HTTP и SHA-1

safety — Sat, 11 Mar 2017 07:13:32 +0000

На этой неделе Mozilla выпустила Firefox 52, включив в него патчи для 28 уязвимостей, в том числе для тех, которые грозят крэшем и обходом ASLR и DEP. Согласно информационному бюллетеню компании, семь уязвимостей оценены как критические.

Firefox 52 также использует более развернутое предупреждение о HTTP-страницах, небезопасных для ввода регистрационных данных. Это сообщение ныне гласит: «This connection is not secure. Logins entered here could be compromised» («Это соединение ненадежно. Введенные здесь идентификаторы могут быть скомпрометированы»).

Firefox начал предупреждать пользователей о ненадежности HTTP-страниц регистрации с января. Как и Chrome, он теперь отображает для таких страниц серый значок замка, перечеркнутый красным, в адресной строке.

Новейшая версия браузера Mozilla также работает в соответствии со спецификациями Strict Secure Cookies, запрещая ненадежным HTTP-сайтам устанавливать куки с атрибутом Secure и куки с именем, позаимствованным у Secure в том же базовом домене. Источники, ранее считавшиеся ненадежными, могут добавлять Secure-куки, удалять их или лишать силы. Google ввела поддержку Strict Secure Cookies в Chrome 52 в июле.

Последние несколько месяцев Mozilla постепенно готовит пользователей браузера к полному отказу от алгоритма SHA-1. В Firefox 52 эта политика по умолчанию включена. Отныне при обнаружении сертификатов SHA-1 в связке с корневым сертификатом Mozilla браузер Firefox будет отображать пользователю ошибку Untrusted Connection («недоверенное соединение»), хотя некоторое время это предупреждение можно будет игнорировать.

https://threatpost.ru/firefox-52-expands-non-secure-http-warnings-enables-sha-1-deprecation/20935/

С 13 февраля все аттачи с js и некоторые другие в GMAIL.COM будут блокироваться.

vargo — Mon, 30 Jan 2017 10:48:21 +0000

Чтобы предотвратить распространение вирусов, в Gmail запрещено пересылать файлы определенного типа, а именно:

Перечисленные ниже типы файлов, включая сжатые (например, GZ или BZ2) и архивы (например, ZIP или TGZ).
Документы с вредоносными макросами.
Архивы с файлами, которые защищены паролем.
Архивы с вложенными архивами, которые защищены паролем.

Примечание. Кроме того, в Gmail есть ограничения на размер писем, поэтому если прикрепленный файл слишком велик, сообщение также не отправится. Подробнее об ограничениях на размер файлов

Какие файлы нельзя отправлять

ADE, ADP, BAT, CHM, CMD, COM, CPL, EXE, HTA, INS, ISP, JAR, JS, JSE, LIB, LNK, MDE, MSC, MSI, MSP, MST, PIF, SCR, SCT, SHB, SYS, VB, VBE, VBS, VXD, WSC, WSF, WSH

Примечание. Недавно Gmail изменил правила в отношении пересылки файлов Javascript (.js) – входящие и исходящие сообщения с такими файлами блокируются.

Источник

Обновлен инструмент для аудита и взлома паролей L0phtCrack

safety — Sat, 03 Sep 2016 11:55:29 +0000

L0phtCrack - популярный инструмент для аудита и взлома паролей, за последние семь лет получил свое первое обновление. Как утверждают разработчики, седьмая версия - это полностью обновленный L0phtCrack.

Впервые инструмент был выпущен 19 лет назад компанией L0pht Holdings. С тех пор он приобрел огромную популярность в хакерских кругах. Из-за этого компания Microsoft даже изменила используемый в то время способ хранения паролей. Предыдущая, шестая версия программы, была представлена на бостонской конференции Source в марте 2009 года. С тех пор L0phtCrack не обновлялся.

Последняя, седьмая версия, получила полностью новый движок, который использует ресурсы современных многоядерных центральных и графических процессоров. Теперь осуществляемая с помощью L0phtCrack 7 брутфорс-атака с использованием четырехъядерного процессора займет в пять раз меньше времени по сравнению с L0phtCrack 6. А на компьютерах с дорогостоящими видеокартами, такими как AMD Radeon Pro Duo, взломать пароль можно будет в 500 раз быстрее, чем раньше.

Разработчики сообщили, что с обновленным инструментом взломать пароль в Windows намного легче, чем 18 лет назад, когда Microsoft начала принимать меры по усилению безопасности. Например, в 1998 году на взлом восьмизначный пароля в Windows NT с помощью первой версии L0phtCrack на компьютере с процессором Pentium II 400 МГц уходило 24 часа. Теперь же с помощью L0phtCrack 7 на игровой машине можно взломать хранящийся в Windows 10 пароль из восьми символов всего за два часа.

http://it-sektor.ru/obnovlen-instrument-dlya-audita-i-vzloma-paroleyi-l0phtcrack.html

Объявление для гостей и участников форума

safety — Sat, 26 Mar 2016 13:32:37 +0000

Уважаемые гости и участники форума! В связи с решением администрации закрыть форум на pchelpforum.ru, на котором в течение нескольких лет оказывалась практически круглосуточная помощь в лечение вирусных заражений, мы продолжаем свою работу на сайте chklst.ru, а так же на forum.esetnod32.ru (здесь с известными ограничениями). Условия оказания помощи прежние: от пользователей в своем первом сообщении в разделе "форум лечения заражений" необходимо добавить краткое описание проблемы, и все логи, согласно инструкции, которые будут запрашивать хелперы, а так же выполнение наших скриптов и рекомендаций с вашим кратким комментарием нового состояния системы по ходу решению проблемы. Помощь с нашей стороны оказывается бесплатная.

