Перейти к содержанию
AM_Bot

Symantec обнаружила хакерское ПО, изменяющее загрузочный ...

Recommended Posts

Valery Ledovskoy
динозавровской ХР!

Она не будет динозавровской до 2014 года по меньшей мере:

http://www.cnews.ru/news/line/index.shtml?2007/01/25/232750

Если бы Vista была такой хорошей, как её малюют, то не делала бы MS такие шаги.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Ну все, лечение сделано, небольшой сюрприз для автора приготовлен. Посмотрим на его следующий ход :lol:

2Касперский Лаб: вы лечить-то когда-нибудь будете? Даже после снятия нами хуков вы не лечите, даже один из первых буткитов :angry:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ну все, лечение сделано, небольшой сюрприз для автора приготовлен. Посмотрим на его следующий ход :lol:

2Касперский Лаб: вы лечить-то когда-нибудь будете? Даже после снятия нами хуков вы не лечите, даже один из первых буткитов :angry:

Мы вообще-то не допускаем заражения системы изначально. И даже сигнатурами этот буткит ловили сильно раньше, чем он многим другим известен стал.

Считайте, что мы не желаем костылями подпирать каждый новый вариант буткита. Вы то, как говорят, тоже, то ловите, то не ловите, то снимаете, то не снимаете и т.д :)

Сделать - не проблема ни разу, ничего сложного там нет. Только нам для этого MP выпустить надо. А никто этого не позволит сейчас.

У нас 8-ка в работе, ну вот и...

а так - AVZ тоже наш продукт, если кто забыл вдруг.

Если честно, нас сейчас гораздо больше волнуют проблемы с совсем другими малварами, которые распространены гораздо сильней, чем буткит. И которые одинаковы проблемны как для нас, так и для вас. На буткит юзеры не жалуются, а вот на это ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

http://users.livejournal.com/sww_/

о, я вижу у Вас к ЛК чувства :rolleyes:

Февраль, 18, 2008

Касперчегам

18/2/2008 01:17

Нисколько не уважаемые сотрудники каспер-лаба, прекратите заябывать своими комментариями относительно моей этики в скрытых ветках virusinfo и в личных сообщениях anti-malware сотрудникам Доктор Веб. Нет никакой этики. Я делаю то, что считаю правильным. Так что идите нах. Достали.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Мы вообще-то не допускаем заражения системы изначально. И даже сигнатурами этот буткит ловили сильно раньше, чем он многим другим известен стал.

Этот ваш BSOD'о-генератор обходится двумя пальцами об асфальт, странно что автор еще этого не сделал. Может быть ему пофиг? Зато не пофиг как мы снимаем хуки и как GMER видит MBR... Насчет сигнатур - возможно, некоторые ранние версии. Те сэмплы, которые были у нас изначально виделись вами в количестве штуки 2 из 25, со временем правда они добавились.

Считайте, что мы не желаем костылями подпирать каждый новый вариант буткита. Вы то, как говорят, тоже, то ловите, то не ловите, то снимаете, то не снимаете и т.д :)

Ну, во-первых, снимаем и ловим. Новая версия буткита заточена специально против наших техник, потому и не ловили. Во-вторых, активное заражение лечить не надо - согласен. IPO, 8ка оно главнее... :rolleyes: А юзеры подождут им невпервой.

а так - AVZ тоже наш продукт, если кто забыл вдруг.

Он нифига не умеет. Видит только. Кстати его "надуть" также не проблема. Так что AVZ как собака - все понимает, только сделать ничего не может.

Если честно, нас сейчас гораздо больше волнуют проблемы с совсем другими малварами, которые распространены гораздо сильней, чем буткит. И которые одинаковы проблемны как для нас, так и для вас. На буткит юзеры не жалуются, а вот на это ...

На буткит юзеры не жалуются, сидят себе в зомби-ботнете, не видят нифига. Статистика у вас есть по заражениям? Откуда, если вы не ловите?

Про руткиты, которые не дают поставиться/обновиться продуктам согласен, это большая проблема, но они тоже не сильно распространены. Но думать надо, тут я +1.

о, я вижу у Вас к ЛК чувства :rolleyes:

Просто некоторые любят поиграть в "руссиш партизанен", пора переводить жж во friends-only.

Кстати, Иван, могли бы запикать чтоли словечки, мне пофиг, но это ж Вы цитируете.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Кстати, Иван, могли бы запикать чтоли словечки, мне пофиг, но это ж Вы цитируете.

а мне тем более пофиг, не я же писал :rolleyes:

пора переводить жж во friends-only

я кстати искал не жж, а инфу по новому буткиту, ктож виновать, что поисковики проиндексировали :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Этот ваш BSOD'о-генератор обходится двумя пальцами об асфальт, странно что автор еще этого не сделал.

Факт остается фактом. Не обходит. Мы должны биться головой об стену и рыдать, умоляя "ну пожалуйста поимейте и нас пожалуйста так же как веба" ?

Может быть ему пофиг? Зато не пофиг как мы снимаем хуки и как GMER видит MBR... Насчет сигнатур - возможно, некоторые ранние версии. Те сэмплы, которые были у нас изначально виделись вами в количестве штуки 2 из 25, со временем правда они добавились.

