Перейти к содержанию

Recommended Posts

Oleg Kupreev
А антивирус тоже будет развиваться, есть кому поддерживать его?

Хотя Сергей и занимал значимую позицию в копании и всегда занимался попиныванием разработчиков,

антивирус продолжает улучшаться.

Идет внутреннее тестирование Vba32 v3.5, возможно выпуск приурочим к новому году.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky

Здравствуйте!

Представляю вашему вниманию Vba32 AntiRootkit 3.12.5.5 prebeta build 410 !

Ссылки для скачивания прежние:

http://anti-virus.by/en/beta.shtml

ftp://anti-virus.by/beta/vba32arkit_beta.7z

ftp://anti-virus.by/beta/vba32arkit_beta.zip

Что нового:

+ Работа с IDE и AHCI контроллерами жёсткого диска на низком уровне.

Основной вектор развития антируткита на данный момент. Непосредственная работа с железом даёт практически 100% гарантию того, что прочитаны реальные данных, хранящиеся на диске вне зависимости от типа заражения. Обратная сторона медали - совместимость. Если c AHCI контроллерами удалось разобраться практически полностью, то, как ни странно, с простым и "древним" IDE возникли проблемы, которые до сих пор не дают выпустить полноценную бету. Дело в том, что с развитием технологий, таких как NCQ например, каждый производитель немного по-своему стал "расширять" стандарт. Документации по данной проприетарной теме, естественно, нет. Из известных проблем - мёртвое зависание антируткита на некоторых машинах с nForce-4, причём зависания повторяются только с установленными драйверами от NVIDIA ( которые непосредственно реализуют "новый" функциоанал, с дефолтными драйверами проблем нет ).

+ Vba32 Defender: добавлен интерактивный режим, чёрный и белый списки, подсказки пользователю. Возможность

стартовать приложения на выледенном рабочем столе.

Значительно расширили функционал Defender'а. Также в бету будет добавлена возможность контроля приложений из белого списка ( пока отсутствует ).

+ Реализована базовая самозащита.

Позволяет противостоять последним версиям ZeroAccess aka Max++. И не только.

+ Поиск скрытых драйверов по MZ-PE заголовкам в системном пуле

Долго думал, добавлять этот функционал или нет, т.к. на ХР возможны ложные срабатывания. Прошу обратить на них внимание.

+ Добавлен просмотр и возможность удаления нотификаторов ObCallbacks

Актуально для систем на Windows Vista SP1 и более новых.

+ Вывод MD5/SHA1 дайджестов проверенных файлов

Довольно удобная вещь для поиска образцов на том же VirusTotal.

+ Возможность скрывать драйверы/сервисы с пустым ImagePath

+ поддержка Windows 8 Developer Preview

Скрины выкладывал выше.

* Исправлена проблема с невыгрузкой драйвера антируткита, а также пропажей звука на некоторых системах.

* Улучшена стабильность работы программы

* Доработан файл помощи на русском языке

Пока не выкладываю.

Целью пребеты, в общем, является желание определить хотя бы приблизительный процент машин, на которых будут проблемы с прямым чтением и сбор их конфигураций для дальнейшего решения проблем.

Также хотел бы выразить благодарность пользователям K_Mikhail и sergey ulasen, которые принимали и принимают участие в развитии данного продукта и внесли ценные замечания к текущей пребете.

Ото всех с радостью ждём замечаний/предложений/дампов. Пишите на форуме и на наш почтовый ящик - arkit[at]anti-virus.by Это позволит сделать продукт лучше :)

P.S. Предыдущая версия беты также доступна к скачиванию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
+ Работа с IDE и AHCI контроллерами жёсткого диска на низком уровне.

Порты-порты. ЖесткачЪ и АдЪ ;)

+ Поиск скрытых драйверов по MZ-PE заголовкам в системном пуле

Смело выкидывай. Я когда-то такое писал и тестил - сплошные ложные срабатывания.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky
Порты-порты. ЖесткачЪ и АдЪ ;)

На самом деле, если бы я сразу знал, какой объём подводных камней нам встретится при реализации данного функционала, то наверное мы бы пошли альтернативным путём. Дело в том, что стандарт, например IDE, простой. И работать с контроллером, не важно с каким, не сложно. Если ты один в системе. Точнее, если ты сам - операционная система :rolleyes: . Проблемы кроются в драйверах вендоров, которые, как бы это помягче сказать, не рассчитывают на то, что кто-то с железкой будет работать параллельно. А из-за этого, в общем-то, логичного предположения, начинаются казусы такого плана: зачем лишний раз проверять занят ли слот команд у контоллера? У меня есть своя внутренняя очередь, в которой указано, что слот свободный! А на самом деле нет, аркит туда уже что-то пишет. Итог, думаю, очевиден :)

