Перейти к содержанию
Сергей Ильин

Тест на лечение активного заражения VI (подготовка)

Recommended Posts

rkhunter
А в чём их прелесть с т.зр. лечения-то?

Прелесть исключительно в популяции, т. е. распространенности (читай количестве ботов).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
Предлагали также добавить следующие зловреды:

1) Trojan.Mayachok.1

2) Trojan.Necurs

Добавьте "старую", "добрую" sality :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Добавьте "старую", "добрую" sality :rolleyes:

Не подходит под условия теста.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
CatalystX

TDL мертв, брать его стоит только для личного удовлетворения. VBR руткиты тоже нет смысла брать. Во первых VBR руткита всего два - OImasco и маячок. Первый(OImasco) не обновлялся очень долго и потерял к себе любой интерес.

Маячок как блокеры, то есть распространен только в СНГ, если взять последний тест на лечение с av-comparatives, то можно увидеть что представленного там блокера обнаружили только три авера из 18, вывод напрашивается сам собой. Да и не такой он уж и крутой, куча палева в системе(патченный загрузчик винды, регистрация личного нотификатора загрузки процессов PsCreateProcessNotifyRoutine, левый драйвер с dll).

Брать надо распространенное и актуальное, а не баяны. Кто будет сидеть и парится над лечением Sinowal'a, если он уже не актуален? Никто. Брать надо Zbot, Spy Eye, Carbep.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Razboynik
Под 7х32 работает все. Хватит терзать "пенсионера" ХР :rolleyes:

И пенсионер х32 не нужен. Пора тесты проводить под 7х64.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
TПервый(OImasco) не обновлялся очень долго и потерял к себе любой интерес.

У него есть клон - Pihar.C, который распространяется сейчас.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
TDL мертв, брать его стоит только для личного удовлетворения.

Брать надо распространенное и актуальное, а не баяны. Кто будет сидеть и парится над лечением Sinowal'a, если он уже не актуален?

Никто. Брать надо Zbot, Spy Eye, Carbep.

SpyEye мертв также как TDL. В то же время, ботнет, построенный на TDL4 я думаю охватывает точно больше 1 млн машин. Так что в состоянии зомби он еще поживет и долго. Так же как и SpyEye, который все еще продается но за гораздо меньшие деньги.

Sinowal это не баян. А один из самых распространенных пейлоадов BH (с Реветоном). Sinowal актуален как никогда (как и его ботнет с fast flux > 1 млн. ботов).

Я тоже считаю что стоит взять и ZBot и SpyEye, потому что они очень распространены. С точки зрения AV проблемы могут возникнуть: ZBot из explorer.exe постоянно создает свою ветку реестра, а SpyEye инжектирует себя в юзермодные процессы для скрытия файлов и веток реестра. И тот и другой полностью юзермодные. Зачем брать Carberp, если он очень похож на ZBot, если не повторяет его?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
И пенсионер х32 не нужен. Пора тесты проводить под 7х64.

Под x64 будут точно проблемы с запуском многих вреносов, которые обсуждались выше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
CatalystX
Зачем брать Carberp, если он очень похож на ZBot, если не повторяет его?

Carberp уже давно заражает бут-сектор, чего зевс не делает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

За последний год в общем много чего появилось, пошло развитие буткитов, малвар под x64.

Единственное, мне бы не хотелось, чтобы менялась эта методика.

Проведение теста с лечением малвар исходя из распространенности семейства на текущий момент - тоже идея. Но я бы предложил тем, кто ее выдвинул в отдельной теме обсудить/описать методику подобного теста - как отбирать семейства, по чьей статистике, какая статистика сейчас в свободном доступе от антивирусных вендоров, могут ли они (партнеры и не только) поделиться ею, как быть с типами малвар - стандартная процедура лечения зараженного ПК, скажем локерам, инфектящим MBR явно не проканает :), как интерпретировать результаты и что можно собственно получить из результатов подобного теста, какой вывод можно сделать и т.д.

Касаемо этого теста, я бы предложил идти от методики - при выборе малвар она не должна килять кого-то из тестируемых, должны была быть/есть достаточно распространенной (тут некоторая доля субъективизма) и прежде всего набирать малварь исходя из принципов ее борьбы с обнаружением/удалением из системы.