Слушай, ну врать то зачем ? Не я ли лично тебе лично писал в приват вопросы - какого хрена ВЫ не детектите (просто сигнатурами) КУЧУ дропперов буткита ? Или мне приснилось и этого не было ?

+ Информация с вашего же сайта гласит, что детектирование _какого-то_ Maosboot было вами добавлено 29 декабря.

Вторая itw-вспышка была 22-го. Чем тут понтоваться, не понимаю ...

Ну, во-первых, снимаем и ловим. Новая версия буткита заточена специально против наших техник, потому и не ловили.

Тебе про это говорили еще месяц назад. Ты не верил. Ткнули носом в сампл - тогда да, прозрел.

Можешь конечно утверждать, что теперь вы ловите все 100% существующих вариантов буткита, но мне эти утверждения - не интересны :)

Во-вторых, активное заражение лечить не надо - согласен. IPO, 8ка оно главнее... :rolleyes: А юзеры подождут им невпервой.

...

На буткит юзеры не жалуются, сидят себе в зомби-ботнете, не видят нифига. Статистика у вас есть по заражениям? Откуда, если вы не ловите?

Тут вот как-то Гладких крикнул радостно, что буткит стал ловиться у юзеров Корбины. Ну я посмотрел. Там - на stat.drweb.com

Так я так и не нашел его в первой 1000 - ни за два месяца, ни за один день - вообще никак и нигде. До сих пор не понимаю - что ж это было ? Покажи мне хоть какую-то статистику, где видно что вы хоть у кого-то буткит продетектили ?

про ботнет жесть ... :) без комментариев, пожалуй.

Слав, ну чего ты тут пальцы гнешь ? мне правда не понятно.

Ну сделал ты детектирование очередной версии буткита - сам же знаешь что завтра же появится очередной, который точно так же вас обломает. Костыли это все и попытки потешить свое самолюбие. Прекрасно ведь осознаешь, что спасет только отдельная тулза, которая может фалсить, ронять все в синьку, хукать как попало и выжигать направо и налево. Еще 2-3 новых варианта буткита - и тебе уже никто не позволит добавлять ЭТО в ПРОДУКТ.

Я считаю что это мартышкин труд и загон самих себя в угол. Изначально надо идти совсем другим путем. Мы собираемся идти.

Кто окажется прав - покажет будущее.

Пока по факту на сегодня - ты молодец. Даже если это ничего в масштабах вселенной не меняет :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Факт остается фактом. Не обходит. Мы должны биться головой об стену и рыдать, умоляя "ну пожалуйста поимейте и нас пожалуйста так же как веба" ?

Да уж, вас очень страшно иметь, вы падаете в синьку если что не так :lol::lol:

Слушай, ну врать то зачем ? Не я ли лично тебе лично писал в приват вопросы - какого хрена ВЫ не детектите (просто сигнатурами) КУЧУ дропперов буткита ? Или мне приснилось и этого не было ?

Из этих сэмплов вы детектили 2-3, как я и говорил. Где тут вранье? Пришлось писать универсальный скрипт для пакера, а не долбить как ваши дятлы под именем "синовал", потому сразу и не добавили. Вообще, еще заодно и анализ надо провести, чтобы придумать полноценное лечение.

Тут вот как-то Гладких крикнул радостно, что буткит стал ловиться у юзеров Корбины. Ну я посмотрел. Там - на stat.drweb.com

Так я так и не нашел его в первой 1000 - ни за два месяца, ни за один день - вообще никак и нигде. До сих пор не понимаю - что ж это было ? Покажи мне хоть какую-то статистику, где видно что вы хоть у кого-то буткит продетектили ?

На той же Корбине были прецеденты, видел лог. Понятия не имею почему их нет на stat.drweb.com. Кстати, для меня Корбина вообще никакой показатель, не так много народу в масштабе вселенной.

Слав, ну чего ты тут пальцы гнешь ? мне правда не понятно.

Ну сделал ты детектирование очередной версии буткита - сам же знаешь что завтра же появится очередной, который точно так же вас обломает. Костыли это все и попытки потешить свое самолюбие. Прекрасно ведь осознаешь, что спасет только отдельная тулза, которая может фалсит, ронять все в синьку, хукать как попало и выжигать направо и налево. Еще 2-3 новых варианта буткита - и тебе уже никто не позволит добавлять ЭТО в ПРОДУКТ.

А вот это мы посмотрим.

Неужели кто-то думает, что ваш ТЕКУЩИЙ "проактивный" подход что-то изменит? Имхо, менять надо то, что скрывается под понятием "проактивная защита", иначе это ТЕ ЖЕ костыли, только в профиль.

