uVS - Тестирование

[PR55.RP55 82]

Demkd

По поводу интеграции в Windows, бала такая программа ( до санкций ) Antisms   там имели место быть ряд полезных функций.

В том числе и автоматические действия - ( блокировка файлов по ЭЦП ); Удаляются файлы autorun.inf в корне каждого логического диска и т.д.

------

По поводу меню:  Запустить под текущим пользователем и Перезагрузить и запустить до запуска эксплорера

Кнопки находятся слишком близко - я уже несколько раз случайно жал не ту кнопу. Мало приятного.

[demkd 608]

11 минут назад, PR55.RP55 сказал:

По поводу меню:  Запустить под текущим пользователем и Перезагрузить и запустить до запуска эксплорера

тут увы, уже слишком много кнопок, а окошко должно помещаться в экран и при низком разрешении, а будут еще 2 кнопки.

[PR55.RP55 82]

Да, но... ( как мне кажется )

Можно кнопку " Перезагрузить и запустить до запуска эксплорера "

поместить после: Проверять весь HKCR ( больше файлов в списке )

на размер это не повлияет, а вот случайно ткнуть уже не выйдет.

 

[demkd 608]

1 час назад, PR55.RP55 сказал:

поместить после: Проверять весь HKCR ( больше файлов в списке )

Это можно. Хотя можно ведь просто нажать Enter.

[PR55.RP55 82]

Ошибка получения XML описания задачи: \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTask  [Error: 0x80041321 - Образ задачи поврежден или изменен. ]

Соответственно на такие случаи команда: (Alt+Delete) не работает.

https://vms.drweb.ru/virus/?i=27169926

[demkd 608]

15 часов назад, PR55.RP55 сказал:

Соответственно на такие случаи команда: (Alt+Delete) не работает.

И не должен работать, такое удалять разрешено только вручную.

[PR55.RP55 82]

В том году была статья : по поводу MinimumStackCommitInBytes

https://www.trendmicro.com/en_in/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html

Похоже и у нас начали активно это применять.

https://forum.kasperskyclub.ru/topic/465310-slovil-majner-kogda-skachival-obhod-blokirovki-diskorda/

https://www.cyberforum.ru/viruses/thread3189071.html?ysclid=m4x30zzs6v421256067

 

[demkd 608]

18 часов назад, PR55.RP55 сказал:

В том году была статья : по поводу MinimumStackCommitInBytes

ничего нового

---------------------------------------------------------
 4.99.5
---------------------------------------------------------
 o Добавлен новый режим запуска для работы с неактивной системой без необходимости загрузки с флешки или диска.
   Начиная с Windows 8 доступна интеграция uVS в меню дополнительных параметров загрузки для
   запуска uVS из штатной среды восстановления Windows (WinRE) для работы с _неактивной_ системой.

   Интеграция осуществляется нажатием кнопки "Интегрировать uVS в меню дополнительных параметров загрузки".
   Загрузиться в меню можно с помощью кнопки "Перезагрузить систему в меню дополнительных параметров загрузки",
   после появления меню выберите:
   Поиск и устранение неисправностей/Диагностика/Troubleshoot(зависит от версии и региона Windows) --> uVS

   В отличии от dclone, uVS уже не получится разместить в образе WinRE, просто не хватит места на диске,
   поэтому запуск uVS происходит из каталога запуска процесса интеграции, т.е. при обновлении версии uVS
   не нужно повторно выполнять интеграцию, достаточно обновить uVS в каталоге из которого была произведена интеграция.
   В пути до uVS допустимо использовать кириллицу, даже если WinRE не имеет поддержки русского языка.
   При запуске из меню дополнительно производится инициализация сети в WinRE, т.е. будет доступна сеть
   для проверки файлов на VT, проверки сертификатов или для предоставления доступа удаленному пользователю к "рабочему столу".

 o Разовый доступ к рабочему столу доступен в WinRE/WinPЕ если в нем была инициализирована сеть,
   если образ сделан в uVS или загрузка была через интегрированный пункт в меню то сеть инициализируется при старте системы
   автоматически, однако поддержки uPNP в WinRE по умолчанию нет, поэтому для подключения к "рабочему столу" WinPE
   следует использовать обратное подключение к клиенту с белым адресом. (если подключение будет через интернет).
   (!) В WinRE/PE доступен только один режим захвата экрана - GDI, передача экрана нормально работает в WinRE/PE на базе
   (!) Win8/Win8.1/Win11, в Win11 и WinPE на его базе необходим включенный режим BLT, в противном случае консольные окна не отображаются.
   (!) Как минимум часть версий WinPE на базе Win10 дефектные (все x86), при работе с ним не отображаются консольные окна и есть проблемы
   (!) с отрисовкой окон и без удаленного доступа.
   (!) Аналогичная проблема наблюдается в WinRE для устаревших билдов Win10, для новых билдов Win10 проблемы нет.
   (!) В некоторых случаях окно uVS может оказаться за меню загрузки, в этом случае используйте Alt+Tab для переключения окон.