И Вы можете поддержать наш форум на прежних условиях: т.е. если будет такое желание с Вашей стороны... будем благодарны за любую финансовую поддержку форума. наши реквизиты прежние: [Spoiler] Яндекс-Деньги chklst.ru 410011353366905 [/spoiler]

Так же приглашаем к сотрудничеству специалистов, которые работают с клиентами, по вопросам безопасной работы в сети, лечения активного заражения, антивирусной профилактики. Просьба к новым участникам форума - пишите сообщение в диалоги, если необходима помощь в лечении заражения системы, с тем чтобы получить возможность создать новую тему в разделе и продолжить свою работу в дальнейшем . http://chklst.ru/forum/messages/all Вы будете перемещены в группу постоянных участников форума. -------------- В данной теме информация о состоянии дел будет обновляться.

Universal Virus Sniffer 3.83-87. новые функции и возможности.

safety — Sat, 13 Sep 2014 20:36:36 +0000

+ добавлено в v3.85 o Добавлены новые твики: 31. [Win8] Включить учетные записи Microsoft 32. [Win8] Отключить учетные записи Microsoft 33. [Win8] Отключить автологон последнего пользователя При этом станет доступен выбор незаблокированных пользователей всех типов, если в системе только один разрешенный пользователь то твик игнорируется системой. 34. [Win8] Включить автологон последнего пользователя ----------- + добавлено в v3.84 o Добавлен новый модуль report_crash.exe В случае аварийного завершения uVS модуль report_crash.exe запускается автоматически и вы можете немедленно отправить минидамп процесса uVS мне на анализ. В окне будет указан отправляемый файл, вы можете нажать "отменить" и отправить файл мне на почту вручную позже если соединение с интернетом недоступно в данный момент. + улучшен механизма автоскрипта добавлением функции autoHide для объектов с цифровой подписью из белого списка: o Новый параметр в settings.ini [Settings] ; Скрывать проверенные файлы со статусом "ВИРУС" если активен белый список. ; (файлы скрываются при запуске функции автоскрипт) ImgAutoHideVerified (по умолчанию 0) + o Добавлена блокировка некотрых типов хуков при установленном флаге "Выгружать неизвестные DLL из uVS" что должно повысить устойчивость uVS после выгрузки некотрых DLL. o Добавлена новая функция "Реестр->Применить reg-файл к реестру неактивной системы..." В Reg-файле изменяется путь в соотв. с загруженными ветками реестра проверяемой системы и изменения применяется путем вызова regedit.exe ------------ вышел новый релиз uVS. 3.83. из новых добавленных функций и возможностей стоит отметить: 1. модифицирован фильтрующий поиск. теперь можно переключать поиск по нескольких полям + есть возможность вести инвертированный поиск, т.е. находит все, что не соответствует фильтрующей фразе. 2. модифицирован поиск хэша на Virustotal.com. есть возможность сохранять результат поиска в локальном кэше, и выполнять поиск в локальном кэше. 3. добавлена возможность отсеять файлы, которые прошли проверку на VT/JT. все чистые файлы со статусом VT/JT ok можно отсеять из подозрительных в проверенные. 4. Добавлена поддержка раздела реестра App Paths. 5. добавлены новые твики 28, 29, которые исправляют модифицированные ярлыки на рабочем столе, быстом запуске; 6. Добавлена поддержка создания образов дисков и загрузочных флешек на базе WinPE 5.1, ссылка на скачивание ADK 8.1 обновлена: http://www.microsoft.com/en-us/download/details.aspx?id=39982 7. Скриптовые команды deldir и deldirex теперь удаляют все ссылки на удаляемые файлы. 8. o Новый параметр в settings.ini [Settings] ; Значение определяет расширения файлов которые добавляются в список ; наряду с исполняемыми файлами функцией Файл->Добавить в список->... ; Пример параметра: .BAT.CMD.LNK.VBS Add2ListExt (по умолчанию пустая строка) 9. o Добавлен белый список ЭЦП. При включении его поддержки, статус проверенного файла получает лишь тот файл, который подписан подписчиком из этого списка. В случае работы с образом автозапуска статусы файлов приводятся в соответствие с белым списком при открытии образа. Добавлена категория "Белый список ЭЦП", где можно удалять записи из списка. Список хранится в файле wdsl, который представляет собой обычный текстовый файл в unicode кодировке. Одна строка - одно имя, регистр важен. Файл оптимизируется при сохранении, дубликаты автоматически удаляются. Добавить имя подписчика в список можно в окне информации о файле, щелкнув по соотв. строчке с подписью. При удалении и добавлении автоматически меняются статусы всех файлов которых это касается. 10. Для CMD/BAT/VBE/VBS файлов в окно информации о файле добавлено содержимое файла в поле #FILE#. (до 2k размером). 11. Виртуализация реестра теперь охватывает загруженные пользовательские реестры. (!) Производится виртуализация всего реестра, кроме реестра пользователя s-1-5-18 (LS). 12. улучшен механизм автоскрипта: o Горячая клавиша Ctrl+T, функция обновлена. Автоматически применить твики #1,2,3,9,28,29 при необходимости. Функция работает по логу. Автоматическим использованием данной функции управляет флаг ImgAutoTweak в секции "Settings" файла settings.ini (только при работе с образами) 13. Добавлен STORE для Win8.1, обновлены базы проверенных для Win8.1 ----------