Ну и хотя бы на текущий момент все знают кто молодец ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
На той же Корбине были прецеденты, видел лог. Понятия не имею почему их нет на stat.drweb.com. Кстати, для меня Корбина вообще никакой показатель, не так много народу в масштабе вселенной.

stat.drweb.com это разве не есть то, что вы нашли во всей вселенной? :rolleyes:

кстати причем здесь не так много народу, Корбина это выборка, причем вполне нормальная по объему

я запросил топ 2000 за последний месяц, последний высветился - Trojan.MulDrop.7065, который вам повстречался 32 раза - 0% от общего числа

ни MaosBoot, ни Trojan.Packed.278 в этом топе не присутсвуют

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

RussoTuristo - Виталя, почему ты не хочешь напиццо яду и купив сапоги-скороходы убить себя об ближайшую стену?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
А лудщее лечение это Complete PC которое кстати форматирует и делит диски и за 15 мин вы снова работаете на новенькой,настроеной Висте,а от кражи есть 2 вида шифрования!

Виталь ну скока можно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Да уж, вас очень страшно иметь, вы падаете в синьку если что не так :lol::lol:

какой-то пионерский бред пошел...

Из этих сэмплов вы детектили 2-3, как я и говорил. Где тут вранье? Пришлось писать универсальный скрипт для пакера, а не долбить как ваши дятлы под именем "синовал", потому сразу и не добавили. Вообще, еще заодно и анализ надо провести, чтобы придумать полноценное лечение.

На начало января в природе существовало ~8 вариантов Синовала. Ни один из них вами не детектировался. Нами детектировался. Мое изумление было настолько велико, что я написал о нем тебе. Ты сказал "хз, посмотрю, но там не все из math16.. math25 -буткиты". Теперь значит их уже стало 25 и вам значит пришлось писать скрипт для пакера ... ???

который на самом деле не пакер, а обфускатор и до синовала был использован в целой куче всякой другой малвары и известен антивирусным компаниям минимум с начала 2007 года...

Анализ провели ? придумали ? А то что буткит может спасти только себя самого, а БЭКДОР, ради которого он собственно в систему и ставится - оставляет незащищенным и выносимым на раз-два - не заметили ?

Кто ботнет-то организует ?

На той же Корбине были прецеденты, видел лог. Понятия не имею почему их нет на stat.drweb.com. Кстати, для меня Корбина вообще никакой показатель, не так много народу в масштабе вселенной.

Понятно. Как всегда - статистики нет.

Может очередной "крупный иностранный клиент с сетью на пять тысяч машин", на деле оказывающийся вьетнамской поликлиникой ? :)

Неужели кто-то думает, что ваш ТЕКУЩИЙ "проактивный" подход что-то изменит? Имхо, менять надо то, что скрывается под понятием "проактивная защита", иначе это ТЕ ЖЕ костыли, только в профиль.

Ты не в теме, поэтому обсуждать тут нечего.

Ну и хотя бы на текущий момент все знают кто молодец ;)

А с чем тут спорить ? :)

Ты молодец, что смог решить конкретную проблему, возникшую у пользователей вашего продукта, из-за того что ваш продукт не смог остановить заражение, пропустил, допустил, был обойден. Пострадавшие теперь могут вылечиться. Спустя месяц.

Мы молодцы, что изначально не допустили заражений наших клиентов и сейчас спокойно решаем более глобальные проблемы, чем изготовление костылей.

Все довольны.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
stat.drweb.com это разве не есть то, что вы нашли во всей вселенной? :rolleyes:

Честно скажу - я не знаю как работает эта статистика :)

Есть проблема - буткит распространяется через эксплоиты, а не через спам рассылку (что такое "файлы" в выборе фильтра я не знаю :)

кстати причем здесь не так много народу, Корбина это выборка, причем вполне нормальная по объему

Ну, возможно, однако я видел лог лечения с Корбины. Был MaosBoot. Не все, кстати, запускают сканер так часто как надо.

я запросил топ 2000 за последний месяц, последний высветился - Trojan.MulDrop.7065, который вам повстречался 32 раза - 0% от общего числа

ни MaosBoot, ни Trojan.Packed.278 в этом топе не присутсвуют

Номера .Packed'ов меняются, добавляем новые модификации. На память я их сейчас не вспомню.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
На начало января в природе существовало ~8 вариантов Синовала. Ни один из них вами не детектировался. Нами детектировался. Мое изумление было настолько велико, что я написал о нем тебе. Ты сказал "хз, посмотрю, но там не все из math16.. math25 -буткиты".

Так и было, не все из них буткиты, не все подменяют MBR. Они известны под именем Trojan.PWS.Snap

Теперь значит их уже стало 25 и вам значит пришлось писать скрипт для пакера ... ???

который на самом деле не пакер, а обфускатор и до синовала был использован в целой куче всякой другой малвары и известен антивирусным компаниям минимум с начала 2007 года...

Их больше чем 25, на тот момент у меня было 25 конкретных, НОВЫХ, сэмплов. Проще написать скрипт, чем добавлять так.

Понятно. Как всегда - статистики нет.

Это, кстати, и не мои заботы.

Ты не в теме, поэтому обсуждать тут нечего.

Черт, а мне казалось я вляпался в вашу тему :o

Я то как раз в теме...