Тем не менее, что-то да получилось.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
На самом деле, если бы я сразу знал, какой объём подводных камней нам встретится при реализации данного функционала, то наверное мы бы пошли альтернативным путём. Дело в том, что стандарт, например IDE, простой. И работать с контроллером, не важно с каким, не сложно. Если ты один в системе. Точнее, если ты сам - операционная система :rolleyes: . Проблемы кроются в драйверах вендоров, которые, как бы это помягче сказать, не рассчитывают на то, что кто-то с железкой будет работать параллельно. А из-за этого, в общем-то, логичного предположения, начинаются казусы такого плана: зачем лишний раз проверять занят ли слот команд у контоллера? У меня есть своя внутренняя очередь, в которой указано, что слот свободный! А на самом деле нет, аркит туда уже что-то пишет. Итог, думаю, очевиден :)

Тем не менее, что-то да получилось.

Ну то есть "файлуха слетать" теперь будет не только при Force Reset-е, но и при просто запуске антируткита? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky
Ну то есть "файлуха слетать" теперь будет не только при Force Reset-е, но и при просто запуске антируткита? :)

Юрий, вы в своём репертуаре :D

На самом деле сегодня, перед тем, как выкладывать продукт, посмотрел счётчик кол-ва скачиваний прошлой версии, да и фидбек на почте тоже скопился солидный. И что вы думаете ? Ни одной файловой системы у пользователей не слетело :) Можно снова начинать холивар, что это все не показатели и т.п. Тут не буду вступать в дискуссию. Нет, вы конечно правы, подход, далеко не лучший. Но он работает. Более того, как только появится свободное время, обязательно реализую адекватный force reboot вместо force reset'а, чтобы троллей не кормить :rolleyes:

С контроллерами немного сложнее. Есть проблемы - об этом уже написал выше. "Улёт" файловой системы теоретически возможен, на практике не разу не повторялся. Даже если такое случится - fixmbr, fixboot, chkdsk и еже с ними с высокой долей вероятности справятся с проблемой.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Ну то есть "файлуха слетать" теперь будет не только при Force Reset-е, но и при просто запуске антируткита? :)

Если не ошибаюсь, tdsskiller использовал порты, так сказать, на ранней стадии развития =)

+ поддержка Windows 8 Developer Preview

А это кому-нибудь надо? =)

С контроллерами немного сложнее. Есть проблемы - об этом уже написал выше. "Улёт" файловой системы теоретически возможен, на практике не разу не повторялся. Даже если такое случится - fixmbr, fixboot, chkdsk и еже с ними с высокой долей вероятности справятся с проблемой.

С портами работать всегда сложнее из-за вопросов синхронизации, есть один драйвер, например, диска он и занимается их обслуживанием, в противном случае могут происходить странные вещи, ну вы и так в курсе конечно...

+ Поиск скрытых драйверов по MZ-PE заголовкам в системном пуле

Согласен с sww на сей счет; изначально это был PoC, но реальной пользы, по-моему, он так никому не принес. Или можете доказать иное? =)

Дмитрий, а какие руткиты сейчас можно детектировать вашим продуктом?

Еще хотелось бы хотя бы в каком-нибудь продукте увидеть дамперы FS ZeroAccess и tdl (в смысле уже расшифрованные конфиги и плагины в их ФС). Пока то что видел, этот tdl fs reader от eset. Хотя фича была бы очень и очень полезная.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Решил посмотреть на предмет детекта ZeroAccess.

Запустил дроппер (2d93ce4323104a87252d8bc4ee155b4e), перезагрузился. Сразу же запустил Xuetr для определения факта заражения.

36800451x.jpg

Далее запустил tdsskiller для идентификации зараженного файла. Им оказался redbook.sys.

15966147.jpg

Запускаю VBA Ark.

Kernel modules, виден подмененный драйвер. Все ок.

80523644.jpg

Но, в то время как, Xuetr показывает два красных/suspicious объекта - два драйвера руткита. Один вспомогательный, второй основной -

детектируется (сдампленный) Kaspersky как Rootkit.Win32.ZAccess.g - Jotti

23916845.jpg

Т. е. имеем два драйвера с адресами и размерами.

0xF65B6000 - 0x9000

0xF87DA000 - 0xE000

VBA Ark, судя по всему, продублировал один из драйверов дважды, но с разными вердиктами.