Расшифровка криптоконтейнеров BitLocker, PGP и TrueCrypt

safety — Tue, 25 Dec 2012 13:28:02 +0000

Новый продукт Elcomsoft Forensic Disk Decryptor предназначен для расшифровки криптоконтейнеров BitLocker, PGP и TrueCrypt и проведения криминалистического анализа хранящихся в зашифрованных томах данных. Поддерживаются как фиксированные, так и портативные носители, включая PGP в режиме шифрования всего диска, а также съёмные диски, защищённые с помощью BitLocker To Go. С помощью Elcomsoft Forensic Disk Decryptor можно как полностью расшифровать содержимое защищённого тома, так и работать в реальном времени с подключением зашифрованных томов и расшифровкой выбранных данных «на лету». Возможности продукта Расшифровка информации, защищённой тремя самыми распространёнными криптоконтейнерами Поддержка защищённых томов BitLocker, PGP и TrueCrypt Поддержка портативных носителей и флеш-карт, защищённых BitLocker To Go Поддержка всех режимов работы PGP, включая режим шифрования всего диска Доступ в режимах реального времени и полной расшифровки Извлечение ключей расшифровки данных из файлов гибернации, файла-образа оперативной памяти компьютера Извлекает все ключи из дампа оперативной памяти единовременно, даже если в системе присутствуют более, чем один криптоконтейнер Гарантия целостности и неизменности исследуемых данных Восстановление и сохранение ключей расшифровки данных Поддержка 32- и 64-разрядных версий Windows http://www.elcomsoft.ru/efdd.html

Механизм автоскрипта в Universal Virus Sniffer

safety — Mon, 19 Aug 2013 12:46:05 +0000

В разделы безопасности по лечению систем от вирусных заражений на форумах #компьютерной помощи# ежедневно помещаются десятки новых тем. Кажется, что этот поток неиссякаем, и зачастую работу хелперов можно сравнить с вычерпыванием воды из дырявой лодки. Cегодня мы справились с лечением, но завтра уже приходят новые пользователи с аналогичными проблемами, или те же, кто пренебрегает принципами безопасной работы в сети по беспечности, по неведению, а так же в силу изобретательности вирусо_писателей, атаки которых все чаще превосходят броню, создаваемую антивирусной индустрией. Решение каждой из проблем на форуме требует анализа логов, создаваемых различными инструментами. Чаще всего, хелпер создает скрипт для выполнения в одной из программ: AVZ, uVS, hj. В связи с этим актуальна частичная или полная автоматизация написания скрипта, что заметно облегчает работу хелпера. Автор uVS (Universal Virus Sniffer) значительно развил режим автоскрипта. Прежде всего, благодаря продуманной информационной структуре образа автозапуска, который является результатом анализа автозапуска системы. Каждый вновь создаваемый образ автозапуска ценен тем, что содержит информацию для последующего улучшения анализа новых образов. Это могут быть новые сигнатуры для детектирования вредоносных программ, критерии поиска для фильтрации подозрительных файлов и вирусов, хэши для создания исключений или пополнения списка безопасных файлов. В предыдущих выпусках uVS была автоматизирована реакция на детектирование файлов сигнатурами. Данная реакция настраивается через параметры работы uVS (settings.ini). В результате при проверке списка файлов, при детектировании объектов автозапуска сигнатурами в скрипт автоматически могут быть добавлены несколько команд: addsign, zoo, bl например:

zoo %SystemDrive%\USERS\123\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft]
bl 5148B17FDD5F59A46FA5120DF0DA2FE9 77824

в v.3.80 была добавлена возможность создавать критерии по списку установленных программ, благодаря чему стало возможным автоматически формировать команды для деинсталляции нежелательных или устаревших программ. пример критерия: Software detected: Ask Toolbar [UNINSTALL.ASK TOOLBAR] (↓UNINSTALL↓ ~ ASK TOOLBAR)(1) пример автоматически созданной команды