А с чем тут спорить ? :)

Ты молодец, что смог решить конкретную проблему, возникшую у пользователей вашего продукта, из-за того что ваш продукт не смог остановить заражение, пропустил, допустил, был обойден. Пострадавшие теперь могут вылечиться. Спустя месяц.

Мы молодцы, что изначально не допустили заражений наших клиентов и сейчас спокойно решаем более глобальные проблемы, чем изготовление костылей.

Все довольны.

Есть еще группа пользователей которая вообще не пользуется нашими/вашими продуктами, с ними как быть? Плевать? Типа не наши, ну и хрен с вами. Есть те, кто вообще не пользуется антивирусом постоянно. С ними также? Не допустить - это хорошо, но вылечить когда уже жопа - это лучше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Так и было, не все из них буткиты, не все подменяют MBR. Они известны под именем Trojan.PWS.Snap

Их больше чем 25, на тот момент у меня было 25 конкретных, НОВЫХ, сэмплов. Проще написать скрипт, чем добавлять так.

О чем споришь тогда ? Я тебе русским языком вроде бы говорю - в момент активного itw-распространения буткита - ВЫ ИХ НЕ ДЕТЕКТИЛИ. Я то думал у вас самплов не было, а выходит что были, да вы "скрипт писали" ...

Это, кстати, и не мои заботы.

Тогда не хотелось бы впредь слышать каких-либо ссылок на некие статические данные и утверждений, подобных этому:

"На буткит юзеры не жалуются, сидят себе в зомби-ботнете, не видят нифига. Статистика у вас есть по заражениям? Откуда, если вы не ловите?"

Есть чем подтвердить свои заявы - подтверждай. Нет - значит нет.

Есть еще группа пользователей которая вообще не пользуется нашими/вашими продуктами, с ними как быть? Плевать? Типа не наши, ну и хрен с вами. Есть те, кто вообще не пользуется антивирусом постоянно. С ними также? Не допустить - это хорошо, но вылечить когда уже жопа - это лучше.

Это риторический вопрос. Для того чтобы человек вдруг решил поставить ваш продукт и вылечить буткита - ему бы надо для начала как-то заподозрить его. Каким образом Вася Пупкин, юзер Нода, зараженный буткитом - вдруг решит поставить дрвеб - я не знаю.

Каким образом вообще заставить пользователей "слабых" антивирусов - взять и поставить себе что-то помощней и выловить наконец-то десятки троянов на своих тачках ? Не только буткита. Вообще чего угодно.

Как ?

Неужели наличие у Дрвеб лечения для маосбут - отвечает на этот вопрос и снимает проблему ?

да ну блин, лол.

Ты еще вспомни "Rustock.c" - который где-то живет, а его никто не видит и видеть не может :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
О чем споришь тогда ? Я тебе русским языком вроде бы говорю - в момент активного itw-распространения буткита - ВЫ ИХ НЕ ДЕТЕКТИЛИ. Я то думал у вас самплов не было, а выходит что были, да вы "скрипт писали" ...

Они появились двумя днями раньше у меня, потому и не детектили. Не на все есть время сразу.

Тогда не хотелось бы впредь слышать каких-либо ссылок на некие статические данные и утверждений, подобных этому:

"На буткит юзеры не жалуются, сидят себе в зомби-ботнете, не видят нифига. Статистика у вас есть по заражениям? Откуда, если вы не ловите?"

Есть чем подтвердить свои заявы - подтверждай. Нет - значит нет.

Это была ирония на фразу ниже, если непонятно сразу.

Если честно, нас сейчас гораздо больше волнуют проблемы с совсем другими малварами, которые распространены гораздо сильней, чем буткит.

ОТКУДА У ВАС СТАТИСТИКА? Мне еще раз повторить? С чего вдруг ты решил, что буткита меньше чем тех, кто не дает ставится AV?

Я уверен, что существует не один ботнет (по косвенным признакам). Они работают (проверяно), активно обновляются (проверяно), ставят трояны ворующие банковскую инфу (проверяно). Нахрен автору плодить такой сложный код и заразить всего-лишь 100 компьютеров? От нефиг делать? Это уже давно не PoC, а работающая версия.

Это риторический вопрос. Для того чтобы человек вдруг решил поставить ваш продукт и вылечить буткита - ему бы надо для начала как-то заподозрить его. Каким образом Вася Пупкин, юзер Нода, зараженный буткитом - вдруг решит поставить дрвеб - я не знаю.

Каким образом вообще заставить пользователей "слабых" антивирусов - взять и поставить себе что-то помощней и выловить наконец-то десятки троянов на своих тачках ? Не только буткита. Вообще чего угодно.

Как ?

Не обязательно ставить Dr.Web, есть CureIt. Его активно пользуют юзеры других антивирусов или те, кто вообще не использует антивирусы.

Неужели наличие у Дрвеб лечения для маосбут - отвечает на этот вопрос и снимает проблему ?

да ну блин, лол.

Причем тут конкретный maosboot? Я вообще про активное заражение говорю. Это в любом случае не снимает проблемы лечения или проблемы заражения пользователей, которые не используют антивирус.

