Universal Virus Sniffer (uVS) 5.0.5

---------------------------------------------------------
4.99.0
---------------------------------------------------------
o uVS стал полностью 64-х битным, версии 4.99.x поэтапно будут предоставлять ранний доступ к функционалу v5.0.
Общедоступный релиз v5.0 состоится после того как весь запланированный функционал будет реализован.

o uVS разделен на 4 версии: uVS x86, uVS x86v, uVS x64, uVS x64v.
v-версии для систем начиная с Vista и обычные версии для остальных, версия выбирается автоматически стартером (start.exe).
Добавлен start_x64.exe для запуска uVS x64(v) в WinPE x64 и 64-х битном режиме командной строки (доступен начиная с Win8),
старый start.exe запускает x64 версию в 64-х битных системах и x86 версию в 32-х битных.
"v" версии теперь работают быстрее на 15%, а обычная версия сравнялась по скорости с v4.15.7v.
Образы автозапуска совместимы с версиями любой разрядности начиная с uVS v4.15.4.
(!) Только "v" версии поддерживают работу с теневыми копиями.

o Добавлена поддержка восстановления реестра из теневых копий.
В окно выбора каталога выбора доступных копий реестра была добавлена кнопка "Извлечь полные копии реестра из Тени".
Функция доступна для активных, неактивных и удаленных систем начиная с Vista.
При успешном выполнении функции в каталоге \Windows\ABR будут созданы полные (включая пользовательский реестр),
автономные (есть утилиты restore и defrag) копии реестра.
Наименования каталогов с копиями: "yyy-mm-dd_hh-mm_shadowcopy".
Даблклик по каталогу сохранения откроет его в эксплорере.
Перед использованием выбранной копии реестра рекомендуется запустить defrag из каталога сохранения и убедиться, что копия реестра исправна.
(!) Только утилита defrag исправляет копию реестра, даже если реестр грузится или был успешно восстановлен системой при загрузке еще не означает,
(!) что копия не содержит ошибок.

o Добавлен режим восстановления реестра для неактивных систем.
Если uVS не смог загрузить реестр неактивной системы то автоматически открывается окно восстановления реестра из каталога,
в котором можно выбрать копию реестра по дате или найти подходящую копию в Тени. (если имеются доступные теневые копии системного тома).

o Добавлен вывод ошибок в лог при невозможности загрузить пользовательский реестр.

o Запуск uVS с командной строки без загрузки с диска для работы с неактивной системой.
1. Если у вас Windows 8 и старше, то запустите start.exe и нажмите кнопку "Перезагрузить систему в меню дополнительных параметров загрузки".
2. Далее в меню "Поиск и устранение неисправностей->Дополнительные параметры->Командная строка"
3. Выберите админскую учетную запись и введите для нее пароль.
4. Запустите start.exe/start_x64.exe из каталога uVS.
(!) Обычно система расположена на диске C или D.
Например: uVS лежит в каталоге С:\uvs (в командной строке это будет D:\uvs)
Для запуска uVS необходимо последовательно набрать 3 команды, завершая каждую нажатием клавиши Enter.
1. d:
2. cd d:\uvs
3. start_x64.exe
5. Выберите каталог Windows (обычно D:\Windows и он автоматически выбран).
Если у вас Windows 7 и младше, то в меню вы можете попасть только зажав F8 при перезагрузке системы.
(!) Использовать msconfig для этого не рекомендуется, система может не загрузиться после его использования.
Для младших систем доступен только безопасный режим с поддержкой командной строки, т.е. система будет активна.

o Восстановлена поддержка запуска uVS с командной строки под Windows 8/8.1.

o Обновлена функция создания загрузочного диска.
Теперь вы можете создавать образы на базе WinPE x64, в том числе с помощью ADK последней версии для Windows 11.
(!) Создание x86 ISO возможно лишь при наличии ADK+PE 2004 и младше, в более новых версиях ADK+PE поддержки x86 нет.
Доступно редактирования автозапуска, по умолчанию выбран запуск uVS и FAR выбранной разрядности.
Действуют следующие ограничения:
Одна строка = одно приложение.
Допустимая длина строки: 250 символов.
Допустимый размер текста: 4096 символов.
Программы в автозапуске запускаются последовательно.
После завершения последнего приложения в списке WinPE автоматически уйдет в перезагрузку.
Чтобы указать параметры командной строки приложения, добавьте запятую (,) после имени приложения:
Например: %SYSTEMDRIVE%\FAR64\far.exe, C: D:
(!) Под WinPE x64 доступен запуск лишь 64-х битных приложений, 32-х битные приложения запускаться не будут.
Пакеты HTA и Scripting теперь интегрируются в образ автоматически, поскольку это необходимо для запуска uVS.
Добавлена возможность интегрировать пакет FMAPI.
Про пакеты и их назначение вы можете почитать здесь:
WinPE: добавление пакетов (ссылка на необязательные компоненты)
Про доступные версии ADK здесь:
Скачивание и установка Windows ADK