; Ask Toolbar
exec RUNDLL32 C:\PROGRA~1\ASKTBAR\BAR\1.BIN\ASKTBAR.DLL,O

В v 3.81 добавлены новые элементы автоматизации. 1. автоматическое добавление в скрипт твиков, которые исправляют проблему с блокированием диспетчера задач, редактора реестра, свойств папок и др.; 2. автоматическое добавление команд очистки отдельных записей hosts, попавших под ранее созданные критерии; 3. автоматическое добавление команд деинсталляции нежелательных или устаревших программ; 4. автоматическое добавление команд удаления объектов автозапуска со статусом ?ВИРУС?, который присваивается на основе анализа в uVS, проверки файлов на Virustotal/Jotti или детектов внешних критериев поиска. Данная реакция настраивается через параметры:

o Новый параметр в settings.ini
   [Settings]
   ; Значение управляет методом удаления файлов со статусом "?ВИРУС?" в функции
   ; автоскрипта.
     ImgAutoDelMethod1 (по умолчанию 1)
     0 - игнорировать
     1 - применить delall
     2 - применить delref
     3 - применить delref+del

 o Новый параметр в settings.ini
   [Settings]
   ; Значение управляет методом удаления файлов со статусом "?ВИРУС?" в функции
   ; автоскрипта с виртуализацией реестра.
     ImgAutoDelMethod2 (по умолчанию 3)
     0 - игнорировать
     1 - применить delall
     2 - применить delref
     3 - применить delref+del

в 3.86 добавлена возможность настроить действия: del/delall/delref/deldirex/deldir непосредственно в самом критерии из snms. При этом, если в настройки критерия добавлен тригер авто, в этом случае действие над объектом выбирается согласно указанным выше настройкам из settings.ini. если объект детектируется несколькими критериями, в этом случае действие в автоскрипт будет выбрано из критерия с максимально установленным приоритетом. (0-3). ----------- Т.о. если предварительно исключить из списка подозрительных и вирусов ложные детекты сигнатур и критериев, а так же добавить (если необходимо) новые сигнатуры, то становится возможным полностью автоматизировать создание скрипта. пример:

;uVS v3.81 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\USERS\123\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1A7F8B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 16 Praetorian

zoo %SystemDrive%\USERS\123\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft]
bl 5148B17FDD5F59A46FA5120DF0DA2FE9 77824

;------------------------autoscript---------------------------

chklst
delvir

; Ask Toolbar
exec RUNDLL32 C:\PROGRA~1\ASKTBAR\BAR\1.BIN\ASKTBAR.DLL,O

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

(c), chklst.ru

Если ваша система заражена в результате вирусной рассылки в Skype

safety — Tue, 09 Oct 2012 10:57:06 +0000

Обнаружена массовая рассылка через Skype и социальные сети, приводящая к заражению Windows-компьютеров червем Worm.NgrBot (прим. Dorkbot.B (ESET NOD32)). Опасность угрозы усугубляется тем, что вредоносную ссылку пользователи получают от имени своих авторизованных контактов. --------- карта заражения Dorkbot по результатам обработки компанией ESET. http://www.virusradar.com/en/Win32_Dorkbot/map В Рунете обнаружен интересный социальный троян, распространяемый через Skype и через социальные сети. По всей видимости, первой угрозу описала белорусская антивирусная компания «Вирусблокада» 4 октября 2012 г. На следующий день существование угрозы подтвердили отечественные антивирусные разработчики «Лаборатория Касперского» и «Доктор Веб». Согласно постингу в блоге «Вирусблокады», заражение вновь обнаруженным вирусом происходит после перехода по ссылке, полученной в Skype, причем жертва получает сообщение с опасной ссылкой от одного из своих авторизованных контактов. Опасная ссылка сопровождается сообщением «Это новый аватар твоего профиля?» либо «ey eto vasha novaya kartina profil’? [ник в Skype]». При переходе по ссылке в систему загружается ZIP-архив с вредоносным исполняемым файлом с расширением .EXE. Файл представляет собой сравнительно давно известного сетевого многофункционального червя Worm.NgrBot (или Dorkbot), включающего зараженный компьютер в ботнет и привлекающего его к DDoS-атакам. Кроме того Worm.NgrBot способен похищать пароли как от файлообменников Letitbit, Sms4file, Vip-file, так и от почт, легальных сервисов и соцсетей (YouTube, Gmail, Facebook) и блокировать доступ компьютера к сайтам антивирусных компаний. Компания отмечает, что, помимо рассылки сообщений в Skype, Worm.NgrBot способен распространять себя также и через сообщения в социальных сетях «Вконтакте» и Facebook, через Twitter, а также через флеш-носители. Достоверных данных о масштабах заражения и ареале распространения Worm.NgrBot через Skype пока нет, однако, география обнаружения и специфика подозрительного сообщения, сопровождающего вредоносную ссылку, позволяет судить, что нынешняя эпидемия зародилась в странах СНГ. Первооткрыватель новой угрозы «Вирусблокада» предостерегает пользователей от перехода по подозрительным ссылкам и, чтобы избежать дальнейшего распространения трояна, призывает отключить функцию управления Skype другими программами. Это можно сделать в меню расширенных настроек Skype, очистив пункт «Контроль доступа программного интерфейса». «Вирусблокада» отмечает, что, поскольку троян Worm.NgrBot скрыт от обнаружения стандартными средствами Windows, для его обнаружения и удаления потребуется использовать специальные утилиты. http://www.cnews.ru/top/2012/10/05/v_skype_idet_massovaya_virusnaya_rassylka_505622 Avast Virus Lab analysis of Dorkbot with Skype hijacker Earlier this week, a new variant of the Dorkbot/Ruskill malware attacked users of the Skype video calling service. This malware can affect a huge amount of sites and online services and can attack almost all known web browsers such as Internet Explorer, Firefox, Chrome, Opera, Flock and other programs such as MSN, wlcomm.exe etc. ------------ решение проблемы: создайте образ автозапуска вашей системы, и передайте его хелперам технических форумов: pchelpforum.ru forum.esetnod32.ru решение будет получено незамедлительно!.

