Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся
эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России,
Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане,
Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новый антивирус от компании
PRO32.
Продукты PRO32 — это технологичные решения, надежная защита от киберугроз
и максимальная производительность устройств на Windows / Android.
Для действующих клиентов ESET мы предлагаем промокод на скидку в размере
15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его
применить в корзине.
Добрый день. Недавно столкнулся с одним сильным вирусом майнером, который блокировал установку антивируса Nod32. Благодаря теме на форуме в разделе:установка антивируса, мне помогли решить эту проблему с помощью программы uVS, скидывая скрипты и инструкции пошаговоые. Хотелось бы самому разобраться в этой программе и как ней пользоваться, подробнее прочитать что делает каждый ее раздел. Буду рад любому ответу по поводу этой программы!) Всем добра)
bl - Команда запретить запуск. 73FB07A3CC81A5CD049CFCAH956AEF09 39604240 ( собственно сам SHA1 - идентификатор файла чей запуск запрещаем ) delall - Команда удалить все ссылки вместе с файлом
apply - принять изменения. ( команда оптимизации\ускоряющая выполнение скрипта когда в скрипте много команд и как подтверждение )
--------------------------- Если заблокировали не тот файл ? В меню есть команда: Снять блокировку запуска файла ( по хешу ) или Или глобально снять ограничение для всех файлов... применив твик №19. ( снять ограничения по запуску... ) Дополнительно > Твики > Твик №19.
При необходимости в скрипт можно добавить команду restart для перезагрузки PC В каком порядке отдавать команду restart и можно ли её прописать в начале скрипта ? Да можно ( на современных\актуальных версиях - программа сама определит наличие этой команды и выполнит её только в конце. )
Для чего запрещаем запуск по SHA1 ? Именно этот вирус не сможет запуститься на PC - если его занесут повторно. * Изменения на запрет\разрешение вступают в силу после перезагрузки PC Если запустился ? Значит это другой вирус или другой вариант этого, или вы что-то намудрили. ** Если запретить таким образом запуск для большого числа файлов - это может привести к замедлению в работе PC так, как система будет вынуждена проверять объекты. ( сотни или тысячи файлов )
* При добавление файлов с диска может быть так, что в категории: "Добавлены в ручную " будут отображаться не все фалы - так, как программа может до вас найти некоторые файлы и поместить их в другие категории. Чтобы увидеть все файлы перейдите в категорию: "ВСЕ" можно задать поиск\фильтр по букве диска.
Опасная методика... ( не для малоопытных ) У нас, есть Зверь: Fox.EXE Мы, его решаем удалять с применением сигнатуры. Для этого в меню данного файла выбираем: "Добавить сигнатуру в скрипт и вирусную базу" В результате получаем команду:
addsgn - команда добавления. Сама сигнатура: 4933E7C655AD49809D94AE0674D4128E30786AB689D1C58796609F2F10D61745D03C0414751D9E8F60C0E296AD7040123DDC375992D968C40461A42F64CAB633
длина 8 ( длину можно\нужно корректировать, если есть ложные определения\срабатывания. )
имя Fox.Vir - Имя "Fox.Vir" можно задать любое.
Сама сигнатура ничего не удаляет она лишь позволяет найти тело вируса и объекты схожие с ним. Поэтому, нужна дополнительная команда на удаление. Проверяем по сигнатуре файлы в списке. Команда: chklst ( Команда: Проверить список ) Смотрим, какие файлы определены, как вирусы - и нет ли среди них системных файлов или чего другого лишнего !!! Оставляем - то, что следует удалить - ( путём корректировки/изменения длинны сигнатуры для тех файлов которые ложно попали под неё )
Убедившись, что нет ложных определений - даём команду: delvir ( команда: Убить все вирусы )
И тут, совершенно неожиданно видим, что заблокирован Диспетчер задач! Ну... Такое безобразие совершенно недопустимо - думаем мы! Совершенно недопустимое безобразие! И, решаем его разблокировать - применив соответствующий твик №1. ( Дополнительно > Твики ) Команда: regt 1 Вот и скрипт целиком: _____________________________________________
так, как сигнатуры дело опасное и мы не хотим чтобы uVS сохранила сигнатуру добавляем команду: OFFSGNSAVE ( OFF SGN SAVE ) В чём риск\опасность сохранения сигнатур\ы в базе ? Опасность в том, что вы не знаете и не видите, что пользователь добавил в свою базу и насколько это было разумно\корректно сделано, не появились ли за прошедшее время новые программы, или системные файлы ( которые с этими сигнатурами не проверялись )
o Скриптова команда OFFSGNSAVE С момента исполнения запрещает сохранение базы сигнатур до выхода из uVS и дополнительно отключает записи из пользовательской базы сигнатур на время работы скрипта.
Правой лапой мыши по файлу и в меню: Статус > Скрыть файл. Файл скрывается из списка и исключается из всех операций _до выхода_ из uVS
Но опять же лень ЭЭЭ !!! т.е. склероз.