o Добавлен твик #44, который включает периодический системный бэкап реестра в каталог \Windows\System32\config\RegBack
Начиная с Windows 10 1803 периодический бэкап отключен по умолчанию.

o Во время выполнения команд интерфейс больше не подвисает: окно можно сворачивать, менять размер и т.д.

o Системные процессы без расширения добавлены в список процессов.

o Обновлен эмулятор редиректора реестра, теперь учитывается версия системы и выбирается тип ключа реестра соответствующий версии системы (shared, redirected...).
Трансляция путей к 32-битным файлам для shared ключей не производится, кроме одного ключа, где это имеет смысл.
Т.е. при работе с активной x64 системой uVS теперь работает с ее реестром точно так же как и с неактивной системой, в реестре которой физически нет отображения
"shared" ключей в ветку WOW6432Node.
Для "redirected" ключей изменений нет, отображаются ссылки и на x64 и на x86 файлы.

o Новые горячие клавиши:
Ctrl+Shift+* - Инвертировать фильтр (действует только на кнопки скрытия из списка)
Сбрасывается при смене категории.
Alt+Shift+I - Пометить процесс окна на переднем плане как подозрительный (если текущий рабочий стол "Default")
Дополнительно переключает рабочий стоил c "Default" на рабочий стол uVS (если uVS запущен на чистом рабочем столе - start.exe /d) и обратно.

o Запуск на чистом рабочем столе теперь совместим с UAC. (start.exe /d)
Запуск под LocalSystem на чистом рабочем столе теперь доступен только для систем младше Vista.

o Удалена горячая клавиша Alt+Shift+A при запуске с чистым рабочим столом.

o Изменен способ одновременного закрытия клиентской и серверной копии uVS из окна управления удаленным рабочим столом.
Клик правой кнопкой мыши по дополнительной кнопке закрытия окна (кнопка с крестиком внутри окна) ВСЕГДА закрывает обе копии.
ЕСЛИ установлен флаг bReUseRemote в settings.ini то обычный клик левой кнопкой закрывает только клиентскую копию uVS.
ЕСЛИ НЕ установлен флаг bReUseRemote (значение по умолчанию) то закрываются обе копии.

o Список горячих клавиш вынесен в отдельный файл "Горячие клавиши.txt"

o Добавлено несколько новых ключей автозапуска.

o Добавлена текстовая расшифровка кодов завершения задачи.

o Файлы начинающиеся на "." или имеющие пробелы перед расширением теперь автоматически помечаются как подозрительные.

o Подозрительные файлы с формулировкой "Имя файла типичное для вирусов или содержит Non-ASCII символы" не теряют статус подозрительного при успешной
автоматической_ проверке по базе проверенных файлов (включая массовую проверку по F4).
Убрать статус можно лишь ручной проверкой файла.

o Функция повторного сканирования файла на VT по хэшу теперь автоматически открывает отчет о сканировании в браузере.

o Обновлен эмулятор системного редиректора.

o Обновлена функция сверки: теперь защищенные файлы считаются подозрительными.

o Обновлена функция получения списка расширений под новые версии Firefox.

o Добавлена поддержка переменной окружения PROCESSOR_ARCHITECTURE.

o Добавлена функция эмуляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA, PROCESSOR_ARCHITECTURE, PROGRAMW6432, COMMONPROGRAM6432.
при работе с неактивными системами.
Пользовательские переменные указывают на каталоги профиля последнего пользователя неактивной системы.

o Функция "Поиск объектов отсутствующих в списке PEB_LDR_DATA активных процессов" удалена.

o Из контекстного меню удален runscanner.net

o В контекстное меню добавлен поиск по имени объекта на Яндекс и Google.

o Улучшена функция построения списка загруженных DLL.

o Обновлены функции вывода содержимого консоли приложения в лог.