Ты еще вспомни "Rustock.c" - который где-то живет, а его никто не видит и видеть не может :)

:lol: Фтопку русток.цэ, сдается мне, что его уже все видят и лечат, и причем давно, а слушок так пущен, по ветру.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

sww, кстати неплохая схема пиара. получаете сампл, месяц другой ничего с ним сделать не можете, потом удается расковырять, лечилка выходит в стадию беты...и тут крик в рунете: "Появился новый буткит, а мы уже буквально на днях выпустим лечение!"

Удобно, практично, я, который далек от прикладной вирусологи, сразу повелся, думал тока обнаружили новый экземпляр - Доктор уже на страже. Оказалось на страже, но не уже и не сразу, самплы новые известны уже давно. :rolleyes:

в принципе здорово, что Доктор наконец стал заниматься пиаром, интересно что начали это делать вирусные аналитики - видимо устали бороться с собственным отделом маркетинга и начали пиарить сами.

Кстати офтоп: зачем вы распрощались с Горшковой? она была вполне вменяемой пиарщицой...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
sww, кстати неплохая схема пиара. получаете сампл, месяц другой ничего с ним сделать не можете, потом удается расковырять, лечилка выходит в стадию беты...и тут крик в рунете: "Появился новый буткит, а мы уже буквально на днях выпустим лечение!"

Удобно, практично, я, который далек от прикладной вирусологи, сразу повелся, думал тока обнаружили новый экземпляр - Доктор уже на страже. Оказалось на страже, но не уже и не сразу, самплы новые известны уже давно. :rolleyes:

Иван, зря вы утрируете ;) . Во-первых, еще раз повторюсь, да сэмплы были добавлены не сразу, прошло 2 дня. Лечение добавить - это вам не мешок картошки из вагона выгрузить: надо дописать шилд, встроить его в сканер, оттестировать, прогнать бету, выпустить фикс и со всем этим связаны разные другие вещи. И я рассказал о том, что мы его лечим сразу перед выходом в бету. Согласитесь, тут можно по-разному смотреть на временные промежутки.

в принципе здорово, что Доктор наконец стал заниматься пиаром, интересно что начали это делать вирусные аналитики - видимо устали бороться с собственным отделом маркетинга и начали пиарить сами.

Кстати офтоп: зачем вы распрощались с Горшковой? она была вполне вменяемой пиарщицой...

Тут я высказываю лишь свое мнение, оно может не совпадать со мнением компании/руководства и/или пиар-отдела.

Про оффтоп я ничего не знаю, не знаком с ситуацией.

P.S. На общую мысль поста я могу ответить так: Аналитики - люди, а не дятлы :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Иван, зря вы утрируете ;) . Во-первых, еще раз повторюсь, да сэмплы были добавлены не сразу, прошло 2 дня. Лечение добавить - это вам не мешок картошки из вагона выгрузить: надо дописать шилд, встроить его в сканер, оттестировать, прогнать бету, выпустить фикс и со всем этим связаны разные другие вещи. И я рассказал о том, что мы его лечим сразу перед выходом в бету. Согласитесь, тут можно по-разному смотреть на временные промежутки.

из постов А.следует, что с момента появления нового буткита до вашего заявления прошло не 2 дня, а как минимум месяц. То что у вас лично эти самплы появились недавно ... это другой вопрос

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
из постов А.следует, что с момента появления нового буткита до вашего заявления прошло не 2 дня, а как минимум месяц. То что у вас лично эти самплы появились недавно ... это другой вопрос

Уточняю. Пойнтов два.

1. itw-самплы буткита от 22 декабря - не обнаруживались DrWeb по состоянию на 8 января.

2. Еще месяц назад было известно о существовании модификаций буткита, которые DrWeb не ловил существовавшим у них на тот момент фиксом для первого буткита. Являются ли _те_ модификации - тем самым "новым" буткитом, с которого этот топик снова ожил - я не знаю. Могу только строить предположения. Для _меня_ они достаточно очевидны.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

31 марта 2008 года

Компания «Доктор Веб» объявила о выпуске обновленного антивирусного сканера Dr.Web для Windows NT/2000/XP/Vista, который распознает и лечит новую версию вируса BackDoor.MaosBoot. До сих пор было невозможно лечение антивирусными программами компьютера, пораженного данным вирусом. C выходом обновленного антируткит-драйвера Dr.Web Shield™, входящего в состав сканера, продукт Dr.Web стал первым антивирусом, который гарантирует лечение новой версии BackDoor.MaosBoot.

бла бла бла

кхм.

а вы уверены в том, что пишите?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

а в чем проблема?

отмечу, что с точки зрения яркости текста новости они выросли с прошлого буткита

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
31 марта 2008 года

...

кхм.

а вы уверены в том, что пишите?

А вы уже "захучили всю плонеду"? Тогда продолжайте в том же духе :lol::lol::lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
А вы уже "захучили всю плонеду"? Тогда продолжайте в том же духе :lol::lol::lol:

Спрашиваю еще раз, более адекватных людей из DrWeb - вы уверены в том что написали ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Спрашиваю еще раз, более адекватных людей из DrWeb - вы уверены в том что написали ?