Universal Virus Sniffer 3.80

safety — Tue, 04 Jun 2013 23:34:36 +0000

После выпуска v 3.76 разработчиком в 3.77-80 проделана огромная работа. (только с 3.77 было выпущено 18 промежуточных версий.) Прежде всего добавлена поддержка проверки внешних ЭЦП (по CatRoot) для Windows 8. В силу нового метода хеширования для проверки ЭЦП неактивного Windows 8 вам потребуется использовать Windows не младше 8-й версии. Младшие версии Windows не смогут правильно работать с загруженным CatRoot. Поэтому новый загрузочный образ Winpe&uVS формируется на базе Windows 8 ADK. В новой версии реализована поддержка работы с CatRoot для всех исследуемых систем. Реализован механизм обновления модулей, списков безопасных, известных, чистых файлов для библиотеки STORE через апдейтер. Режим обновления настраиваемый. Для получения регулярных обновлений необходимо указать свой e-mail в регистрационной форме, получить ключ обновления, а так же btc-адрес для пополнения своего баланса в btc. Благодаря реализованному механизму разработка и обновление программы идет значительно быстрее, активно пополняется база MAIN безопасных. Релизные версии uVS, и база MAIN по прежнему доступны на сайте разработчика. Промежуточные версии доступны только через механизм обновления при ненулевом балансе на btc-адресе. В окно информации о файле добавлен File_Id для реализации функции отправки информации о системных файлах из образа автозапуска. Данная функция позволяет автоматически пополнять серверную базу MAIN хэшами чистых системных файлов практически в реальном времени, что в итоге существенно упрощает проверку системы и сокращает риск пропуска модифицированных системных файлов. Благодаря file_id имеем возможность получить чистый системный файл из интерфейса uVS. добавлены новые скриптовые команды: dnsreset Сброс кэша DNS /Служба dsncache перезапускается, затем выполняется ipconfig /flushdns./ Функция доступна во всех режимах работы uVS. unload Команда выгружает процесс соотв. указанному файлу. dirzoo Команда копирует содержимое указанного каталога в Zoo по маске. Пример: dirzoo c:\temp\*.exe Добавлены новые возможности по автоматическому созданию скрипта. Теперь можно создавать простые критерии по имени установленного ПО. Создание критериев доступно в контекстном меню окна "Установленные программы" (Alt+U) При срабатывании критерия в лог заносится соотв. запись. Запустить деинсталлятор можно с помощью контекстного меню прямо из лога uVS. Функция доступна во всех режимах работы uVS. Так же добавлены параметры ImgUninstQuiet и ImgAutoUninstall, которые управляют автоматическим добавлением в скрипт команды деинсталляции детектируемой по критерию программы. (c), chklst.ru