Сейчас вопрос с выбором системы для тестирования проявился. Думаю, что на win7 x86 можно перейти, если заменить все старые малвари на актуальные с теми же принципами защиты. Ну и протестировать работу старых семплов - не будет ли проблем с win7.

Того же xorpix чем заменить из свежего? (dll-ка в жизненно важном процессе системы, открытие с монопольным доступом и пересоздание ключа автозапуска, снятие прав)

Тот же LSP...хотя вроде распространяются сейчас подобные, но там уже не так просто - библиотека загружается из сети, серваки меняются, длл-ка перепаковывается. Так просто в тест не в сунешь. А сути замена не меняет. Тот же Scano....

Это все типовые способы и они имхо должны проверяться.

Руткиты...тут можно и обновить их малек. Тот же TDL4 заменить на его актуальный аналог pihar (тот что был до последнего времени, который инфектил загрузчик в MBR, по нашему Pihar.B), SST/PRAGMA заменить на актуального и распространяемого (создание раздела).

Тот же распространенный mebroot, хотя и тот ведет себя по разному на системах с различными av.

Старых TDL нужно оставлять, т.к. заменить их не чем.

Добавил бы сюда распространенную малвар - Rloader, там и маскировка и открытый файл.

Из новых буткитов добавил бы разве что cidox, который блокирует запись в vbr. Может быть еще и Wistler. Остальная куча буткитов не шибко распространена да и таже самая маскировка (хотя есть и довольно интересные варианты со сплайсингом IRP_MJ_SCSI, хитрыми инжектами с эксплоитами, в том числе полугодичными и работающими под x64 эскалации привилегий, но они скорее всего будут активно распространяться уже после теста...:))

Касаемо win7 x64...если пяток семейств найдется, то было бы не плохо, если бы провели тест с ними. Я "ЗА".

Да, добавлю, что большую часть необходимых семплов можно наковырять на kernelmode.info. А остальные с прошлого теста останутся)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vegas

Касательно x64 можно сделать экспресс-проверку на работоспособность семпла, как делалось в прошлом году. Если отработает - проверить и на х32 и на х64 (Windows 7 ес-но, на ХР тестить думаю смысла уже нет)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
GReY
Методологию принципиально менять не будем, вот она http://www.anti-malware.ru/node/4404

методологию и не надо, вы бы систему оценок расширили с двичной (да/нет) на что-нибудь более разнообразное.

я, к примеру, все ваши тесты пересчитываю по такой шкале:

5 - вылечил без остатка

4 - вылечил, но остался мусор в системе, не сказывающийся на работоспособности

3 - вылечил, но систему нужно приводить в порядок (не запускается explorer.exe или не работает сеть)

2 - чего-то нашёл, но заражение не ликвидировал

1 - не запустился или завис, что указывает на заражение системы руткитом

0 - ничего не нашёл и, соответственно, не вылечил. типа всё в порядке

в последнем тесте это не повлияло бы на награды, а раньше меняло ранжир существенно.

Microsoft 60%

AVG 54%

Norton 50%

Avast! 50%

F-Secure 47%

BitDefender 44%

Outpost 43%

Eset 39%

Panda 37%

Avira 37%

PCTools 33%

McAfee 31%

G Data 27%

Trend Micro 26%

ZoneAlarm 24%

Emsisoft 24%

Comodo 19%

Под 7х32 работает все. Хватит терзать "пенсионера" ХР :rolleyes:

присоединяюсь: XP стремительно отмирает, берите W7 x32

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
присоединяюсь: XP стремительно отмирает, берите W7 x32

Мы сейчас думаем взять W7 x32 + W7 x64 для нескольких самплов буквально. Т.е. получится микс из двух ОС.

5 - вылечил без остатка

4 - вылечил, но остался мусор в системе, не сказывающийся на работоспособности

3 - вылечил, но систему нужно приводить в порядок (не запускается explorer.exe или не работает сеть)

2 - чего-то нашёл, но заражение не ликвидировал

1 - не запустился или завис, что указывает на заражение системы руткитом

0 - ничего не нашёл и, соответственно, не вылечил. типа всё в порядке

Конечно вариант, но позволю себе покритиковать.