Снова Вы в своей манере. Эксперт по нагнетанию обстановки :)

Александр, тех людей, что это писали, нет на АМ :) Если у Вас есть опровержение - публикуйте или давайте ссылку. Я передам ответственным.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      а внутри локалки и не получится, белые ip нужны только при подключении через интернет.
    • santy
      Проверил на двух домашних ПК в локальной сети с роутером. Схема с серым IP работает отлично. Передача файлов гениальна! Вот просто как будто дополнительное зрение появилось :). Через белый IP  пока не удалось подключиться. Пришлось еще фаерволлы включить в интерактивный режим. (На автомате еще не проверял, возможно надо сохранить некоторые правила.)
    • demkd
      ---------------------------------------------------------
       4.99.4
      ---------------------------------------------------------
       o Исправлена функция автоматического переключения удаленных рабочих столов.
         Проблема проявлялась при работе с удаленной системой через локальную сеть, при запуске приложения
         от имени администратора не происходило автоматическое переключение на защищенный рабочий стол.
         (не касается полной версии разового доступа к рабочему столу, в этом режиме проблемы не было).

       o Проведено сравнительное тестирование системного удаленного рабочего стола и uVS.
         Передача файлов через системный удаленный рабочий стол идет почти в 20 раз медленней чем через через uVS.
         Максимальный fps в 32-х битном цвете почти в 3 раза ниже чем у uVS в FHD.
         (!) Выявлена проблема совместного использования uVS и системного рабочего стола.
         (!) Если системный рабочий стол был закрыт БЕЗ выхода из пользователя, то uVS не сможет
         (!) отбразить рабочий стол логона пользователя (Winlogon).
         (!) Единственное решение проблемы: подключиться заново через системный рабочий стол и выйти из пользователя.
       
    • demkd
      ---------------------------------------------------------
       4.99.3
      ---------------------------------------------------------
       o Это обновление повышает качество работы с удаленной системой и добавляет новый режим работы.
         (!) Новая функция не совместима со старыми версиями uVS, если у вас в настройках установлен флаг bReUseRemote = 1,
         (!) то перед обновлением необходимо закрыть все серверные части uVS на удаленных компьютерах с помощью
         (!) старой версии uVS.

       o Добавлен новый режим работы: Разовый доступ к удаленному компьютеру.
         (!) Доступно начиная с Vista, подключение к рабочему столу устаревших систем возможно лишь прежним способом.
         Ранее просмотр и управление рабочим столом удаленного компьютера было вспомогательной функцией при работе с удаленной системой.
         Для подключения требовались полномочия администратора или знание логина и пароля администратора удаленного компьютера и
         физическая возможность подключения к удаленному компьютеру.
         Новый режим работы похож на то, что предлагают всевозможные поделки для удаленного администрирования.
         o В этом режиме доступно: управление и просмотр рабочего стола, а также быстрый и надежный обмен файлами на пределе пропускной
           способности канала. (для сравнения RAdmin в гигабитной сети передает файлы более чем в 15 раз медленней чем uVS).
         o Передаваемые кадры теперь не только сжимаются, но и шифруются,  целостность передаваемых файлов защищена
           проверочным хэшем и шифрованием.
         o Подключение осуществляется без использования промежуточного сервера, т.е. это чистый P2P.
         o Подключение возможно к компьютеру за NAT при включенной у роутера опции uPNP.
         o Подключение возможно к компьютеру, где активирован VPN.
           (!) Подключение производится к реальному адресу роутера или адаптера компьютера с VPN, VPN канал полностью игнорируется.
         o Подключение возможно в обе стороны, т.е. из пары компьютеров требуется лишь 1 белый IP, направление подключения выбирается
           при начальной настройке.

         При запуске start.exe теперь вам доступны три новые кнопки:
         o Управление удаленным компьютером и обмен файлами.
           Эту кнопку нажимает тот кто хочет получить доступ к удаленному компьютеру, в открывшемся окне можно выбрать
           вариант подключения (см. ниже) и ввести код доступа полученный от того кто предоставляет доступ к компьютеру.
           Варианты подключения:
             o Соединение примет мой компьютер - в этом случае необходимо выбрать IP к которому будет подключаться другая
               сторона. При подключении через интернет следует выбирать белый IP адрес, если ваш компьютер за роутером
               и на нем активен NAT, то выбрать нужно именно его IP адрес. (адрес с пометкой [router]).
               Если роутер поддерживает uPNP, то этот адрес будет выбран по умолчанию.
               Если же в списке нет белых IP то вам следует выбрать другую опцию подключения.
               После выбора IP просто нажмите кнопку Старт и передайте одноразовый код доступа другой стороне.
               При подключении по локальной сети вы можете нажать кнопку "Все IP" и выбрать любой серый адрес для подключения.
               Поддерживается и IPv4 и IPv6.
               (!) Код доступа автоматически копируется в буфер обмена при нажатии кнопки "Старт".

             o Соединение установит мой компьютер - просто скопируйте код доступа в поле ввода или код там появится автоматически
               если вы его скопировали из мессенджера. После чего нажмите кнопку Старт и ожидайте подключения.