45447724.jpg

Вердикты для первых аномалий (основной драйвер руткита):

Base Entry Point Size DriverObject Path State

0x00000000 ( 0xF87DA000 ) 0x820A9110 ( 0xF87E7B20 ) 0x0 ( 0xE000 ) (null) [0x820B87A0]

{(null)}

Description:

Company name:

Size: 0 Attrs: -----

SHA1: Not Avalible

Created: 10:00:00 01.01.1601

Modified: 10:00:00 01.01.1601

Accessed: 10:00:00 01.01.1601

MD5: Not Avalible

Hidden in memory Anomaly detected ( Name missing DriverSection hidden from PsLoadedModuleList DriverObject/PsLoadedModuleList entry data mismatch )

0x820A7000 0xE000

{(null)}

Description:

Company name:

Size: 0 Attrs: -----

SHA1: Not Avalible

Created: 10:00:00 01.01.1601

Modified: 10:00:00 01.01.1601

Accessed: 10:00:00 01.01.1601

MD5: Not Avalible

Hidden in memory

В итоге по второму вердикту какой-то странный Base Address.

Второй (не основной) драйвер.

0xF65B6000 0xF65B7B40 0x9000 \driver\4172487776 [0x821686E8]

{} ( @80000000 )

Description:

Company name:

Size: 0 Attrs: -----

SHA1: Not Avalible

Created: 10:00:00 01.01.1601

Modified: 10:00:00 01.01.1601

Accessed: 10:00:00 01.01.1601

MD5: Not Avalible

Hidden in memory Anomaly detected ( DriverSection hidden from PsLoadedModuleList )

Оба драйвера были успешно сдамплены из памяти.

Далее, kernel hooks.

Тут ок, ругался на множественные сплайсинги/перехваты у подмененного redbook.sys.

43933449.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky

rkhunter, постараюсь ответить по порядку:

А это кому-нибудь надо? =)

Поддержка Windows 8 Developer Preview была добавлена по нескольким причинам. Первая и основная состоит в том, что как показывает практика ( Vista, 7 ), релизные версии ядер практически не отличаются от тех, которые попадают в паблик ( будь то альфа, бета, либо превью, как тут ). Можно вспомнить билд 7100 например. Так вот, к выходу релиза Win 8 руткит будет либо уже готов, либо потребуются лишь незначительные корректировки.

К тому же, сколько конкурентов уже работают на Win 8? А ведь есть люди, которые уже поставили её как основную ОС... :facepalm:

С портами работать всегда сложнее из-за вопросов синхронизации, есть один драйвер, например, диска он и занимается их обслуживанием, в противном случае могут происходить странные вещи, ну вы и так в курсе конечно...

;)

Дмитрий, а какие руткиты сейчас можно детектировать вашим продуктом?

Продукт тестируется на коллекции, состоящей из порядка 30 руткитов. Начиная от первого рустока и заканчивая трояном-некурс. Детектируем, в принципе, всё. Лучше спросите, сколько можем самостоятельно вылечить :D В этом направлении работаем.. TDL4, как и большинство буткитов, лечим без проблем. Того же Necurs.A успешно сносим.. Есть проблемы, например, с TDL3, ZeroAccess, Didox.. К следующей бете, кстати, планируем опубликовать гайды ( возможно видео ) по теме лечения различных типов заражений с помощью исключительно Vba32 Arkit..

Согласен с sww на сей счет; изначально это был PoC, но реальной пользы, по-моему, он так никому не принес. Или можете доказать иное? =)

Код у меня лежал, чтобы не соврать, наверное года 2-3. :rolleyes: И так бы и лежал, наверное, если бы у мсь-е Groft не возникло проблем с дампом модулей TDL2. Дело в том, что с помощью драйвера расширенного мониторинга мы ловили момент их загрузки ( скажем, по базовым адресам A и B ), однако они переносили свой код в выделенную память ( скажем по баз. адресам C и D соотвественно ), а в DriverEntry возвращали ошибку и система выгружала эти драйвера, поэтому попытка сдампить их по базовым адресам A и B приводила к неудаче. Скрипя зубами, пришлось добавить код поиска. В виду наличия false positives, видимо, просто уберу этот функционал из того, что работает на Windows XP. На Windows 2003 и выше ложных срабатываний нет.

Еще хотелось бы хотя бы в каком-нибудь продукте увидеть дамперы FS ZeroAccess и tdl (в смысле уже расшифрованные конфиги и плагины в их ФС). Пока то что видел, этот tdl fs reader от eset. Хотя фича была бы очень и очень полезная.

Вообще, хочу много чего добавить, но рук не хватает. Сам думал про это, помечу как feature request..

VBA Ark, судя по всему, продублировал один из драйверов дважды, но с разными вердиктами.

В антирутките реализовано несколько механизмов поиска скрытых/аномальных драйверов. В виду того, что один и тот же вредоносный драйвер может быть найден несколькими способами одновременно и, если не удаётся автоматически сопоставить эти данные, будет дублирование. Так что это поведение, считаю, вполне корректным - стараемся показывать по-максимуму.

Далее, kernel hooks.

Тут ок, ругался на множественные сплайсинги/перехваты у подмененного redbook.sys.