Например, почему за "чего-то нашёл, но заражение не ликвидировал" дается 2 балла, а за "ничего не нашел" - ноль. Хотя результат один и тот же - система осталась зараженной.

Второй момент. Полностью успешное лечение оценивается в 4 балла, а обнаружение без лечение - в 2 балла. Получается, что два обнаружение без лечения равняются по ценности одному полному лечению. Это несколько обесценивает ценность лечения как такового. Проще что-то там детектить, собирать 50% баллов и не заморачиваться над сложными материями.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
5 - вылечил без остатка

4 - вылечил, но остался мусор в системе, не сказывающийся на работоспособности

3 - вылечил, но систему нужно приводить в порядок (не запускается explorer.exe или не работает сеть)

2 - чего-то нашёл, но заражение не ликвидировал

1 - не запустился или завис, что указывает на заражение системы руткитом

0 - ничего не нашёл и, соответственно, не вылечил. типа всё в порядке

Вне всяких сомнений, что 4 балла - это очевидная хрень, которая все-равно не заставит лидеров подчищать куки и прочую абсолютно не важную мутотень в системе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
GReY
Вне всяких сомнений, что 4 балла - это очевидная хрень, которая все-равно не заставит лидеров подчищать куки и прочую абсолютно не важную мутотень в системе.

а какие вирусы создают куки? я о ветках реестра, библиотеках, остановленных службах

и заставить кого-то вряд ли вообще возможно, а вот точнее распределить места среди десятков участников вполне реально

Полностью успешное лечение оценивается в 4 балла, а обнаружение без лечение - в 2 балла.

ну оно так и есть, когда речь о руткитах: обнаружить - полдела, выкорчевать - вторая половина.

Получается, что два обнаружение без лечения равняются по ценности одному полному лечению. Это несколько обесценивает ценность лечения как такового. Проще что-то там детектить, собирать 50% баллов и не заморачиваться над сложными материями.

проще вообще не обращать внимания на чьи-то там тесты, а чтобы набрать хотя бы 50% по такой методике, нужно всё же чего-то вылечить.

и вряд ли кто-то будет рекламироваться фразой "наш продукт набрал аж 50% в тесте на лечение активного заражения" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
и заставить кого-то вряд ли возможно, зато точнее распределить места среди десятков участников вполне реально

Здесь другой вопрос, насколько наличие мусора вообще волнует клиента. Подозреваю, что его это волновать не должно, если заражение вылечено. Поэтому снимать за хвосты 20% как-то несправедливо с точки зрения ценности для клиента. С точки зрения оценки качества работы вендоров - возможно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Поэтому снимать за хвосты 20% как-то несправедливо с точки зрения ценности для клиента. С точки зрения оценки качества работы вендоров - возможно.

Нет. Объясню почему. Кстати, "куки" - это (мое?) образное выражение, обозначающее всякую неважную хрень с точки зрения лечения и обнаружения.

Вредоносный код может создавать миллион всякого бесполезного г-на в системе: свои настройки в реестре, в файлах, в стримах и так далее. Картинки, иконки и т.п. Для того, чтобы весь этот хлам подчистить необходимо детально разбирать каждый сэмпл. Дальше - очевидно, да?! ;)

А проверять как связан PDM (который теоретически может отслеживать каждый дропнутый файл) с анти-руткитом - это уже совсем другое тестирование.

P.S. Остановленные службы и прочие изменения - это вообще не дело анти-руткита, по-большому счету.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
GReY
в системе: свои настройки в реестре, в файлах, в стримах и так далее. Картинки, иконки и т.п.

иконки не интересуют, а вот реестр и всякое барахло в system32 надо чистить

Для того, чтобы весь этот хлам подчистить необходимо детально разбирать каждый сэмпл. Дальше - очевидно, да?! ;)

большинство антивирусов так и делает: нашли чего-то по сигнатуре, удалили и дальше хоть трава не расти.

P.S. Остановленные службы и прочие изменения - это вообще не дело анти-руткита, по-большому счету.