         o Разовый удаленный доступ к моему компьютеру [админ]
           (!)Пользователь должен обладать правами администратора или правами по запуску и установке служб.
           Эту кнопку нажимает тот кто хочет предоставить доступ к своему компьютеру, в открывшемся окне можно выбрать
           разрешения для другой стороны.
           Доступны 3 варианта:
             o  Управление     - доступно: мышь, клавиатура, просмотр экрана и обмен файлами.
             o  Просмотр       - доступно: просмотр экрана и обмен файлами.
             o  Обмен файлами  - доступно: обмен файлами.
           Это полнофункциональная версия удаленного рабочего стола uVS, с возможностью удаленного подтверждения
           запуска приложений от имени администратора и эмуляции нажатия Ctrl+Alt+Del.

         o Разовый удаленный доступ к моему компьютеру [не админ]
           Все тоже самое что и во 2-м случае, кроме удаленного подтверждения запуска приложений от имени администратора
           и эмуляции нажатия Ctrl+Alt+Del, дополнительно есть ограничение по использованию защищенных рабочих столов.

       o При работе с удаленным рабочим столом теперь доступна передача файлов и каталогов из буфера обмена в обе стороны.
         Что бы передать файлы или целые каталоги на удаленный компьютер, просто скопируйте их в буфер обмена и в окне
         удаленного рабочего стола нажмите кнопку со стрелкой вверх.
         Передача изображения автоматически отключится и откроется окно с логом передачи файлов.
         В заголовке окна лога вы увидите объем переданных данных и среднюю скорость передачи (с учетом чтения их с диска).
         По окончании передачи  файлов в лог будет выведена информации о времени передачи, количестве успешно переданных файлов и
         средней скорости передачи.
         Переданные файлы будут помещены в буфер обмена удаленной системы и вы сможете  вставить их из буфера
         в любой каталог или прямо на рабочий стол. При этом файлы переносятся из временного каталога.
         Если же вы не вставили файлы из буфера обмена то они останутся во временном каталоге C:\uVS_copyfiles\*
         точный путь до которого выводится в лог на удаленном компьютере.
         Что бы получить файлы проделайте обратную операцию: скопируйте файлы в буфер обмена на удаленном компьютере
         и нажмите кнопку со стрелкой вниз, по завершению передачи файлы будут помещены в буфер обмена вашего компьютера
         и вы можете перенести их в любую нужную папку.
         Таким образом обе стороны видят какие файлы и куда копируются и при этом максимально упрощается процесс копирования.
         (!) При закрытии окна лога передача файлов будет остановлена.
         (!) При разрыве соединения передача файлов будет автоматически продолжена после восстановления соединения,
         (!) при этом работает функция докачки, т.е. если ошибка произошла при передаче большого файла, то передача его
         (!) продолжится с последнего успешно полученного блока, т.е. блок будет заново.
         (!) Каждая передача файлов является независимой, т.е. нельзя прервать передачу и воспользоваться функцией докачки.
         (!) Проверка целостности файлов производится на лету вместе с его расшифровкой, таким образом достигается
         (!) максимально возможная скорость передачи примерно равная скорости копирования файлов по локальной сети системой.
         (!) При необходимости передачи большого количества мелких файлов рекомендуется поместить их в архив, это серьезно
         (!) сократит время передачи.
         (!) Состоянии кнопки CS никак не влияет на данный функционал.

       o Изменен приоритет протоколов: IPv4 теперь является приоритетным, как показали замеры в гигабитной локальной сети
         IPv4 позволяет достичь более высокой скорости передачи данных.

       o Добавлено шифрование сжатых кадров удаленного рабочего стола для повышения защиты передаваемой по сети информации.

       o В случае разрыва соединения повторное подключение происходит автоматически без запроса.

       o Снижен инпут лаг при работе с удаленным рабочим столом.

       o Обновлена функция синхронизации буфера обмена с удаленной системой: теперь поддерживается передача скриншотов
         в обе стороны.

       o Обновлена функция передачи движений мыши в удаленную систему.
         Теперь доступно управление с помощью движений мыши, которое используется в некоторых приложениях и играх. (если нажата кнопка MM)
         Если указатель мыши видим в удаленной системе то управление производится позиционированием указателя по расчетным координатам (как и раньше),
         в противном случае указатель скрывается в клиентской системе и передаются лишь движения мыши.
         При возникновении проблем с восстановлением видимости указателя вы всегда можете переключиться из окна удаленной рабочего стола по горячей
         клавише RWin.

       o uVS теперь при старте добавляется в исключения Ф и брандмауэра до выхода из uVS.

       o Теперь запоминаются размеры и режим отображения удаленного рабочего стола для каждого активного монитора.
         Кнопка 1:1 применяется автоматически при первом выборе монитора.
         Обработчик кнопки 1:1 обновлен, теперь размер окна рассчитывается с высокой точностью для новых систем,
         где размер окна включает в себя тень.