43933449.jpg

Да, потому что он hijacked. С другой стороны, у hijacked модулей, возможно, просто не имеет смысла проверять аттрибуты секций, сами секции, импорт и т.п.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

На счет 7100 не совсем соглашусь... сам переносил антируткит на семерку и потом выяснилось, что между RC 7100 и 7600 были различия в ядре.

Кстати, на этом примере плагины ZeroAccess - @8000XXX нашлись, по-моему, именно с помощью поиска PE/MZ в памяти. Стало быть работает :)

На счет лечения, как я понял, в вашем антирутките пока оно не предусмотрено...

А Necurs блокирует старт вашего драйвер по сигнатуре/подписи? :)

А Didox это хто? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky
На счет 7100 не совсем соглашусь... сам переносил антируткит на семерку и потом выяснилось, что между RC 7100 и 7600 были различия в ядре.

Они были, но наш антируткит их не заметил. К счастью, vba32 arkit не привязан к номеру билда :D если поменять только номер билда, 7601 например на 7900 или даже на 2600, то это никак не отразится работе антируткита. Чего не скажешь о некоторых других продуктах, пальцем тыкать не буду. :rolleyes:

Кстати, на этом примере плагины ZeroAccess - @8000XXX нашлись, по-моему, именно с помощью поиска PE/MZ в памяти. Стало быть работает :)

Возможно. Если хотите знать точно, могу завтра уточнить

На счет лечения, как я понял, в вашем антирутките пока оно не предусмотрено...

Как такового лечения не предусмотрено. Однако есть функционал, позволяющий в ручном режиме бороться со зловредами ( можно снять нотификаторы, снять хуки, удалить сервисы / элементы автозагрузки, вайпнуть файл, восстановить MBR, убить процесс, заанмапить модуль и т.д. и т.п. ). Если найдем человека для реализации скриптового языка, то будет значительно интереснее.. пока только в планах..

А Necurs блокирует ваш драйвер по сигнатуре/подписи? :)

Блокирует.

А Didox это хто? :)

Не пинайте сильно, так я иногда называю Win32.Cidox ( он же Trojan.Mayachok ) :rolleyes:

Тут ещё пару личных наблюдений добавлю, возможно покажутся кому-то интересными. На тестовой машине делал две вещи - выставлял фейковый номер билда ОС и ставил систему на диск D ( при этом диск C отсутствовал ). Так вот, более половины дропперов из набора на такой конфигурации обломалось ! :facepalm: Если с первым ещё ладно, то со вторым меня, если честно, удивило. Неужели сложно вызывать там GetSystemDirectory или что-то подобное, вместо хард-кода CreateFile ( "\\.\C:",... ) ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Еще раз посмотрел, на счет этих плагинов ZAccess с windbg, выводятся какие-то невалидные адреса + Xuetr ничего такого вообще в не показывает + ваш же дампер говорит что не может сдампить их. Стало быть у вас непорядок...

22974388.jpg

71213120.jpg

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky
Стало быть у вас непорядок...

То, что Dump не доступен - скорее всего ошибка в гуи..

Киньте, пожалуйста, дроппер на arkit[@]anti-virus.by, завтра с утра точно гляну, что там и как.

И ещё... у этих модулей не unloaded module статус случайно? Если да, то всё валидно..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
То, что Dump не доступен - скорее всего ошибка в гуи..

Киньте, пожалуйста, дроппер на arkit[@]anti-virus.by, завтра с утра точно гляну, что там и как.

И ещё... у этих модулей не unloaded module статус случайно? Если да, то всё валидно..

Я вам специально и написал, что смотрел с windbg, который и пишет, что там адреса именно не валидные. Статус у них не unloaded.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Еще "до кучи". Перезаразил систему (тем же дроппером), на сей раз это cdrom.sys.

Теперь он увидел эти плагины "как они есть" вместе с путями на скрытом диске, но при попытке сдампить их, делает файлы из нулей.

16335792.jpg

К сожалению, не успел сделать kernel dump для анализа, система повисла :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky

rkhunter, Рассадил сегодня данный экземпляр. Без интернета загружать дополнительные драйвера наотрез отказался. Что имеем:

ZA_1.png

Смотрим первый:

ZA_2.png

Да, память не валидная. Делаем lm:

ZA_3.png

Ага, драйвер здесь всё-таки был, но успел выгрузится.

Смотрим второй драйвер:

ZA_4.png

Этот выгрузиться ещё не успел.

После рефреша - оба драйвера имеют статус File doesn't exist Unloaded Module.

Всё работает, как и должно...

post-13504-1321276228_thumb.png

post-13504-1321276858_thumb.png

post-13504-1321276883_thumb.png

post-13504-1321276925_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Вопрос по этому поводу, есть ли смысл вообще показывать unloaded modules?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Varshavsky
Вопрос по этому поводу, есть ли смысл вообще показывать unloaded modules?