o Исправлена ошибка из-за которой для некоторых файлов не отображались ссылки на них.

o Исправлена функция разбора кэша задач.

o Исправлена функция антисплайсинга.

o Теперь при переходе в категорию "Файлы без проверенной подписи" автоматическая проверка эцп не производится.

o Исправлена дата при вводе новой вирусной сигнатуры.

o Исправлена блокировка некоторых клавиш при свернутом окне удаленного рабочего стола.

o Исправлена критическая ошибка в функции извлечения сигнатуры из файла при прямом доступе к диску.

o В окне информации исправлена ошибка отображения параметров файлового потока.

o Исправлена ошибка проверки ЭЦП для файлов из последних обновлений Windows 7 x64,
где для внешней подписи разных системных файлов может быть использован как SHA1, так и SHA256.

o Обновлены базы известных файлов.

o Исправлены мелкие ошибки.

---------------------------------------------------------
4.15.7
---------------------------------------------------------
o Исправлена старая ошибка проверки ЭЦП: "Not a cryptographic message or the cryptographic message is not formatted correctly"
проявляющаяся в некоторых системах.

o Обновлена база известных файлов.

---------------------------------------------------------
4.15.6
---------------------------------------------------------
o Исправлена ошибка из-за которой автоматически не замораживались потоки внедренные в uVS,
если их код НЕ принадлежал одной из загруженных DLL.

o Добавлена поддержка английского интерфейса при запуске под Win2k.

---------------------------------------------------------

---------------------------------------------------------
4.15.5
---------------------------------------------------------
o Обновлена функция трансляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA.
Значения этих переменных теперь зависят от того где физически находится lnk файл.
Теперь с разбором lnk файлов будет меньше проблем, но я все же рекомендую удалять ссылки
на отсутствующие объекты только под текущем пользователем.

o Исправлена функция разбора путей не содержащих букву диска.

o Исправлена функция разбора аргументов rundll32.

o Обновлен start.exe.
o Обновлен интерфейс.
o Изменена кнопка по умолчанию, теперь это "запуск под текущим пользователем".
o Исправлена ошибка: при определенных параметрах повторный запуск uVS в режиме "до запуска эксплорера" был невозможен.

---------------------------------------------------------
4.15.4
---------------------------------------------------------
o Обновлен интерфейс.

o Из Ф портировано окно "История запуска процессов" для комфортного распутывания цепочек запуска и взаимодействия
процессов с задачами.
Доступ к окну можно получить через меню "Дополнительно->История процессов и задач".
В первом списке отображается история запуска процессов с момента старта системы (по данным журнала Windows).
В списке доступен фильтрующий поиск по имени, PID и фильтрация по родительскому процессу (см. контекстное меню).
В нижнем списке отображается история воздействия процессов на задачи с момента запуска системы, а если установлен
фильтр родительского процесса то отображаются лишь те задачи с которым взаимодействовал родительский процесс.
(!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
(!) История не доступна для неактивных систем.

o Обновлен формат образа автозапуска, образы созданные v4.15.4 не будут читаться старыми версиями uVS.
Добавлено:
o Мгновенный срез активности процессов на момент завершения создания образа (Запустить->Просмотр активности процессов [Alt+D])
o История процессов и задач (Дополнительно->История процессов и задач)
(!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
o Защита образа от повреждений.

o Утилита cmpimg обновлена до версии 1.04 для поддержки нового формата образов автозапуска.

o Утилита uvs_snd обновлена до версии 1.05 для поддержки нового формата образов автозапуска.

o Теперь при подключении к удаленной системе всегда запускается "v" версия uVS, если клиентская система не младше Vista.
На удаленной системе всегда запускается обычная версия uVS для совместимости с системами младше Vista.

o Исправлена ошибка отображения имени процесса при работе под Win2k в окне "Активность процессов".
(!) Английская версия uVS НЕ_совместима с Win2k, с Win2k работает только русская версия.

o Исправлена ошибка разбора состояния TCPIPv6 соединений.