Новая версия 8 Антивируса Dr.Web для Windows

safety — Wed, 14 Nov 2012 05:03:17 +0000

Новая версия 8 Антивируса Dr.Web для Windows несет новые преимущества пользователям 14 ноября 2012 года Компания «Доктор Веб» — российский производитель средств информационной безопасности — сообщает о выпуске восьмой версии Антивируса Dr.Web для Windows и Dr.Web Security Space. Новый инсталлятор, обновленный антируткит, расширенные возможности превентивной защиты, мгновенная проверка ссылок в «облаке», усовершенствованный Родительский контроль и новый единый центр управления настройками с сегодняшнего дня доступны всем пользователям. Новый инсталлятор. Новый инсталлятор для Dr.Web версии 8.0 не использует Microsoft Windows Installer, для установки продукта никаких дополнительных служб не требуется. Он не только обеспечивает надежную защиту продукта с самого начала установки, но и позволяет существенно сократить время развертывания антивирусной защиты, т.к. больше не производится предварительное сканирование в процессе установки. Новый антируткит. Теперь поиск и нейтрализация сложных угроз (руткитов, буткитов и пр.) ведутся в фоновом режиме. Подсистема постоянно находится в памяти и осуществляет поиск активных угроз в критических областях Windows, а также системной BIOS компьютера. При проверке учитывается мощность аппаратного обеспечения, сканирование не оказывает значимой нагрузки на системные ресурсы ПК. Интеграция установочного пакета (инсталлятора) с обновленным антируткитом позволяет эффективно противостоять активным угрозам, использующим руткит-технологии, и уже во время установки проводить лечение ПК, даже если компьютер заражен сложными вредоносными программами. Новая подсистема превентивной защиты компьютера от заражения путем блокирования автоматической модификации критических объектов Windows обеспечивает защиту ОС «на опережение». Теперь пользователь в режиме реального времени может сам разрешать или запрещать доступ к тем или иным объектам Windows, различным приложениям и сервисам и тем самым оградить систему от попыток нежелательных изменений со стороны вредоносных программ. Новый «облачный» сервис Dr.Web Cloud реализован в веб-мониторе и модуле Родительского контроля Dr.Web Security Space. Он позволит уберечься от заражения даже от тех вредоносных сайтов, которые еще не были добавлены в базы Dr.Web. При попытке перехода пользователя на зараженные веб-сайты URL отправляются на серверы компании «Доктор Веб» для проверки в режиме реального времени. Значительно обновлен модуль Родительского контроля. Теперь возможна индивидуальная настройка параметров работы для каждого пользователя компьютера. Время пребывания в Интернете или использования ПК также можно задавать для каждого профиля отдельно. Добавлены возможности блокировки доступа к внешним и внутренним устройствам ПК — флеш-накопителям, принтерам, внешним жестким дискам, USB-устройствам и т. д., что позволит уберечь важные данные от несанкционированного просмотра, копирования или уничтожения. Единый центр управления настройками всех компонентов (кроме сканера) — еще одна новинка Dr.Web версии 8.0. Управление параметрами модулей доступно в едином окне, что делает настройку защиты более быстрой, понятной и удобной. http://news.drweb.com/show/?i=2960&lng=ru&c=14

о новой версии uVS. 3.76

safety — Sat, 15 Sep 2012 02:37:44 +0000

uVS версии 3.76 содержит ряд полезных добавлений и улучшений в функциональности. Прежде всего, за счет расширенного анализа автозапуска добавлен детект и лечение бэкдора crexv, на поиск лечения которого было затрачено немало усилий хелперов kompasnet.org, safezone.cc, virusinfo.info, pchelpforum.ru, forum.esetnod32.ru (напомню, что в вер. 3.74 была добавлена возможность детектирования и корректного исправления в реестре заражения системы модифицированным Win32/Corkow) Добавлена функция (и скриптовая команда) winsockreset, которая восстанавливает доступ к сети интернет после удаления вредоносных программ, внедренных в Winsock. Расширена команда EXEC. ее новый вариант CEXEC позволяет вывести контекст выполнения внешних программ в лог uVS. например:

CEXEC cmd /c"ping facebook.com"
--------------------------------------------------------
Запуск процесса под текущим пользователем...
CMD /C"PING FACEBOOK.COM"
--------------------------------------------------------
Упрощенный запуск процесса...

Обмен пакетами с FACEBOOK.COM [69.171.237.16] по 32 байт:

Ответ от 69.171.237.16: число байт=32 время=237мс TTL=242
Ответ от 69.171.237.16: число байт=32 время=234мс TTL=242
Ответ от 69.171.237.16: число байт=32 время=234мс TTL=242
Ответ от 69.171.237.16: число байт=32 время=234мс TTL=242

Статистика Ping для 69.171.237.16:
Пакетов: отправлено = 4, получено = 4, потеряно = 0 (0% потерь),
Приблизительное время приема-передачи в мс:
Минимальное = 234мсек, Максимальное = 237 мсек, Среднее = 234 мсек

Скриптовая команда hide позволяет исключить из проверки чистые файлы, которые в результате проверки chklst попадают под ложный детект добавленных сигнатур. Т.о. мы можем увеличивать длину активной части сигнатуры для более точного совпадения при chklst, а в случае полного совпадения 64байт файла с сигнатурой, исключить из проверки чистый файл, оставляя детект данной сигнатурой только вредоносных программ. Контекстная функция "Статус" меняет статус отдельного файла на проверенный или подозрительный. И наконец, улучшен механизм сети критериев, создаваемых пользователем, для выделения вредоносных программ из списка объектов автозапуска, которые не попадают под сигнатурный детект (ввиду их еще отсутствия в сигнатурной базе) Теперь мы можем создавать сложные критерии в виде цепочки простых условий объединенных логическим И. (условие_1 И условие2 И условие N) т.е. сложный критерий будет детектировать объекты, описание которых удовлетворяет одновременно всем составляющим условиям критерия. Добавлю, что функционально механизм редактирования, добавления новых условий в сложный критерий прост и удобен. Если вы хотите создать сложный критерий с объединением простых условий с помощью ИЛИ, используйте группу простых типовых условий из списка критериев, которая будет работать при проверке как одно сложное ИЛИ. А после добавление операнда ИЛИ в редактор критериев возможно также внутри одного критерия создать список условий объединенных ИЛИ. (условие_1 ИЛИ условие_2 ИЛИ.... условие_N) Так же следует отметить, что критерий без указания аргумента, например, ~\mkdrv на самом деле является сложным критерием, в котором группа полей, составляющих описание объекта проверяется на вхождение выражения \mkdrv. Критерий будет выполнен, если хотя бы одно из полей содержит значение "\mkdrv", т.е. в данном критерии простые условия поле1~\mkdrv, поле2~\mkdrv... полеN~\mkdrv соединены с помощью ИЛИ. скачать новую 3.76 версию можно здесь и здесь