Вреда точно нет. Как и говорил, стараемся выводить максимум информации...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Если не ошибаюсь, tdsskiller использовал порты, так сказать, на ранней стадии развития =)

Нет, не использовал.

Была отдельная утилита AntiBoot, которая таким безобразием занималась, за что и была выпилена сразу же после того, как TDSSKiller научился буткитов лечить :)

Еще хотелось бы хотя бы в каком-нибудь продукте увидеть дамперы FS ZeroAccess и tdl (в смысле уже расшифрованные конфиги и плагины в их ФС). Пока то что видел, этот tdl fs reader от eset. Хотя фича была бы очень и очень полезная.

Кстати, TDSSKiller умеет дампить TDLFS от почти всех его модификаций (TDL3/4, MaxSS, Pihar).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Не удержался, посмотрел с TDL2 :)

Полную проверку не запускал, прошелся по нескольким вкладкам.

Первое куда пошел, kernel modules.

Нашел pack/unpack версии драйверов, успешно сдампил, отправил на VT -> Trojan:WinNT/Alureon.D (запакованный нормально определила только MS, опять!).

67080220.jpg

Потом, kernel mode hooks. Вроде тоже все "как надо".

38266057.jpg

Но главное, сервис, с которого стартует драйвер - ветка реестра, ее не было. :(

Так он выглядит у Xuetr и так у вас (Drivers and services from registry).

63821919.jpg

65403132.jpg

Дальше идем искать драйвер и плагины на Low Level Disk Access Tool. Тут все нашел. Плагины в system32

87230209.jpg

и драйвер в system32\drivers.

40176027.jpg

В kernel notificators нашел подозрительный callback, не принадлежащий, кстати ни одному модулю. Наверное, темповый буфер руткита.

64621647.jpg

Нет, не использовал.

Была отдельная утилита AntiBoot, которая таким безобразием занималась, за что и была выпилена сразу же после того, как TDSSKiller научился буткитов лечить :)

Кстати, TDSSKiller умеет дампить TDLFS от почти всех его модификаций (TDL3/4, MaxSS, Pihar).

Юрий, пора бы уже переименовывать tdsskiller в rootkitkiller, или... tdsskiller это уже бренд :)

Видел в настройках есть галочка TDLFS, а куда он ее дампит?...

Кстати, TDSSKiller умеет дампить TDLFS от почти всех его модификаций (TDL3/4, MaxSS, Pihar).

И для MaxSS?? Он же отдельный раздел создает в конце диска с таблицы разделов MBR...

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Юрий, пора бы уже переименовывать tdsskiller в rootkitkiller, или... tdsskiller это уже бренд :)

Утилита стало известной именно под этим именем, поэтому и не хочется переименовывать :)

Видел в настройках есть галочка TDLFS, а куда он ее дампит?...

В %системный_раздел%:\TDSSKiller_Quarantine\Дата_Время\*. Согласен, что не совсем очевидно - в планах есть добавление вкладки "Карантин" вместе с отчетом, откуда можно будет и в архив с паролем награбленное паковать.

И для MaxSS?? Он же отдельный раздел создает в конце диска с правкой MBR...

Да, и ее тоже - файловая система осталась почти такой же, только ключ шифрования стал браться из VBR, а не MBR и изменилось смещение корневого раздела (также константа в VBR).

Вот примерно так:

TSK.png

post-5690-1321288972_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Юрий, а как вы лечите SST? Там же уже не правится bootstrap код... Не раздел же его сносите в самом деле...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Юрий, а как вы лечите SST? Там же уже не правится bootstrap код... Не раздел же его сносите в самом деле...

Так для лечения достаточно восстановить MBR с таблицей разделов. А SST-шный раздел после этого остается лишь бесполезным мусором, который никому не мешает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Так для лечения достаточно восстановить MBR с таблицей разделов. А SST-шный раздел после этого остается лишь бесполезным мусором, который никому не мешает.

Точно, достать оригинальный с его диска, я ступил...

Для ZeroAccess такую же фичу можно прикрутить, читать с его девайса ACPI#PNP0303#... плагины и оригинальный драйвер.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
rkhunter, осторожнее. По тенденции толковые технари этого форума переходят работать в ЛК, либо уходят в свободное плавание, явно выражая симпатию к ЛК ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      а внутри локалки и не получится, белые ip нужны только при подключении через интернет.
    • santy
      Проверил на двух домашних ПК в локальной сети с роутером. Схема с серым IP работает отлично. Передача файлов гениальна! Вот просто как будто дополнительное зрение появилось :). Через белый IP  пока не удалось подключиться. Пришлось еще фаерволлы включить в интерактивный режим. (На автомате еще не проверял, возможно надо сохранить некоторые правила.)
    • demkd
      ---------------------------------------------------------
       4.99.4
      ---------------------------------------------------------
       o Исправлена функция автоматического переключения удаленных рабочих столов.
         Проблема проявлялась при работе с удаленной системой через локальную сеть, при запуске приложения
         от имени администратора не происходило автоматическое переключение на защищенный рабочий стол.
         (не касается полной версии разового доступа к рабочему столу, в этом режиме проблемы не было).