мы ж вроде антивирусы целиком тестируем, а не только антируткиты

вот объясните мне, почему продукт, который и супостата уничтожил, и кровищу после себя убрал, должен получать одинаковую оценку с продуктом, который врага выкосил, а отрубленные конечности оставил валяться?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
мы ж вроде антивирусы целиком тестируем, а не только антируткиты

вот объясните мне, почему продукт, который и супостата уничтожил, и кровищу после себя убрал, должен получать одинаковую оценку с продуктом, который врага выкосил, а отрубленные конечности оставил валяться?

Не доходит, ок. Я объясню сразу после того, как вы расскажите каким образом эти отрубленные конечности запускаются.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
а вот реестр и всякое барахло в system32 надо чистить

По-моему чистить нужно то, что так или иначе активно на момент сканирования: dll проинжектированные в процессы, автозапуск, в общем то, что в активном состоянии. Откуда вы знаете что мусор о котором вы говорите относится к активной малвари, может он там и так был до того как, тут уже полную проверку проводить нужно и вычищать по ходу, к активному заражению это не относится.

Кстати предлагаю в качестве кандидата на тест - новый ZeroAccess, без руткита уже как известно. Дропает/даунлоадит на машину около 8-ми различных файлов как пейлоад, вот и можно будет посмотреть кто сколько сможет выкосить, хотя опять же все ли они будут активны на момент сканирования. В нем кстати пара фич любопытных: стартует через {CLSID} в HKCR и запрещает доступ к одной из dll путем полного выкашивания DACL, интересный кейс получится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
CatalystX
мы ж вроде антивирусы целиком тестируем, а не только антируткиты.

Это тест на лечение активного заражения. Так как в тесте в основном руткиты, то тестируется анти-руткит. В задачи анти-руткита входит обнаружение аномалий, нейтрализация перехватчиков и прочая низкоуровневая хрень, а не очищение реестра, удаление служб и.т.д.

Заразись любым руткитом, например TDL4, и попробуй снять дамп с MBR или atapi.sys. Что ты в этих дампах увидишь? Абсолютно чистые, без признаков руткита дампы. Все дело в перехватчиках, перехватчик обнаружил обращение к "местам жительства" руткита и подменил их на чистые, сохранные перед заражением файлы. И так перехватчик будет фильтровать любые запросы. Сканер без нейтрализации перехватчиков не найдет там ничего вредоносного.

вот объясните мне, почему продукт, который и супостата уничтожил, и кровищу после себя убрал, должен получать одинаковую оценку с продуктом, который врага выкосил, а отрубленные конечности оставил валяться?

Главная цель выполнена - руткит удален из системы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Главная цель выполнена - руткит удален из системы.

Утрируете. Руткит удален, а троян который под ним прятали - остался и работает. Цель выполнена ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Предлагаю начать-таки делать и тест на win7 x64 (в дополнениек тесту на XP x86), как вариант подходящих семплов:

1. SST/PRAGMA, что создает новый активный раздел.

2. Pihar - аналог TDL4, продолжает свое развитие в отличие от последнего. Можно взять как вариант с инфетом загрузчика в mbr, можно тот, что раздел новый создает.

3. zeroaccess - тот вариант, что создавал consrv.dll и регистрировал ее в параметре windows (схоже с SubSys/Trojan.Okuks) и восстанавливал ключ, в случае его исправления.

4. rovnix - тот, что с защитой от перезаписи vbr. Он как раз x64 инфектил. Сейчас и carberp активно ставил плагин с этим буктитом с такой же защитой.

Все они были/есть активно распространяемы.

З.Ы. У меня есть еще вариант с одним руткитом, он только-только сейчас стал распространяться в "боевом" режиме. Он вполне подходит для теста - мощная маскировка + инфект vbr (совсем не так как rovnix ;)) (хотя в "тестовой" его версии он еще mbr инфектил). Но у меня нет полной уверенности, что он станет актвино рапространяться...