       o Добавлен выбор метода захвата экрана, доступно 3 варианта:
         o GDI -  медленный метод захвата экрана, но работает в любой удаленной системе, постоянный fps.
                  (единственный доступный метод для Win2k-Win7)

         o DDA1 - быстрый, работает начиная с Windows 8, максимальный коэффициент сжатия,
                  переменный fps в зависимости от экранной активности.
                  (!) рекомендуется использовать при ширине канала ниже 100Mbit, вместо DDA2.

         o DDA2 - очень быстрый метод сравнимый с захватом экрана с помощью mirror драйвера, но без использования драйвера,
                  работает начиная с Windows 8, низкий коэффициент сжатия, переменный fps в зависимости от экранной активности.
                  Способен захватывать видео с высоким fps (до 60) за счет упрощенного метода сжатия и обработки потока кадров.
                  (метод по умолчанию для Win8+, рекомендуется при значительной экранной активности).
                  (!) рекомендуется использовать при ширине канала не менее 100Mbit, при высоких разрешениях 1Gbit и выше
                  (!) из-за низкого коэффициента сжатия.
                  (!) При низкой экранной активности трафик до 10 раз больше чем у DDA1, при высокой - в 2 раза больше.
          
       o В окно удаленной рабочего стола добавлена кнопка "SYN" она замещает собой ручной выбора задержки захвата кадров.
         (отжатая кнопка соответствует нулевой задержке)
         Если кнопка нажата то задержка, а значит и максимальный fps ограничивается автоматически в соответствии
         с пропускной способностью канала, к сожалению это понижает максимальный fps и увеличивает инпут лаг,
         однако это полностью решает проблему, которой страдают даже лучшие программы удаленного управления
         при недостаточной ширине канала. Если канал слишком узок (10Mbit и менее) то при значительной
         экранной активности (оконное видео или анимация) происходит потеря управления удаленным рабочим столом
         из-за того что новые кадры отправляются в буфер значительно быстрее, чем клиентская машина успевает их получить и отобразить,
         в результате чего даже нажатия кнопок отображаются с задержкой в несколько секунд.
         Тоже самое будет наблюдаться в uVS в сходных условиях если кнопка SYN не нажата.
         Поэтому SYN не рекомендуется отключать при значительной активности в кадре и узком канале.
         Если канал 100Mbit и выше (локальная сеть), используется DDA2 то можно выключить SYN и это сильно поднимет fps и значительно уменьшит инпут лаг.
         Кнопка SYN по умолчанию нажата, состояние кнопки сохраняется при выходе из uVS.
         Выбранная цветовая битность теперь тоже сохраняется.

       o В окно удаленной рабочего стола добавлена кнопка "MR" она позволяет управлять указателем мыши из удаленной системы,
         Функция работает ЕСЛИ кнопка нажата И курсор находится в пределах окна удаленного рабочего стола И это окно активно.
         Функция предназначена для тех случаев когда человеку на том конце проще показать проблему чем описать ее словами.

       o Теперь клиентская часть uVS автоматически завершается если удаленная система перезагружается, выключается или завершается сеанс пользователя.
         (только если открыто окно удаленного рабочего стола)

       o Значительно увеличена скорость переключения мониторов, рабочих столов и смены разрешения монитора в DDA режиме.
         (!) Однако есть побочный эффект: если новый монитор будет подключен к удаленной системе пока открыто окно рабочего стола,
         (!) то для отображения картинки с этого монитора необходимо будет закрыть/открыть окно или повторно выбрать метод захвата экрана.

       o Добавлена поддержка браузера Microsoft Edge.

       o Обновлена функция чтения и удаления расширений браузеров: Chrome, Yandex, Edge.
         Добавлены сайты с включенными уведомлениями с указанием времени активации уведомлений.
         Из окна информации о расширении удалено поле Extension_homepageURL за бесполезностью.
         Мусор оставшийся от старых расширений помечается как "файл не найден" и будет удален при вызове функции удаления ссылок на
         отсутствующие файлы.

       o Контекстное меню в окне редактирования критериев теперь тоже использует выбранный размер шрифта.

       o Улучшена совместимость с системами с малым количеством оперативной памяти.

       o Исправлена функция захвата экрана в GDI режиме.

       o Исправлена ошибка в функции чтения защищенных файлов, в некоторых случаях функция не могла получить доступ к файлу.

       o Исправлена ошибка в функции смены рабочего стола

       o Исправлены ошибки инициализации COM.

       o Исправлена ошибка из-за которой из списка проверки выпало 2 ключа автозапуска.

       o Исправлена ошибка в функции отката изменений (Ctrl+Z) при работе с образом.

       o Исправлена ошибка повторной инициализации захвата экрана в случае если рабочий стол был переключен пользователем или системой
         до повторного открытия окна удаленного рабочего стола.

       o Исправлена ошибка при открытии окна информации о компьютере.
         Добавлена дата релиза биоса, исправлено отображение объема физической памяти, добавлена расшифровка типа памяти и условное обозначение
         ее производительности.

       o Добавлена возможность открывать ключ реестра в regedit-е двойным щелчком по строке в логе или
         через контекстное меню.
         (!) Недоступно при работе с образом автозапуска.
       
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.0.12.
×