 o Добавлены новые модули:
   o файл rein/rein.x64 отвечает за запуск uVS из меню.
   o файл usvc.x64 отвечает за запуск uVS под LocalSystem.
   o встроенный ресурс getcpb отвечает за получение файлов из пользовательского буфера обмена при запуске под LocalSystem.

 o В окно лога подключения к удаленному рабочему столу добавлены кнопки для быстрого доступа к настройкам системы,
   запуску uVS и файлового менеджера.

 o Добавлена поддержка создания загрузочных образов дисков на базе WinPE+ADK v10.1.26100.2454 (декабрь 2024).
   (!) для создания 32-х битного WinPE или WinPE с поддержкой старого железа этот ADK не годится.
   (!) для создания 32-х битных образов используйте ADK для Windows 10 2004. (см. подробнее в FAQ.txt)

 o Улучшена функция создания загрузочных дисков.
   ISO стал мультизагрузочным с поддержкой UEFI, ISO теперь создается в UDF формате,
   т.е. загрузка с диска будет работать и на старом компьютере без UEFI и на новом с UEFI.
   Образ диска теперь занимает немного меньше места за счет дополнительно оптимизации содержимого UDF ISO.
   Добавлена проверка на разметку флешки, допустимая разметка MBR, GPT не поддерживается.
   (!) Загрузочная флешка всегда форматируется в FAT32, вся информация на флешке будет удалена,
   (!) флешки теперь мультизагрузочные.

 o Если недоступен режим захвата экрана DDA то серверная часть теперь автоматически устанавливает режим захвата GDI.

 o Теперь пока открыто окно удаленного рабочего стола удаленная система не будет засыпать.

 o Теперь окно лога передачи файла можно свернуть вместе с основным окном.

 o При ручном вводе одноразового кода доступа к удаленному рабочему столу тире теперь расставляются автоматически.

 o Исполняемый файл при выборе режима разового доступа к рабочему столу теперь
   всегда имеет фиксированное имя "uvsrdp".
   Т.е. теперь можно из одного каталога последовательно запустить удаленный рабочий стол и затем uVS в обычном режиме.

 o Оптимизирована вспомогательная функция копирования незащищенных файлов, теперь она работает немного быстрее
   системной функции CopyFile если копирование файла происходит на другой диск и значительно быстрее если
   при этом исходный файл хотя бы частично попал в файловый кэш.

 o Уменьшены требования к доступной памяти при запуске в системе без файла подкачки.
   Уменьшено максимально возможное число файлов в списке для x86 систем до 100000.

 o uVS теперь совместим со штатной средой восстановления Windows 8.

 o Перехват клавиатуры выделен в отдельный поток, что снизило инпут лаг нажатий клавиш и устранило проблему
   задержки ввода с клавиатуры на клиентской машине при передаче файлов по узкому каналу (менее 10Mbit).

 o Исправлена ошибка из-за которой не восстанавливался размер окна удаленного рабочего стола при повторном нажатии Alt+V.

 o Исправлена ошибка из-за которой был доступен просмотр экрана удаленного компьютера в режиме "только передача файлов"
   если был выбран режим захвата экрана GDI или DDA1.

 o Исправлена ошибка из-за которой в окне удаленного доступа при выборе настройки из списка передавались нажатия и движения мыши
   в удаленную систему.

 o Исправлена ошибка из-за которой назначение основного дисплея влияло на номер дисплея в DDA режиме, что приводило
   к неправильному расчету координат мыши на виртуальном дисплее удаленной системы.

 o Исправлена ошибка из-за которой не сохранялся каталог дополнительных файлов при создании загрузочной флешки.

 o Передаваемый по сети файл теперь блокируется не полностью на время передачи, а остается доступным для чтения.

 o Исправлена ошибка из-за которой не передавались на удаленный компьютер файлы с длинным путем (ошибка "путь не найден").

 o Исправлена ошибка из-за которой в редких случаях не восстанавливались права доступа и владелец ключей реестра после их модификации.

 

[PR55.RP55 82]

Demkd

Вот допустим в образе\системе есть запись:

Полное имя                  C:\USERS\LUSYS\ONEDRIVE\ДОКУМЕНТЫ\GOODBYEDPI-0.2.3RC1
Имя файла                   GOODBYEDPI-0.2.3RC1
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ Исключение
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ Исключение
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                            
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
                            
Ссылки на объект            
Ссылка                      HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\C:\Users\lusys\OneDrive\Документы\goodbyedpi-0.2.3rc1
C:\Users\lusys\OneDrive\Документы\goodbyedpi-0.2.3rc10
                            

При применении команды: Alt+Del

delref %SystemDrive%\USERS\LUSYS\ONEDRIVE\ДОКУМЕНТЫ\GOODBYEDPI-0.2.3RC1

т.е. вопрос, что будет при удалении ссылки и почему статус Исключение - и если он должен исключать - то почему не исключает?

[santy 151]

RP55,

это запись в реестре на исключение из проверки в Windefender.

запись защищенная в Wndef, поэтому просто через delref в uVS ее не удалить из реестра. И это правильно.

[santy 151]

Demkd,

судя по тестам интеграция uVS и  WinRE, запуск uVS из меню Winpe прошли нормально. (проверил на W10),

Единственно, после завершения интеграции выходит сообщение, что при обновлении uVS интеграцию необходимо повторить.

