FixRun (FixSecurity) - защита от шифровальщиков 3.0.0

[Кирилл]

Опа.
Новые данные.
По адресу
C:\Program Files\FixSecurity\FixRun.exe
все отлично работает.
Как оказалось, ярлык в меню пуск ссылается не туда.
C:\Windows\Installer\{E3EBC3AA-E016-4FCA-A079-DD0DFB04BA80}
Каким образом это случилось - неизвестно.
Поменял вручную и все нормально...

 

[Vitokhv]

Спасибо. Исправлю в новой версии.
В планах поменять установщик Advanced Installer на более легкий.

 

[Guest]

А если эту штуку суда прикрутить?
Защита основной загрузочной записи (MBR)

 

[Vitokhv]

Guest,
Не хватает, отключения данной функции.
Если получится изучить код, добавлю.

 

[Dragokas]

Guest, и ещё добавить какой-нибудь антивирус в комплект, так на всякий случай.

 

[Dragokas]

Прежде чем добавлять подобное в эту утилиту, я бы советовал перечитать ветку Issue на GitHub и посмотреть на существующие проблемы с этим драйвером, и тот факт что MBRFilter не имеет официальной поддержки Cisco, и ещё то, что многие антивирусы сейчас тоже добавляют в свои продукты защиту MBR, при этом никто не проводил комплексного тестирования, имеются ли конфликты между этими продуктами.

Также, напомню что драйвер противоречит описанию утилиты FixRun, о том, что она работает без процессов.

 

[Vitokhv]

Если есть риск, что система не запустится, такой функции не будет.
Добавление новых функций не означает, что они станут частью приложения.
Можно проверять наличие исходных файлов, и только потом делать функцию активной.

 

[mike 1]

Guest,
Не хватает, отключения данной функции.
Если получится изучить код, добавлю.

Я считаю, что данная функция не нужна. Защищать MBR должен уметь антивирус.

 

[mike 1]

Предлагаю добавить отключение DDE в утилиту.

Компания Microsoft приняла решение отключить DDE в Word - «Хакер»

 

[Vitokhv]

Office 2010 (по умолчанию, флажок не установлен)

Спойлер

 

[mike 1]

Office 2013, Windows 10, установлены декабрьские обновления, которые по хорошему должны были прикрыть дыру, но на самом деле похоже нет

Спойлер: раскрыть

В помощь Игнорировать DDE-запросы от других приложений (правда не проверял политики)

 

[Vitokhv]

После установки галки на игнорирование DDE, почти все документы не станут открываться, стоит ли оно того?

 

[Hunter]

Прежде чем добавлять подобное в эту утилиту, я бы советовал перечитать ветку Issue на GitHub и посмотреть на существующие проблемы с этим драйвером, и тот факт что MBRFilter не имеет официальной поддержки Cisco, и ещё то, что многие антивирусы сейчас тоже добавляют в свои продукты защиту MBR, при этом никто не проводил комплексного тестирования, имеются ли конфликты между этими продуктами.

Также, напомню что драйвер противоречит описанию утилиты FixRun, о том, что она работает без процессов.

Вот ESET компания добавила защиту UEFI даже блокирует MBR -неизвестные вирусы. Таков его технология поколения =)

 

[akok]

Вот ESET компания добавила защиту UEFI даже блокирует MBR -неизвестные вирусы.

Не путайте теплое с мягким, ESET производит комбайн имеющий множество векторов защиты, а мы обсуждаем специализированный под одну задачу софт который может (и должен) работать с сторонним антивирусным ПО... а значит основная заповедь "Не конфликтуй".

 

[mike 1]

После установки галки на игнорирование DDE, почти все документы не станут открываться, стоит ли оно того?

Тогда пожалуй нет, интересно конечно получается.

Вот ESET компания добавила защиту UEFI даже блокирует MBR -неизвестные вирусы. Таков его технология поколения =)

От этого должен уметь защищать антивирус.

 

[Dragokas]

После установки галки на игнорирование DDE, почти все документы не станут открываться, стоит ли оно того?

Уверены? Я просто не слышал, чтобы связь DDE использовалась большой массой документов.
Это нужно самому попробовать. Это довольно старая технология для обмена данными. Нужно перепроверить. Возможно, после отключения, перестанет работать связка, когда происходит обмен, например, между Excel <-> Word. Просто вы так категорично сказали, что я удивился, поэтому может, вы намного больше знаете?

В любом случае, отключение какого-то функционала как всегда не на пользу юзера, и придётся везде объяснять, к чему может привести та или иная галочка.

 

[Vitokhv]

Еще раз к началу. Все, что может приложение, это управлять реестром. Можно использовать короткие CMD команды.
Приложению не нужно пытаться защитить от всего, главная задача защитить от первого запуска подозрительного файла.

В идеале, каким я хочу видеть приложение, это при открытии файлов выводить меню в котором есть функционал:
- отправить файл на анализ в VirusTotal или на определенный ресурс (чтобы это было удобно при запуске, без выбора файла вручную)
- открыть чат поддержки, куда можно перенести файл и дождаться ответа (стоит ли его открывать)
- таймер на открытие таких файлов, или вовсе запрет для удобства администратора (чтобы пользователь не спешил его открывать, и провел проверку файла)
- главное, чтобы это касалось только скачанных и заблокированных файлов (чтобы не мешало установленным программам)

Что-то вроде второго UAC только с возможностью управления запускаемым файлом.
Да, это неудобно, сначала нажимать "Да", затем спустя несколько секунд "Продолжить", но это лучше чем лишиться файлов.

p.s. для этого нужны более глубокие знания и более сложный код (но я считаю, что это все возможно)

 

[regist]

По отправке на вирустотал если что можно использовать связку с другой программой и передавать файл через ключи запуска. Например, для этой цели можно использовать
Aitotal.

 

[mike 1]

Спамеры используют файлы IQY для обхода почтовых фильтров - «Хакер»

 

[Dmitriy_D]

День добрый, странность.
Достался компьютер после кучи вирусов (вылеченых) несколько раз зашифрованный, был установлен фиксран 1.0.0 версии, после удаления программы и перезагрузки удаление ехе и бат файлов продолжаются, что то можно сделать?