Может чего еще из интересного и подходящего забыл?? Есть еще вариант взять в тест семпл, который себя пересоздает/монопольно открывает + пересоздает ключик в реестре - чтобы хоть больше чем пару AV получили хоть какой-то бал за лечение на x64. Но у меня на памяти что-то таких нет, может кто напомнит...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Финализируем спискок вредоносов для теста на лечение активно заражения, который уже находится на старте:

Windows 7 x64

1. SST/PRAGMA

2. Pihar

3. zeroaccess

4. rovnix/cidox

Windows XP x86

1. TDL (TDSS, Alureon, Tidserv) - из прошлого теста

2. Koutodoor - из прошло теста

3. Win32/Glaze - из прошлого теста

4. Sinowal (Mebroot) - новая версия

5. Rootkit.Protector (Cutwail, Pandex) - из прошлого теста

6. Worm.Rorpian - из прошлого теста

7. Rootkit.Podnuha (Boaxxe) - из прошлого теста

8. Virus.Protector (Kobcka, Neprodoor) - из прошлого теста

9. Rustock (Bubnix) - из прошлого теста

10. Email-Worm.Scano (Areses) - из прошлого теста

11. rloader - новый

12. SubSys (Trojan.Okuks) - из прошлого теста

13. Rootkit.Pakes (synsenddrv, BlackEnergy) - из прошлого теста

14. TDL2 (TDSS, Alureon, Tidserv) - из прошлого теста

15. TDL3 (TDSS, Alureon, Tidserv) - из прошлого теста

16. pihar - новый

17. Xorpix (Eterok) - из прошлого теста

+ семплы для x64 пригодны и для x86.

18. SST/PRAGMA

19. zeroaccess

20. rovnix/cidox

Итого у нас получается 20 самлов для x86 и еще 4 для x64, в сумме 24 штуки.

Что скажете, есть какие-то отводы или замечания по самплам?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

Email-Worm.Scano (Areses) - безбожно устаревшее семейство.

Trojan.Okuks -- тоже, и, в общем-то, там лечение было специфическим (нужно было патчить вирусную dll, иначе система просто переставала загружаться).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • demkd
      а внутри локалки и не получится, белые ip нужны только при подключении через интернет.
    • santy
      Проверил на двух домашних ПК в локальной сети с роутером. Схема с серым IP работает отлично. Передача файлов гениальна! Вот просто как будто дополнительное зрение появилось :). Через белый IP  пока не удалось подключиться. Пришлось еще фаерволлы включить в интерактивный режим. (На автомате еще не проверял, возможно надо сохранить некоторые правила.)
    • demkd
      ---------------------------------------------------------
       4.99.4
      ---------------------------------------------------------
       o Исправлена функция автоматического переключения удаленных рабочих столов.
         Проблема проявлялась при работе с удаленной системой через локальную сеть, при запуске приложения
         от имени администратора не происходило автоматическое переключение на защищенный рабочий стол.
         (не касается полной версии разового доступа к рабочему столу, в этом режиме проблемы не было).

       o Проведено сравнительное тестирование системного удаленного рабочего стола и uVS.
         Передача файлов через системный удаленный рабочий стол идет почти в 20 раз медленней чем через через uVS.
         Максимальный fps в 32-х битном цвете почти в 3 раза ниже чем у uVS в FHD.
         (!) Выявлена проблема совместного использования uVS и системного рабочего стола.
         (!) Если системный рабочий стол был закрыт БЕЗ выхода из пользователя, то uVS не сможет
         (!) отбразить рабочий стол логона пользователя (Winlogon).
         (!) Единственное решение проблемы: подключиться заново через системный рабочий стол и выйти из пользователя.
       
    • demkd
      ---------------------------------------------------------
       4.99.3
      ---------------------------------------------------------
       o Это обновление повышает качество работы с удаленной системой и добавляет новый режим работы.
         (!) Новая функция не совместима со старыми версиями uVS, если у вас в настройках установлен флаг bReUseRemote = 1,
         (!) то перед обновлением необходимо закрыть все серверные части uVS на удаленных компьютерах с помощью
         (!) старой версии uVS.