       o Проведено сравнительное тестирование системного удаленного рабочего стола и uVS.
         Передача файлов через системный удаленный рабочий стол идет почти в 20 раз медленней чем через через uVS.
         Максимальный fps в 32-х битном цвете почти в 3 раза ниже чем у uVS в FHD.
         (!) Выявлена проблема совместного использования uVS и системного рабочего стола.
         (!) Если системный рабочий стол был закрыт БЕЗ выхода из пользователя, то uVS не сможет
         (!) отбразить рабочий стол логона пользователя (Winlogon).
         (!) Единственное решение проблемы: подключиться заново через системный рабочий стол и выйти из пользователя.
       
    • demkd
      ---------------------------------------------------------
       4.99.3
      ---------------------------------------------------------
       o Это обновление повышает качество работы с удаленной системой и добавляет новый режим работы.
         (!) Новая функция не совместима со старыми версиями uVS, если у вас в настройках установлен флаг bReUseRemote = 1,
         (!) то перед обновлением необходимо закрыть все серверные части uVS на удаленных компьютерах с помощью
         (!) старой версии uVS.

       o Добавлен новый режим работы: Разовый доступ к удаленному компьютеру.
         (!) Доступно начиная с Vista, подключение к рабочему столу устаревших систем возможно лишь прежним способом.
         Ранее просмотр и управление рабочим столом удаленного компьютера было вспомогательной функцией при работе с удаленной системой.
         Для подключения требовались полномочия администратора или знание логина и пароля администратора удаленного компьютера и
         физическая возможность подключения к удаленному компьютеру.
         Новый режим работы похож на то, что предлагают всевозможные поделки для удаленного администрирования.
         o В этом режиме доступно: управление и просмотр рабочего стола, а также быстрый и надежный обмен файлами на пределе пропускной
           способности канала. (для сравнения RAdmin в гигабитной сети передает файлы более чем в 15 раз медленней чем uVS).
         o Передаваемые кадры теперь не только сжимаются, но и шифруются,  целостность передаваемых файлов защищена
           проверочным хэшем и шифрованием.
         o Подключение осуществляется без использования промежуточного сервера, т.е. это чистый P2P.
         o Подключение возможно к компьютеру за NAT при включенной у роутера опции uPNP.
         o Подключение возможно к компьютеру, где активирован VPN.
           (!) Подключение производится к реальному адресу роутера или адаптера компьютера с VPN, VPN канал полностью игнорируется.
         o Подключение возможно в обе стороны, т.е. из пары компьютеров требуется лишь 1 белый IP, направление подключения выбирается
           при начальной настройке.

         При запуске start.exe теперь вам доступны три новые кнопки:
         o Управление удаленным компьютером и обмен файлами.
           Эту кнопку нажимает тот кто хочет получить доступ к удаленному компьютеру, в открывшемся окне можно выбрать
           вариант подключения (см. ниже) и ввести код доступа полученный от того кто предоставляет доступ к компьютеру.
           Варианты подключения:
             o Соединение примет мой компьютер - в этом случае необходимо выбрать IP к которому будет подключаться другая
               сторона. При подключении через интернет следует выбирать белый IP адрес, если ваш компьютер за роутером
               и на нем активен NAT, то выбрать нужно именно его IP адрес. (адрес с пометкой [router]).
               Если роутер поддерживает uPNP, то этот адрес будет выбран по умолчанию.
               Если же в списке нет белых IP то вам следует выбрать другую опцию подключения.
               После выбора IP просто нажмите кнопку Старт и передайте одноразовый код доступа другой стороне.
               При подключении по локальной сети вы можете нажать кнопку "Все IP" и выбрать любой серый адрес для подключения.
               Поддерживается и IPv4 и IPv6.
               (!) Код доступа автоматически копируется в буфер обмена при нажатии кнопки "Старт".

             o Соединение установит мой компьютер - просто скопируйте код доступа в поле ввода или код там появится автоматически
               если вы его скопировали из мессенджера. После чего нажмите кнопку Старт и ожидайте подключения.

         o Разовый удаленный доступ к моему компьютеру [админ]
           (!)Пользователь должен обладать правами администратора или правами по запуску и установке служб.
           Эту кнопку нажимает тот кто хочет предоставить доступ к своему компьютеру, в открывшемся окне можно выбрать
           разрешения для другой стороны.
           Доступны 3 варианта:
             o  Управление     - доступно: мышь, клавиатура, просмотр экрана и обмен файлами.
             o  Просмотр       - доступно: просмотр экрана и обмен файлами.
             o  Обмен файлами  - доступно: обмен файлами.
           Это полнофункциональная версия удаленного рабочего стола uVS, с возможностью удаленного подтверждения
           запуска приложений от имени администратора и эмуляции нажатия Ctrl+Alt+Del.