Поэтому: параметр в Settings.ini раздел: [Settings] Пишем: ; Скрывать проверенные файлы со статусом "ВИРУС" если активен белый список. ; (файлы скрываются при запуске функции автоскрипт) ImgAutoHideVerified (по умолчанию 0) ( 0 - не активно\отключено ) Чтобы работало прописать: ImgAutoHideVerified = 1
В каких случаях рекомендуется применение сигнатуры ? Применение сигнатуры оправдано тогда, когда тело вируса постоянно меняется и меняется его имя, место положение и контрольная сумма ( SHA1 ) Типа: Worm.RussoTuristo и т.д. ------------------ Если случай заражения более тяжёлый ? например это Руткит:
Если, удаляется файл c расширением Sys. например: Fox.sys Смотрим активен этот процесс на данный момент или нет. Если активен - то оптимальный вариант удаления такого объекта - это загрузка Компьютера в безопасном режиме.* ( F8 ) *Или зачистка _SyS_ объектов, по методу виртуализации реестра. Необходимо? - предварительное восстановление безопасного режима: SafeBoot ( SafeBoot ) - твик №21. Соответственно, скрипт выполняется в безопасном режиме. Сами же скрипты, пишутся по аналогичной/базовой схеме. **Работа с _SyS_ объектами в безопасном режиме является важным требованием ! так, как в обычном режиме вирус\служба активен и работает его самозащита. _____________________________________________ Логика процесса лечения такая: Уничтожается вирус > устраняются последствия его деятельности ( применяем твики ) - после чего зачищаем мусор. ( файлы и хвосты в реестре ) --------------------------------------------------------------- \\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Комбинированный скрипт.
Представляет собой сочетание 2-х методов. В данном случае речь идёт о применении сигнатур и удаления файла по его ( прямому ) пути. Мы, его решаем удалять по прямому пути: C:\Windows\System32\Fox.EXE в скрипте этот путь будет указан, как - %Sys32% Сфера применения: Борьба с устойчивыми к удалению Объектами - повышение эффективности/результативности скрипта.
Логика скрипта: Добавляется сигнатура объекта - после чего происходит удаление по прямому пути - далее отдаются команды на проверку списка и удаления файлов попавших под влияние сигнатуры - затем происходит зачистка от мусора. И, как всегда совершенно неожиданно мы обнаруживаем, что заблокирован редактор реестра и применяем твик №2 "Разблокировать редактор реестра" И - в завершение, чтобы изменения вступили в силу перезагружаем PC. *Команда bl может - как применять так и не применяться. ** В данном случае важное значение имеет последовательность отданных команд. Пример такого скрипта: _______________________________________________
-------------- delall - удалить файл и ссылки на него. Значит, что у нас в карманцах ? Добавили сигнатуру > проверили список > ( скорректировали при необходимости длину сигнатуры ) и\или добавили команду hide > Убили вирус. Дополнительно Удалили файл вируса командой: delall ( ну вот захотелось ) Очистили временные папки Temp от мусора deltmp - зачистка папок Temp ( и прочее и тому подобное ) ( в них часто пасутся тушки\тела вирусов ) delnfr - зачищаем PC от ссылок на отсутствующие объекты. Сейчас команда delnfr выдаётся по каждому файлу отдельно ( чтобы оператор видел - что и как ) Пример: delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.422\PSMACHINE_64.DLL delref %SystemRoot%\SYSWOW64\COMPPKGSRV.EXE delref F:\AUTORUN.EXE Дополнительно > Очистить корзину удалить временные файлы... ALT+Del В низу будет лог - программа показывает, что именно очищается. Просмотр лога: Alt+L
Выше была упомянута: Виртуализация реестра. Что это и для чего ?
Применяется, при наличие устойчивых форм заражения. Этот скрипт, работает с применением функции виртуализации системного реестра. т.е. Происходит его копирование с последующей заменой\подменой и самопроизвольным отсечением скрытых данных/объектов автозапуска. Меню: Реестр > "Безопасная виртуализация SYSTEM & SOFTWARE"* Это команда - "sreg" После, этой команды, мы в качестве дополнительной меры очистки удаляем ссылку на объект из реестра. "delref" delref %Sys32%\Fox.SYS И, в завершении отдаём команду на Актуализацию реестра. Меню: Реестр > "Актуализировать SYSTEM & SOFTWARE" = команда "areg"
Нам нужно получить копию вируса ( для отправки в вирусную лабораторию ) применяем команду: zoo ( скопировать файл в папку zoo - папка создаётся в каталоге программы )
Да, кстати - есть такая категория, как без файловые вирусы - они находятся в оперативной памяти и не существуют на диске в виде файла.