       o Добавлен новый режим работы: Разовый доступ к удаленному компьютеру.
         (!) Доступно начиная с Vista, подключение к рабочему столу устаревших систем возможно лишь прежним способом.
         Ранее просмотр и управление рабочим столом удаленного компьютера было вспомогательной функцией при работе с удаленной системой.
         Для подключения требовались полномочия администратора или знание логина и пароля администратора удаленного компьютера и
         физическая возможность подключения к удаленному компьютеру.
         Новый режим работы похож на то, что предлагают всевозможные поделки для удаленного администрирования.
         o В этом режиме доступно: управление и просмотр рабочего стола, а также быстрый и надежный обмен файлами на пределе пропускной
           способности канала. (для сравнения RAdmin в гигабитной сети передает файлы более чем в 15 раз медленней чем uVS).
         o Передаваемые кадры теперь не только сжимаются, но и шифруются,  целостность передаваемых файлов защищена
           проверочным хэшем и шифрованием.
         o Подключение осуществляется без использования промежуточного сервера, т.е. это чистый P2P.
         o Подключение возможно к компьютеру за NAT при включенной у роутера опции uPNP.
         o Подключение возможно к компьютеру, где активирован VPN.
           (!) Подключение производится к реальному адресу роутера или адаптера компьютера с VPN, VPN канал полностью игнорируется.
         o Подключение возможно в обе стороны, т.е. из пары компьютеров требуется лишь 1 белый IP, направление подключения выбирается
           при начальной настройке.

         При запуске start.exe теперь вам доступны три новые кнопки:
         o Управление удаленным компьютером и обмен файлами.
           Эту кнопку нажимает тот кто хочет получить доступ к удаленному компьютеру, в открывшемся окне можно выбрать
           вариант подключения (см. ниже) и ввести код доступа полученный от того кто предоставляет доступ к компьютеру.
           Варианты подключения:
             o Соединение примет мой компьютер - в этом случае необходимо выбрать IP к которому будет подключаться другая
               сторона. При подключении через интернет следует выбирать белый IP адрес, если ваш компьютер за роутером
               и на нем активен NAT, то выбрать нужно именно его IP адрес. (адрес с пометкой [router]).
               Если роутер поддерживает uPNP, то этот адрес будет выбран по умолчанию.
               Если же в списке нет белых IP то вам следует выбрать другую опцию подключения.
               После выбора IP просто нажмите кнопку Старт и передайте одноразовый код доступа другой стороне.
               При подключении по локальной сети вы можете нажать кнопку "Все IP" и выбрать любой серый адрес для подключения.
               Поддерживается и IPv4 и IPv6.
               (!) Код доступа автоматически копируется в буфер обмена при нажатии кнопки "Старт".

             o Соединение установит мой компьютер - просто скопируйте код доступа в поле ввода или код там появится автоматически
               если вы его скопировали из мессенджера. После чего нажмите кнопку Старт и ожидайте подключения.

         o Разовый удаленный доступ к моему компьютеру [админ]
           (!)Пользователь должен обладать правами администратора или правами по запуску и установке служб.
           Эту кнопку нажимает тот кто хочет предоставить доступ к своему компьютеру, в открывшемся окне можно выбрать
           разрешения для другой стороны.
           Доступны 3 варианта:
             o  Управление     - доступно: мышь, клавиатура, просмотр экрана и обмен файлами.
             o  Просмотр       - доступно: просмотр экрана и обмен файлами.
             o  Обмен файлами  - доступно: обмен файлами.
           Это полнофункциональная версия удаленного рабочего стола uVS, с возможностью удаленного подтверждения
           запуска приложений от имени администратора и эмуляции нажатия Ctrl+Alt+Del.

         o Разовый удаленный доступ к моему компьютеру [не админ]
           Все тоже самое что и во 2-м случае, кроме удаленного подтверждения запуска приложений от имени администратора
           и эмуляции нажатия Ctrl+Alt+Del, дополнительно есть ограничение по использованию защищенных рабочих столов.