         o Разовый удаленный доступ к моему компьютеру [не админ]
           Все тоже самое что и во 2-м случае, кроме удаленного подтверждения запуска приложений от имени администратора
           и эмуляции нажатия Ctrl+Alt+Del, дополнительно есть ограничение по использованию защищенных рабочих столов.

       o При работе с удаленным рабочим столом теперь доступна передача файлов и каталогов из буфера обмена в обе стороны.
         Что бы передать файлы или целые каталоги на удаленный компьютер, просто скопируйте их в буфер обмена и в окне
         удаленного рабочего стола нажмите кнопку со стрелкой вверх.
         Передача изображения автоматически отключится и откроется окно с логом передачи файлов.
         В заголовке окна лога вы увидите объем переданных данных и среднюю скорость передачи (с учетом чтения их с диска).
         По окончании передачи  файлов в лог будет выведена информации о времени передачи, количестве успешно переданных файлов и
         средней скорости передачи.
         Переданные файлы будут помещены в буфер обмена удаленной системы и вы сможете  вставить их из буфера
         в любой каталог или прямо на рабочий стол. При этом файлы переносятся из временного каталога.
         Если же вы не вставили файлы из буфера обмена то они останутся во временном каталоге C:\uVS_copyfiles\*
         точный путь до которого выводится в лог на удаленном компьютере.
         Что бы получить файлы проделайте обратную операцию: скопируйте файлы в буфер обмена на удаленном компьютере
         и нажмите кнопку со стрелкой вниз, по завершению передачи файлы будут помещены в буфер обмена вашего компьютера
         и вы можете перенести их в любую нужную папку.
         Таким образом обе стороны видят какие файлы и куда копируются и при этом максимально упрощается процесс копирования.
         (!) При закрытии окна лога передача файлов будет остановлена.
         (!) При разрыве соединения передача файлов будет автоматически продолжена после восстановления соединения,
         (!) при этом работает функция докачки, т.е. если ошибка произошла при передаче большого файла, то передача его
         (!) продолжится с последнего успешно полученного блока, т.е. блок будет заново.
         (!) Каждая передача файлов является независимой, т.е. нельзя прервать передачу и воспользоваться функцией докачки.
         (!) Проверка целостности файлов производится на лету вместе с его расшифровкой, таким образом достигается
         (!) максимально возможная скорость передачи примерно равная скорости копирования файлов по локальной сети системой.
         (!) При необходимости передачи большого количества мелких файлов рекомендуется поместить их в архив, это серьезно
         (!) сократит время передачи.
         (!) Состоянии кнопки CS никак не влияет на данный функционал.

       o Изменен приоритет протоколов: IPv4 теперь является приоритетным, как показали замеры в гигабитной локальной сети
         IPv4 позволяет достичь более высокой скорости передачи данных.

       o Добавлено шифрование сжатых кадров удаленного рабочего стола для повышения защиты передаваемой по сети информации.

       o В случае разрыва соединения повторное подключение происходит автоматически без запроса.

       o Снижен инпут лаг при работе с удаленным рабочим столом.

       o Обновлена функция синхронизации буфера обмена с удаленной системой: теперь поддерживается передача скриншотов
         в обе стороны.

       o Обновлена функция передачи движений мыши в удаленную систему.
         Теперь доступно управление с помощью движений мыши, которое используется в некоторых приложениях и играх. (если нажата кнопка MM)
         Если указатель мыши видим в удаленной системе то управление производится позиционированием указателя по расчетным координатам (как и раньше),
         в противном случае указатель скрывается в клиентской системе и передаются лишь движения мыши.
         При возникновении проблем с восстановлением видимости указателя вы всегда можете переключиться из окна удаленной рабочего стола по горячей
         клавише RWin.

       o uVS теперь при старте добавляется в исключения Ф и брандмауэра до выхода из uVS.

       o Теперь запоминаются размеры и режим отображения удаленного рабочего стола для каждого активного монитора.
         Кнопка 1:1 применяется автоматически при первом выборе монитора.
         Обработчик кнопки 1:1 обновлен, теперь размер окна рассчитывается с высокой точностью для новых систем,
         где размер окна включает в себя тень.

       o Добавлен выбор метода захвата экрана, доступно 3 варианта:
         o GDI -  медленный метод захвата экрана, но работает в любой удаленной системе, постоянный fps.
                  (единственный доступный метод для Win2k-Win7)

         o DDA1 - быстрый, работает начиная с Windows 8, максимальный коэффициент сжатия,
                  переменный fps в зависимости от экранной активности.
                  (!) рекомендуется использовать при ширине канала ниже 100Mbit, вместо DDA2.