---------------------------------------------------------
4.15.3
---------------------------------------------------------
o Добавлен новый модуль uvsv для систем не младше Vista.
Признаком его работы является номер версии uVS c буквой v на конце: 4.15.3v.
Модуль позволяет получить более четкие шрифты при активном масштабировании.
На системах младше Vista будет работать обычная версия 4.15.3.

o Выбранный шрифт теперь применяется и к меню.

o Добавлена подстройка размеров списка под размер шрифта в окне активности процессов.
Улучшена функция сортировки процессов по загрузке GPU.

o Добавлена подстройка размеров списка под размер шрифта в окне удаления программ.

o Добавлена подстройка размеров списка под размер шрифта в окне списка сохраненных компьютеров.

o На основе полученных дамп-файлов выявлены и исправлены ошибки:
o Исправлена критическая ошибка в файле английской локализации (файл lclz).
o Исправлена потенциальная критическая ошибка при попытке загрузки поврежденного файла сигнатур.

---------------------------------------------------------
4.15.2
---------------------------------------------------------
o Исправлена ошибка при работе с образом автозапуска.
Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".

o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
(при работе с удаленной системой)

---------------------------------------------------------
4.15.1
---------------------------------------------------------
o При запуске с диска uVS v4.15+ требуется наличие поддержки HTA.
Рекомендуется интрегрировать и WMI.
Рекомендуемый размер шрифта 8.

o Добавлен новый раздел "Defender: Исключения".
В раздел вошли ислючений Windows Defender-а. (пути, файлы, расширения, процессы).
(!) Удаление исключений возможно лишь при виртуализации реестра.

o Сохранение реестра в каталог: теперь сохраняется BCD.
Повреждения BCD (в том числе и логические) могут привести к отказу загрузки системы или к полному зависанию системы при запуске некоторых приложений,
подвисаниям при смене разрешения экрана или использовании панели nVidia, использовании 3D режима видеокарты и т.п.

Причины повреждений BCD: проблемы с диском, оперативной памятью или использование утилиты msconfig, последнее может привести к симптомам сходным
с отказом железа, я НЕ рекомендую запускать эту "полезную" утилиту.

o Восстановление реестра из каталога теперь восстанавливает BCD.
После восстановление реестра система будет автоматически перезагружена (только для активной системы).

o Обновлен start.exe:
o используются настройки шрифта из setting.ini
o добавлена кнопка для перезагрузки в меню дополнительных параметров загрузки.
o при загрузке с диска автоматически выбирается для работы первая доступная система.

o Добавлен твик #43 [Win7] Устранить последствия использования msconfig.
Для Windows 7 и старше.
Твик удаляет ключи в BCD, добавленные в него msconfig-ом для активации безопасного режима.
Твик не влияет на опции выборочной/диагностической загрузки в msconfig-е, удалению подлежат лишь 10 ключей связанных с безопасным режимом или
ограничивающих работу системы. Именно эти опции приводят к проблемам с системой после использования msconfig-а.
(!) Для загрузки в безопасный режим или командную строку всегда используйте меню дополнительных параметров загрузки системы, в отличии от
(!) того что делает msconfig это безопасный способ и в случае неработоспособного безопасного режима система всегда сможет загрузиться.

o Теперь в каталог с сохраненным реестром помещаются утилиты restore и defrag из пакета ABR v1.20.

o Теперь перед актуализацией реестра автоматически запускается функция "Принять изменения". (включая скриптовую команду areg)

o Улучшена функция удаления защищенных ключей, вероятность удаления защищенных ключей повышена.

o В результатах сервиса VT дата "First Seen In The Wild" теперь игнорируется из-за низкой ее достоверности.

o Исправлена ошибка отображения развернутого лога.

o Исправлена ошибка пересчета размера элементов в основном окне.

o Исправлена ошибка пересчета размера элементов в окне информации.

o Исправлены мелкие ошибки интерфейса.

---------------------------------------------------------
4.15
---------------------------------------------------------
o Исправлена ошибка в функции виртуализации реестра, которая потенциально могла привести к порче кустов реестра.

o Функция быстрой виртуализации удалена.
Скриптовые команды sreg и vreg теперь синонимы.

o Для совместимости со старшими версиями Windows обновлена функция замены/восстановления реестра,
теперь создается специальный каталог "uvs_regback" в корне системного диска,
все операции необходимые для бэкапа и замены кустов реестра производятся только в нем.

o Исправлена ошибка из-за которой при восстановлении реестра из каталога с бэкапом удалялись сохраненные файлы:
security, drivers, components. Идентичная ошибка есть и в ABR v1.10.

o Исправлена ошибка из-за которой не все каталоги с бэкапом реестра отображались в окне выбора.