США фактически начали подготовку к будущим кибервойнам

safety — Fri, 31 Aug 2012 07:29:04 +0000

США фактически начали подготовку к будущим кибервойнам. Как стало известно, командование американских ВВС объявило тендер на закупку целого ряда вредоносных программ с целью нарушения или уничтожения компьютерных сетей и центров управления вероятного противника. А управление перспективных научно-исследовательских разработок Пентагона DARPA объявило тендер на создание интерактивной карты с целью отслеживания степени защищенности объектов военной инфраструктуры противника от кибератак со стороны США. Источник "Ъ" в МИД РФ назвал эти планы "первым витком гонки кибервооружения". http://www.kommersant.ru/doc/2011739

Обнаружена новая модификация Trojan.Mayachok

safety — Mon, 27 Aug 2012 22:03:15 +0000

7 августа 2012 года Компания «Доктор Веб» — российский разработчик средств информационной безопасности — информирует о распространении новой модификации троянской программы семейства Trojan.Mayachok, добавленной в вирусные базы Dr.Web под именем Trojan.Mayachok.17516. Несмотря на то, что эта угроза имеет определенное сходство с широко распространенным троянцем Trojan.Mayachok.1, в ее архитектуре выявлен и ряд существенных отличий. Trojan.Mayachok.17516 представляет собой динамическую библиотеку, устанавливаемую в операционную систему с использованием дроппера, который, являясь исполняемым файлом, в общем случае расшифровывает и копирует эту библиотеку на диск. Если в операционной системе включена функция контроля учетных записей пользователей (User Accounts Control, UAC), дроппер копирует себя во временную папку под именем flash_player_update_1_12.exe и запускается на исполнение. В случае успешного запуска этот исполняемый файл расшифровывает содержащую троянца библиотеку и сохраняет ее в одну из системных папок со случайным именем. Существуют версии библиотеки как для 32-разрядной, так и для 64-разрядной версий Windows. Затем дроппер регистрирует библиотеку в системном реестре и перезагружает компьютер. Вредоносная библиотека пытается встроиться в другие процессы с использованием регистрации в параметре реестра AppInit_DLLs, при этом, в отличие от Trojan.Mayachok.1, Trojan.Mayachok.17516 «умеет» работать не только в контексте процессов браузеров, но также в процессах svchost.exe и explorer.exe (Проводник Windows). Примечательно, что в 64-разрядных системах вредоносная программа работает только в этих двух процессах. Троянец использует для своей работы зашифрованный конфигурационный файл, который он сохраняет либо во временную папку, либо в служебную папку %appdata%. Основные функции Trojan.Mayachok.17516 заключаются в скачивании и запуске исполняемых файлов, перехвате сетевых функций браузеров. С использованием процесса explorer.exe Trojan.Mayachok.17516 осуществляет скрытый запуск браузеров и производит «накрутку» посещаемости некоторых интернет-ресурсов. Инфицированный процесс svchost.exe отвечает за обеспечение связи с удаленным командным сервером, а также за загрузку конфигурационных файлов и обновлений. Злоумышленникам, в свою очередь, передается информация о зараженном компьютере, в том числе версия операционной системы, сведения об установленных браузерах и т. д. http://news.drweb.com/?i=2699&c=5&lng=ru&p=0

Рэй Брэдбери скончался в Лос-Анджелесе сегодня утром в возрасте 91 года

safety — Wed, 06 Jun 2012 12:40:38 +0000

Писатель Рэй Брэдбери, автор романа «451 градус по Фарегейту» и сборника рассказов «Марсианские хроники» скончался в Лос-Анджелесе сегодня утром в возрасте 91 года ---------- Человечеству дали возможность бороздить космос, но оно хочет заниматься потреблением – пить пиво и смотреть сериалы». (Из интервью)

Windows 8 Release Preview

safety — Fri, 01 Jun 2012 06:25:22 +0000

Windows 8 Release Preview Это операционная система Windows, переосмысленная и построенная на базе быстрой и надежной Windows 7. С совершенно новым интерфейсом для сенсорных устройств. Новая Windows для новых устройств. Можно попробовать прямо сейчас — независимо от того, устанавливаете ли вы ее впервые или переходите от Windows 8 Consumer Preview. Загрузить

ESET Launches Next Generation Business Endpoint Solutions: ESET Endpoint Antivirus and ESET Endpoint

safety — Tue, 29 May 2012 22:24:35 +0000

Bratislava, May 29, 2012 ESET Launches Next Generation Business Endpoint Solutions: ESET Endpoint Antivirus and ESET Endpoint Security with Web Control ESET Endpoint AntivirusESET Endpoint SecurityESET, the leader in proactive protection celebrating 25 years of its technology this year, today announced the launch of a new line of products for business customers – ESET Endpoint Security and ESET Endpoint Antivirus. With the new product line, ESET is strengthening its focus on the business segment. Both ESET Endpoint Antivirus and ESET Endpoint Security come standard with ESET Remote Administrator. The more feature-rich ESET Endpoint Security adds Web Control, Two-way Firewall and Client Antispam.