Так ли это? В документации указано, что если обновление выполнено в каталоге, который ранее был интегрирован с WinRe, то повторная интеграция не нужна.

 

[demkd 608]

2 часа назад, santy сказал:

Так ли это? В документации указано, что если обновление выполнено в каталоге, который ранее был интегрирован с WinRe, то повторная интеграция не нужна.

В документации правильно, просто забыл убрать, после того как сменил тип интеграции.

 

17 часов назад, PR55.RP55 сказал:

т.е. вопрос, что будет при удалении ссылки и почему статус Исключение - и если он должен исключать - то почему не исключает?

Удаление исключений работает только в режиме виртуализации, в принципе системная защита ядра легко преодолевается, но дефендер тогда сходит с ума и ведет себя неадекватно, поэтому только виртуализация, можно конечно допилить что бы удалялось через api, но это все равно не будет работать с неактивной системой, поэтому оставил так как есть.

[Vvvyg 12]

В 25.12.2024 at 2:38 PM, demkd сказал:

Удаление исключений работает только в режиме виртуализации

Можно через powershell в обычном режиме:

powershell Remove-MpPreference -ExclusionPath "путь"

Только скриптом не удаётся выполнить, все варианты, в т. ч. с полным путём, дают ошибку [Error: 0x2 - Не удается найти указанный файл. ]

exec "powerchell.exe" Remove-MpPreference -ExclusionPath "путь"
exec powerchell.exe Remove-MpPreference -ExclusionPath "путь"
exec "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powerchell.exe" Remove-MpPreference -ExclusionPath "путь"

С cexec - то же самое.

[demkd 608]

5 часов назад, Vvvyg сказал:

exec "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powerchell.exe" Remove-MpPreference -ExclusionPath "путь"

Правильно будет вот так:

cexec "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Remove-MpPreference -ExclusionPath "путь"

и оно работает, если powerShell на месте и это действительно powershell.

[PR55.RP55 82]

Ту что-то, эдакое....

https://www.safezone.cc/threads/mainer-ili-net-nt-kernel-system.46113/

[demkd 608]

22 часов назад, PR55.RP55 сказал:

Ту что-то, эдакое....

майнер то старый, но как запускается хз, до создания образа uVS уже прибиты задачи, через которые он почти наверное и запускался, да и uVS запущен без флага HKCR и без флага выгрузки левых потоков, а они были и их там быть не должно.
Однако самое неприятное то что нет командных строк в истории процессов, потому найти концы уже не получится.. возможно есть баг при включении отслеживания командных строк и это надо будет проверить.

[PR55.RP55 82]

Похоже эти версии

https://vms.drweb.ru/virus/?i=21513908

https://vms.drweb-av.es/virus/?i=22278785

 

 

[demkd 608]

---------------------------------------------------------
 4.99.6
---------------------------------------------------------
 o Добавлен еще один ключ автозапуска, используемый троянами и майнерами.

 o Добавлена новая опция запуска uVS: Искать в пользовательских каталогах скрытые исполняемые файлы.
   В пользовательских каталогах не должно быть подобных файлов, если же они есть то стоит внимательно изучить их содержимое.
   По умолчанию опция включена, отключить ее можно в окне запуска.
   Если опция включена то просматривается весь каталог "Documents and Settings" (Users+ProgramData для новых систем)
   со всеми подкаталогами. При обнаружении исполняемых файлов с атрибутами "скрытый" или "системный" такой файл добавляется
   в список со статусом "подозрительный", статус может быть снят автоматически если файл есть в базе проверенных файлов.
   Сканирование каталогов идет в отдельном потоке параллельно с построением списка автозапуска,
   однако включение этой опции может увеличить время обновления списка для одноядерных процессоров и систем на HDD.
   Тестировании проводилось только для системы на SSD, тестовый "Documents and Settings" содержал в себе 70979 подкаталогов с 452175 файлами,
   время обновления списка (при запуске uVS сразу после перезагрузки системы) увеличилось на 5%.

 o В лог добавлен статус Windows Defender-а.

 o В лог добавлен статус отслеживания командной строки процессов.

 o Добавлена возможность удаления исключений Windows Defender-а в активной системе без виртуализации реестра с помощью powershell.
   Функция может удалять исключения: путь, процесс, расширение.
   (!) Функция недоступна если powershell отсутствует или powershell не имеет правильной эцп.
 

[PR55.RP55 82]

Demkd

2 часа назад, demkd сказал:

o Добавлена новая опция запуска uVS: Искать в пользовательских каталогах скрытые исполняемые файлы.
   В пользовательских каталогах не должно быть подобных файлов, если же они есть то стоит внимательно изучить их содержимое.

Я бы ещё добавил подсчёт идентичных файлов.  ( если это принципиально не скажется на производительности )

По крайней мере раньше бывало и такое, что в системе десятки идентичных  файлов - но  с разными именами.

И

Опционально Запуск uVS - в качестве ловушки. Например  программа стартует не как: gvprin , а как firefox.exe

и отслеживает всех желающих... приобщиться.