o Новый параметр в settings.ini
[Settings]
; Размер основного шрифта
FontHeight (по умолчанию 10)

o Новый параметр в settings.ini
[Settings]
; Название основного шрифта
FontName (по умолчанию Tahoma)

---------------------------------------------------------
4.14.1
---------------------------------------------------------
o Добавлена возможность работать с файлами на разделах без присвоенной буквы диска.
Например: \DEVICE\HARDDISKVOLUME1\EFI\MICROSOFT\BOOT\RECOVERY.EXE
Файлы с аналогичным путем автоматически попадают в раздел подозрительных файлов.
Доступна вся информация о таких файлах в списке автозапуска, кроме иконки.
Доступны все операции с файлом.
(Возможно функция не будет работать на устаревших версиях Windows)

---------------------------------------------------------
4.14
---------------------------------------------------------
o Исправлена критическая ошибка при разборе параметров в файлах задач.
Из-за ошибки uVS мог аварийно завершится без создания дампа.

o Каталог по умолчанию теперь каталог Windows.
(Для окон выбора каталога).

---------------------------------------------------------
4.13
---------------------------------------------------------
o Добавлена поддержка Windows 10 2004 ADK для создания загрузочных дисков.
(!) Это последний пакет Windows PE x86, все что старше это x64, в котором запуск 32-х битных приложений невозможен.
Для создания дисков требуются установить следующие пакеты:
o Три компонента из Windows ADK для Windows 10 версии 2004
o средства развертывания
o средства миграции (USMT)
o набор средств оценки производительности Windows
o Windows надстройка PE для ADK версии 2004
(Скачать оба пакета можно в окне создания загрузочной флешки/ISO)
(!)Если не удается установить Windows ADK с ошибкой "Could not acquire privileges; GLE=0x514"
то следует запустить adksetup из под системной учетки, что можно сделать с помощью uVS, запущенного под LocalSystem.

o Исправлена ошибка, которая в очень редких случаях приводит к переполнению буфера при чтении строк из реестра.

---------------------------------------------------------
4.12.3
---------------------------------------------------------
o Добавлено несколько новых ключей автозапуска.

o Добавлен новый флаг запуска "Проверять весь HKCR".
Не всегда требуется загружать и проверять все CLSID (по умолчанию флаг установлен).
Снятие флага значительно ускорит скорость построения образа автозапуска за счет существенного сокращения файлов в списке.
Если флаг установлен:
o Твик #37 не исправит все проблемные пути в реестре
o Функция удаления ссылок на отсутствующие файлы не затронет незагруженную часть HKCR.

o Улучшена функция парсинга командной строки.

o Исправлена функция восстановления реестра для неактивной системы.
Добавлено удаление старых логов реестра, они могли препятствовать загрузке хайвов после оффлайн восстановления реестра.
Обновлен ABR до версии 1.10, в него внесены аналогичные с uVS изменения.
o Автозагрузка службы ABR теперь работает в отложенном режиме для устранение возможного сбоя загрузки пользовательского хайва реестра.
o Добавлен модуль defrag для дефрагментации и устранения ошибок в сохраненной копии реестра.

o В окно информации о задаче добавлены даты создания и последнего запуска.

o Теперь в лог добавляется предупреждение о слишком длинных строках в реестре (более 2к символов).

o Исправлена ошибка в функции внесения данных из reg-файла в реестр неактивной системы.

o Добавлена поддержка кэша задач версий 1(Win8 и 8.1) и 2(некоторые серверные версии). (ранее поддерживалась только 3-я версия Win10/Win11).

o Исправлена ошибка которая могла привести к переполнению буфера.

---------------------------------------------------------
4.12.2
---------------------------------------------------------
o Теперь автоматически восстанавливаются пользовательские каталоги, необходимые для загрузки пользователя при их отсутствии.

o Теперь программы использующие ключи для автозапуска в безопасном режиме получают статус "подозрительный".

o В случае если парсинг кэша задачи не удался то в информации о такой задаче добавляется поле #BINOBJ#,
содержащее в себе параметр Actions в шестнадцатеричном формате.

---------------------------------------------------------
4.12.1
---------------------------------------------------------
o Улучшена функция парсинга командной строки.

o Исправлена ошибка в парсере файла hosts, ошибка позволяла некоторым зловредам скрывать записи в hosts.

o Исправлены критические ошибки в утилитах:
o uvs_snd.exe
o cmpimg.exe