Вышла новая версия утилиты Universal Virus Sniffer 3.75

safety — Sun, 20 May 2012 14:20:15 +0000

Вышла новая версия утилиты Universal Virus Sniffer 3.75 наиболее (на мой взгляд) полезные нововведения в этой версии: - Добавлена работа с сервисом Whois для ip адресов DNS И для IP адресов в логе. - Исправлена функция поиска по критерию среди записей DNS. контекстная функция whois позволяет выполнить проверку для ip-адреса в настройках DNS, а функция поиска позволяет добавить критерий поиска вредоносных объектов DNS в списке автозапуска http://www.anti-malware.ru/forum/index.php?showtopic=18984

Вышла новая версия антивирусной утилиты AVZ - 4.39

safety — Sun, 20 May 2012 14:16:50 +0000

Вышла новая версия антивирусной утилиты AVZ - 4.39. Архив с утилитой содержит базу вирусов от 20.05.2012 - 297616 сигнатур, 2 нейропрофиля, 56 микропрограмм лечения, 399 микропрограмм эвристики, 9 микропрограмм ИПУ, 234 микропрограммы поиска и устранения проблем, 410088 подписей безопасных файлов. Новая версия содержит ряд доработок и усовершенствований. Основные модификации:

[++] Множество доработок в визардах и скриптах эвристики [++] Поиск и восстановление повреждений настройки SafeBoot [+] Поиск и нейтрализация перехватов UserMode, осуществленных не в начале машинного кода функции [+] База чистых - вызовы типа "cmd.exe /c xxxx" более не считаются легитимными - по базе чистых проверяется то, что запускается через CMD, а не сам файл "cmd.exe" [+] Блокировка "зацикливания" при сканировании ссылок в файловой системе Win7/Vista

и др. http://www.z-oleg.com/secur/avz/download.php ----------- Примечание к выпуску: на мой взгляд, в новую версию добавлено по большей части исправления в существующих алгоритмах и расширение определенных функций, нежели добавление новых возможностей для хелперов.

Blackhole + CVE-2012-0507 = Carberp

safety — Wed, 18 Apr 2012 03:08:52 +0000

суббота, 31 марта 2012 г. На этой неделе известный набор эксплойтов Blackhole обновился до версии 1.2.3 и в его составе появился новый эксплойт для Java на уязвимость CVE-2012-0507 (Java/Exploit.CVE-2012-0507). Первыми обратила внимание общественности на актуальность этой уязвимости компания Microsoft, которая опубликовала в своем блоге сообщение об интересном способе выполнения Java кода за пределами песочницы JRE (Java Runtime Environment). Первые упоминания о боевом эксплойте для этой уязвимости появились от компании Immunity, которая выпустила специальный модуль для своего продукта Immunity CANVAS еще в начале марта 7.03.2012. Эта уязвимость была закрыта 15 февраля в рамках критического обновления от Oracle. Буквально вчера поздним вечером, на момент подготовки этой публикации, появился публичный эксплойт для CVE-2012-0507 в составе Metasploit Framework. Отдельно стоит отметить его кроссплатформенность и возможность эксплуатации на системах Windows, Linux, Solaris и OSX. Последняя особенно интересна в свете увеличения количества вредоносных программ для нее, распространяющихся в том числе и посредством эксплуатации Java уязвимостей. http://amatrosov.blogspot.com/2012/03/blackhole-cve-2012-0507-carberp.html#more

ESET о наиболее серьезных киберугрозах в России

safety — Fri, 13 Apr 2012 23:27:27 +0000

Москва, 4 августа 2011 г. Компания ESET, международный разработчик антивирусного ПО и решений в области компьютерной безопасности, подводит итоги по распространению в России угроз, направленных на хищение финансовых средств, в первом полугодии 2011 года. По данным Центра вирусных исследований и аналитики компании ESET, наиболее серьезной киберугрозой в России как для домашнего пользователя, так и для юридических лиц остаются вредоносные программы, направленные на кражу финансовых средств. «Активность киберпреступных групп, занимающихся мошенничеством в ДБО, по-прежнему очень высока в нашем регионе – рассказывает Александр Матросов, директор Центра вирусных исследований и аналитики ESET. При этом количество заработанных средств в рамках одной киберпреступной группы за один месяц может исчисляться сотнями тысяч долларов. Причем злоумышленники не жалеют денежных инвестиций в постоянное совершенствование механизмов противодействия антивирусным продуктам и схем кражи денежных средств». http://www.esetnod32.ru/.company/press/index.php?id=68643