         o DDA2 - очень быстрый метод сравнимый с захватом экрана с помощью mirror драйвера, но без использования драйвера,
                  работает начиная с Windows 8, низкий коэффициент сжатия, переменный fps в зависимости от экранной активности.
                  Способен захватывать видео с высоким fps (до 60) за счет упрощенного метода сжатия и обработки потока кадров.
                  (метод по умолчанию для Win8+, рекомендуется при значительной экранной активности).
                  (!) рекомендуется использовать при ширине канала не менее 100Mbit, при высоких разрешениях 1Gbit и выше
                  (!) из-за низкого коэффициента сжатия.
                  (!) При низкой экранной активности трафик до 10 раз больше чем у DDA1, при высокой - в 2 раза больше.
          
       o В окно удаленной рабочего стола добавлена кнопка "SYN" она замещает собой ручной выбора задержки захвата кадров.
         (отжатая кнопка соответствует нулевой задержке)
         Если кнопка нажата то задержка, а значит и максимальный fps ограничивается автоматически в соответствии
         с пропускной способностью канала, к сожалению это понижает максимальный fps и увеличивает инпут лаг,
         однако это полностью решает проблему, которой страдают даже лучшие программы удаленного управления
         при недостаточной ширине канала. Если канал слишком узок (10Mbit и менее) то при значительной
         экранной активности (оконное видео или анимация) происходит потеря управления удаленным рабочим столом
         из-за того что новые кадры отправляются в буфер значительно быстрее, чем клиентская машина успевает их получить и отобразить,
         в результате чего даже нажатия кнопок отображаются с задержкой в несколько секунд.
         Тоже самое будет наблюдаться в uVS в сходных условиях если кнопка SYN не нажата.
         Поэтому SYN не рекомендуется отключать при значительной активности в кадре и узком канале.
         Если канал 100Mbit и выше (локальная сеть), используется DDA2 то можно выключить SYN и это сильно поднимет fps и значительно уменьшит инпут лаг.
         Кнопка SYN по умолчанию нажата, состояние кнопки сохраняется при выходе из uVS.
         Выбранная цветовая битность теперь тоже сохраняется.

       o В окно удаленной рабочего стола добавлена кнопка "MR" она позволяет управлять указателем мыши из удаленной системы,
         Функция работает ЕСЛИ кнопка нажата И курсор находится в пределах окна удаленного рабочего стола И это окно активно.
         Функция предназначена для тех случаев когда человеку на том конце проще показать проблему чем описать ее словами.

       o Теперь клиентская часть uVS автоматически завершается если удаленная система перезагружается, выключается или завершается сеанс пользователя.
         (только если открыто окно удаленного рабочего стола)

       o Значительно увеличена скорость переключения мониторов, рабочих столов и смены разрешения монитора в DDA режиме.
         (!) Однако есть побочный эффект: если новый монитор будет подключен к удаленной системе пока открыто окно рабочего стола,
         (!) то для отображения картинки с этого монитора необходимо будет закрыть/открыть окно или повторно выбрать метод захвата экрана.

       o Добавлена поддержка браузера Microsoft Edge.

       o Обновлена функция чтения и удаления расширений браузеров: Chrome, Yandex, Edge.
         Добавлены сайты с включенными уведомлениями с указанием времени активации уведомлений.
         Из окна информации о расширении удалено поле Extension_homepageURL за бесполезностью.
         Мусор оставшийся от старых расширений помечается как "файл не найден" и будет удален при вызове функции удаления ссылок на
         отсутствующие файлы.

       o Контекстное меню в окне редактирования критериев теперь тоже использует выбранный размер шрифта.

       o Улучшена совместимость с системами с малым количеством оперативной памяти.

       o Исправлена функция захвата экрана в GDI режиме.

       o Исправлена ошибка в функции чтения защищенных файлов, в некоторых случаях функция не могла получить доступ к файлу.

       o Исправлена ошибка в функции смены рабочего стола

       o Исправлены ошибки инициализации COM.

       o Исправлена ошибка из-за которой из списка проверки выпало 2 ключа автозапуска.

       o Исправлена ошибка в функции отката изменений (Ctrl+Z) при работе с образом.

       o Исправлена ошибка повторной инициализации захвата экрана в случае если рабочий стол был переключен пользователем или системой
         до повторного открытия окна удаленного рабочего стола.

       o Исправлена ошибка при открытии окна информации о компьютере.
         Добавлена дата релиза биоса, исправлено отображение объема физической памяти, добавлена расшифровка типа памяти и условное обозначение
         ее производительности.

       o Добавлена возможность открывать ключ реестра в regedit-е двойным щелчком по строке в логе или
         через контекстное меню.
         (!) Недоступно при работе с образом автозапуска.
       
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.0.12.
×