       o При работе с удаленным рабочим столом теперь доступна передача файлов и каталогов из буфера обмена в обе стороны.
         Что бы передать файлы или целые каталоги на удаленный компьютер, просто скопируйте их в буфер обмена и в окне
         удаленного рабочего стола нажмите кнопку со стрелкой вверх.
         Передача изображения автоматически отключится и откроется окно с логом передачи файлов.
         В заголовке окна лога вы увидите объем переданных данных и среднюю скорость передачи (с учетом чтения их с диска).
         По окончании передачи  файлов в лог будет выведена информации о времени передачи, количестве успешно переданных файлов и
         средней скорости передачи.
         Переданные файлы будут помещены в буфер обмена удаленной системы и вы сможете  вставить их из буфера
         в любой каталог или прямо на рабочий стол. При этом файлы переносятся из временного каталога.
         Если же вы не вставили файлы из буфера обмена то они останутся во временном каталоге C:\uVS_copyfiles\*
         точный путь до которого выводится в лог на удаленном компьютере.
         Что бы получить файлы проделайте обратную операцию: скопируйте файлы в буфер обмена на удаленном компьютере
         и нажмите кнопку со стрелкой вниз, по завершению передачи файлы будут помещены в буфер обмена вашего компьютера
         и вы можете перенести их в любую нужную папку.
         Таким образом обе стороны видят какие файлы и куда копируются и при этом максимально упрощается процесс копирования.
         (!) При закрытии окна лога передача файлов будет остановлена.
         (!) При разрыве соединения передача файлов будет автоматически продолжена после восстановления соединения,
         (!) при этом работает функция докачки, т.е. если ошибка произошла при передаче большого файла, то передача его
         (!) продолжится с последнего успешно полученного блока, т.е. блок будет заново.
         (!) Каждая передача файлов является независимой, т.е. нельзя прервать передачу и воспользоваться функцией докачки.
         (!) Проверка целостности файлов производится на лету вместе с его расшифровкой, таким образом достигается
         (!) максимально возможная скорость передачи примерно равная скорости копирования файлов по локальной сети системой.
         (!) При необходимости передачи большого количества мелких файлов рекомендуется поместить их в архив, это серьезно
         (!) сократит время передачи.
         (!) Состоянии кнопки CS никак не влияет на данный функционал.

       o Изменен приоритет протоколов: IPv4 теперь является приоритетным, как показали замеры в гигабитной локальной сети
         IPv4 позволяет достичь более высокой скорости передачи данных.

       o Добавлено шифрование сжатых кадров удаленного рабочего стола для повышения защиты передаваемой по сети информации.

       o В случае разрыва соединения повторное подключение происходит автоматически без запроса.

       o Снижен инпут лаг при работе с удаленным рабочим столом.

       o Обновлена функция синхронизации буфера обмена с удаленной системой: теперь поддерживается передача скриншотов
         в обе стороны.

       o Обновлена функция передачи движений мыши в удаленную систему.
         Теперь доступно управление с помощью движений мыши, которое используется в некоторых приложениях и играх. (если нажата кнопка MM)
         Если указатель мыши видим в удаленной системе то управление производится позиционированием указателя по расчетным координатам (как и раньше),
         в противном случае указатель скрывается в клиентской системе и передаются лишь движения мыши.
         При возникновении проблем с восстановлением видимости указателя вы всегда можете переключиться из окна удаленной рабочего стола по горячей
         клавише RWin.

       o uVS теперь при старте добавляется в исключения Ф и брандмауэра до выхода из uVS.

       o Теперь запоминаются размеры и режим отображения удаленного рабочего стола для каждого активного монитора.
         Кнопка 1:1 применяется автоматически при первом выборе монитора.
         Обработчик кнопки 1:1 обновлен, теперь размер окна рассчитывается с высокой точностью для новых систем,
         где размер окна включает в себя тень.

       o Добавлен выбор метода захвата экрана, доступно 3 варианта:
         o GDI -  медленный метод захвата экрана, но работает в любой удаленной системе, постоянный fps.
                  (единственный доступный метод для Win2k-Win7)

         o DDA1 - быстрый, работает начиная с Windows 8, максимальный коэффициент сжатия,
                  переменный fps в зависимости от экранной активности.
                  (!) рекомендуется использовать при ширине канала ниже 100Mbit, вместо DDA2.

         o DDA2 - очень быстрый метод сравнимый с захватом экрана с помощью mirror драйвера, но без использования драйвера,
                  работает начиная с Windows 8, низкий коэффициент сжатия, переменный fps в зависимости от экранной активности.
                  Способен захватывать видео с высоким fps (до 60) за счет упрощенного метода сжатия и обработки потока кадров.
                  (метод по умолчанию для Win8+, рекомендуется при значительной экранной активности).
                  (!) рекомендуется использовать при ширине канала не менее 100Mbit, при высоких разрешениях 1Gbit и выше
                  (!) из-за низкого коэффициента сжатия.
                  (!) При низкой экранной активности трафик до 10 раз больше чем у DDA1, при высокой - в 2 раза больше.
          
