Win32.Ntldrbot (aka Rustock.C) больше не миф
Автор
Сергей Ильин, в Общий форум по информационной безопасности
Объявления
-
Сообщения
-
От demkd · Опубликовано
"CurrentControlSet" это виртуальный ключ, он указывает на последний рабочий CurrentControlSetXXX, потому копировать там обычно нечего потому что есть лишь CurrentControlSet001, который и есть CurrentControlSet, другое дело когда есть 001 и 002, один из них может быть живым, а может и не быть.
Но на самом деле не нужно маяться фигней, нужно пользоваться бэкапом и восстановлением реестра, тем более что в uVS есть твик для включения системного бэкапа реестра, так же копии реестра есть в теневых копиях и точках восстановления, где гарантировано можно найти рабочую ветку реестра и восстановить ее либо руками либо через uVS->Реестр->Восстановить из копии ключ SafeBoot -
От PR55.RP55 · Опубликовано
" Вот еще в помощь рекомендации от Зайцева Олега: Цитата Кроме того, есть еще один метод восстановления испорченных ключей. Как известно, в самом реестре есть копии ключа SafeBoot. Они находятся в HKLM\SYSTEM\CurrentControlSet001\Control\SafeBoot и HKLM\SYSTEM\CurrentControlSet002\Control\SafeBoot. Следовательно, можно попробовать следующую операцию:
1. Экспортировать HKLM\SYSTEM\CurrentControlSet001\Control\SafeBoot
2. В полученном REG файле заменить "CurrentControlSet001" на "CurrentControlSet" (REG файл текстовый, поэтому заменить несложно)
3. Импортировать модифицированный файл
Данная операция может быть успешной сразу после запуска повреждающей ключ реестра вредоносной программы, до перезагрузки. Нарушена загрузка в защищенном режиме (SafeBoot) Изменено 6 часов назад пользователем safety " https://forum.kasperskyclub.ru/topic/466078-privetstvuju-slovil-majner-po-nazvaniem-toolbtcmine2782/page/6/#comments А, что если это будет делать uVS ? т.е. Копировать ключ > модифицировать > производить перезапись. -
От Ego Dekker · Опубликовано
Домашние антивирусы для Windows были обновлены до версии 18.1.10. -
От PR55.RP55 · Опубликовано
1) По поводу реестра и восстановления. Некоторые программы при работе создают копию реестра. Например в корне диска от FRST т.е. предлагаю добавить в uVS поиск таких копий. Единственно проверять копии на соответствие Системе. В образ писать информацию о такой копии и дату её создания. 2) Окно с твиками в будущем разбить на два окна, твики работающие с реестром выделить в отдельное окно. 3) В Doc - добавить информацию по твику 35 и его возможном применении с виртуализацией. 4) Проверять возможность загрузиться с другого диска\системы и добавлять в Инфо. сведения о возможности загрузиться с другого диска\системы. Это я о том, что возможно у PC были\есть несколько пользователей и человек просто не знает, что на дисках есть другие системы. -
От demkd · Опубликовано
С виртуализацией можно удалять все, защиты от нее практически нет. Выполнить 45-й твик.
---------------------------------------------------------
4.99.12
---------------------------------------------------------
o При удалении исключений Defender-а теперь не_используется powershell из-за неадекватного
поведения антивируса Kaspersky Free. Теперь удаление производится через сам Defender без
посредников.
(!) Если Defender отключен ИЛИ неисправен ИЛИ у вас установлен и АКТИВЕН другой антивирус
(!) то удаление исключений возможно лишь при использовании виртуализации реестра
(!) ИЛИ при приостановке защиты этого антивируса.
(!) Я рекомендую отключать антивирус перед запуском, он все равно бесполезен
(!) и лишь существенно замедляет и усложняет процесс лечения.
o Теперь в лог выводится информация о зарегистрированных в системе антивирусах/фаерволах и их состоянии.
(Доступно для Windows Vista+)
o Улучшена функция поиска неизвестных DLL в адресном пространстве uVS, теперь она более устойчива
к мерам противодействия поиску.
o Удалено ошибочное сообщение в логе для Windows Vista о блокировке kernelbase.dll,
которой в этой системе нет.
o Антисплайсинг: расширен список контролируемых функций.
-