Следует учитывать - что сразу после применения команды Актуализации - "areg" Компьютер автоматически выполнит перезагрузку! Что обязательно следует учитывать - при работе с серверными машинами ! т.е - Это, сказка о перезагрузке почтового сервера... ;) То, что машина серверная - смотрим ЛОГ + установленное спец. Программное обеспечение.
** Работа с реестром требует особой осторожности - Отдаётся - только самый минимум из необходимых команд. Отдавать - другие команды в рамках этого скрипта недопустимо ! ( работаем только с реестром ) * Недопустимо в том плане, что наука ещё не в курсе дела, к каким последствиям это приведёт для всех участников эксперимента ! Когда, есть необходимость в дополнительной очистке - то создаётся новый, дополнительный скрипт лечения !
В случае, где нет Явного объекта ( но есть подозрения ) с которым можно работать применяется такой скрипт:
Рассмотрим вариант зачистки каталога с применением сигнатуры. Есть каталог: C:\WINDOWS\Zebra ( %SystemRoot%\Zebra ) Два файла, этого каталога... по полученным данным прописаны в автозагрузке. Это: Fox 1.exe и Fox 2.exe* *Сигнатуры для файлов Fox 1.exe и Fox 2.exe совпадают. Мы предполагаем, что каталог \ Zebra \ содержит и другие объекты: Fox 3.exe & Fox 4.exe Гипотеза: файлы - Fox 3.exe & Fox 4.exe, имеют схожею сигнатуру с Fox 1.exe и Fox 2.exe. Значит, при применении данной сигнатуры, мы имеем возможность удалить все файлы попавшие под её определение !
а) Добавляем сигнатуру Fox 1.exe & Fox 2.exe ( Fox .Vir1-2.) б) Добавляем каталог проверки, это команда: "adddir"* *т.е. Все исполняемые файлы каталога будут добавлены в список проверки. г) chklst & delvir Проверка списка и Удаление файлов попавших под определение сигнатуры.** **Следует учитывать, что проверка/зачистка происходит с применением всех имеющихся в наличие, в файле/баз "sgnz" сигнатур. Сигнатур, полученных и сохранённых, например при выполнении предыдущих скриптов!
_ НЕДОПУСТИМА ПОДОБНАЯ ЗАЧИСТКА ДЛЯ ОСНОВНЫХ ГРУПП СИСТЕМНЫХ КАТАЛОГОВ ПРИ РАБОТЕ С ОБРАЗОМ_!!! C:\WINDOWS ; C:\WINDOWS\system32 и т.д...
Причина: НЕ ПОДКОНТРОЛЬНОЕ ВОЗДЕЙСТВИЕ СИГНАТУРЫ НА ОСНОВНЫЕ СИСТЕМНЫЕ ФАЙЛЫ !!!* *Что, может привести к потере, таких системных файлов, как : TASKMGR.EXE ; USERINIT.EXE и т.п.
----------------------------------------------
;uVS v4.1.8 []
addsgn A7679BF0AA0244834FD4C601898A1261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625CD7E0C09F75C4C32EF4CA383113DA3BE4AC965B2FC706AB7E 8 Fox .Vir1-2.
czoo - команда поместить папку zoo ( со всеми файлами ) в архив. Применяется архиватор на основе 7-zip ------------------------------------------------
Нам нужно посмотреть каталог которого программа не видит - или внешний диск с информацией ? Можно добавить каталог вручную, а можно написать и выполнить скрипт который это сделает.
Добавление файлов каталога с автоматическим созданием образа.
Выполнение скрипта с параллельным созданием нового образа автозапуска. *Добавляем команду: crimg
;uVS v4.1.8 []
addsgn A7679BF0AA0244834FD4C601898A1261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625CD7E0C09F75C4C32EF4CA383113DA3BE4AC965B2FC706AB7E 8 Fox .Vir1-2.
---------------------------------- При очистке данных в браузере всегда закрывайте браузеры... Если не закрыть, есть риск, что браузер придётся ремонтировать....
---------------------------------- uVS поддерживает работу с CMD - с командной строкой.
* При удалении Активных/Внедряемых .Dll - применяются команды вида: delref + del
;uVS v4.1.8 [] ;Target OS: NTv6.1
delref %SystemRoot%\ZUDVA.Dll del %SystemRoot%\ZUDVA.Dll restart
Если файл не даёт себя удалить - uVS отложит удаление и удалит при старте PC Не стоит удалять его в лоб командой: delall ( но здесь всё индивидуально - раз на раз не приходиться - но не стоит рисковать ) -------------------------------------------------- или даже так:
;uVS v4.1.8 [] ;Target OS: NTv6.1
sreg delref %SystemRoot%\ZUDVA.Dll areg
Альтернатива: Удаление в безопасном режиме. --------------------- Вторым скриптом - после перегрузки можно добить тушку\файл, что остался на диске.
При анализе системы ( хорошо вам знакомой системы ) Если в списке активных процессоров видим процессы относящиеся к оборудованию, антивирусом, браузерам и т.д. которые вы не устанавливали... а они есть ...