       o В окно удаленной рабочего стола добавлена кнопка "SYN" она замещает собой ручной выбора задержки захвата кадров.
         (отжатая кнопка соответствует нулевой задержке)
         Если кнопка нажата то задержка, а значит и максимальный fps ограничивается автоматически в соответствии
         с пропускной способностью канала, к сожалению это понижает максимальный fps и увеличивает инпут лаг,
         однако это полностью решает проблему, которой страдают даже лучшие программы удаленного управления
         при недостаточной ширине канала. Если канал слишком узок (10Mbit и менее) то при значительной
         экранной активности (оконное видео или анимация) происходит потеря управления удаленным рабочим столом
         из-за того что новые кадры отправляются в буфер значительно быстрее, чем клиентская машина успевает их получить и отобразить,
         в результате чего даже нажатия кнопок отображаются с задержкой в несколько секунд.
         Тоже самое будет наблюдаться в uVS в сходных условиях если кнопка SYN не нажата.
         Поэтому SYN не рекомендуется отключать при значительной активности в кадре и узком канале.
         Если канал 100Mbit и выше (локальная сеть), используется DDA2 то можно выключить SYN и это сильно поднимет fps и значительно уменьшит инпут лаг.
         Кнопка SYN по умолчанию нажата, состояние кнопки сохраняется при выходе из uVS.
         Выбранная цветовая битность теперь тоже сохраняется.

       o В окно удаленной рабочего стола добавлена кнопка "MR" она позволяет управлять указателем мыши из удаленной системы,
         Функция работает ЕСЛИ кнопка нажата И курсор находится в пределах окна удаленного рабочего стола И это окно активно.
         Функция предназначена для тех случаев когда человеку на том конце проще показать проблему чем описать ее словами.

       o Теперь клиентская часть uVS автоматически завершается если удаленная система перезагружается, выключается или завершается сеанс пользователя.
         (только если открыто окно удаленного рабочего стола)

       o Значительно увеличена скорость переключения мониторов, рабочих столов и смены разрешения монитора в DDA режиме.
         (!) Однако есть побочный эффект: если новый монитор будет подключен к удаленной системе пока открыто окно рабочего стола,
         (!) то для отображения картинки с этого монитора необходимо будет закрыть/открыть окно или повторно выбрать метод захвата экрана.

       o Добавлена поддержка браузера Microsoft Edge.

       o Обновлена функция чтения и удаления расширений браузеров: Chrome, Yandex, Edge.
         Добавлены сайты с включенными уведомлениями с указанием времени активации уведомлений.
         Из окна информации о расширении удалено поле Extension_homepageURL за бесполезностью.
         Мусор оставшийся от старых расширений помечается как "файл не найден" и будет удален при вызове функции удаления ссылок на
         отсутствующие файлы.

       o Контекстное меню в окне редактирования критериев теперь тоже использует выбранный размер шрифта.

       o Улучшена совместимость с системами с малым количеством оперативной памяти.

       o Исправлена функция захвата экрана в GDI режиме.

       o Исправлена ошибка в функции чтения защищенных файлов, в некоторых случаях функция не могла получить доступ к файлу.

       o Исправлена ошибка в функции смены рабочего стола

       o Исправлены ошибки инициализации COM.

       o Исправлена ошибка из-за которой из списка проверки выпало 2 ключа автозапуска.

       o Исправлена ошибка в функции отката изменений (Ctrl+Z) при работе с образом.

       o Исправлена ошибка повторной инициализации захвата экрана в случае если рабочий стол был переключен пользователем или системой
         до повторного открытия окна удаленного рабочего стола.

       o Исправлена ошибка при открытии окна информации о компьютере.
         Добавлена дата релиза биоса, исправлено отображение объема физической памяти, добавлена расшифровка типа памяти и условное обозначение
         ее производительности.

       o Добавлена возможность открывать ключ реестра в regedit-е двойным щелчком по строке в логе или
         через контекстное меню.
         (!) Недоступно при работе с образом автозапуска.
       
×