Universal Virus Sniffer (uVS)

Обзор Universal Virus Sniffer (uVS) 4.99.1

regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Новый релиз

---------------------------------------------------------
4.14
---------------------------------------------------------
o Исправлена критическая ошибка при разборе параметров в файлах задач.
Из-за ошибки uVS мог аварийно завершится без создания дампа.

o Каталог по умолчанию теперь каталог Windows.
(Для окон выбора каталога).

Узнать больше об этом обновлении...
 
Уже есть версия 4.15.
---------------------------------------------------------
4.15
---------------------------------------------------------
o Исправлена ошибка в функции виртуализации реестра, которая потенциально могла привести к порче кустов реестра.

o Функция быстрой виртуализации удалена.
Скриптовые команды sreg и vreg теперь синонимы.

o Для совместимости со старшими версиями Windows обновлена функция замены/восстановления реестра,
теперь создается специальный каталог "uvs_regback" в корне системного диска,
все операции необходимые для бэкапа и замены кустов реестра производятся только в нем.

o Исправлена ошибка из-за которой при восстановлении реестра из каталога с бэкапом удалялись сохраненные файлы:
security, drivers, components. Идентичная ошибка есть и в ABR v1.10.

o Исправлена ошибка из-за которой не все каталоги с бэкапом реестра отображались в окне выбора.

o Новый параметр в settings.ini
[Settings]
; Размер основного шрифта
FontHeight (по умолчанию 10)

o Новый параметр в settings.ini
[Settings]
; Название основного шрифта
FontName (по умолчанию Tahoma)
 
Последнее редактирование:
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Обновление

---------------------------------------------------------
4.15.1
---------------------------------------------------------
o При запуске с диска uVS v4.15+ требуется наличие поддержки HTA.
Рекомендуется интрегрировать и WMI.
Рекомендуемый размер шрифта 8.

o Добавлен новый раздел "Defender: Исключения".
В раздел вошли ислючений Windows Defender-а. (пути, файлы, расширения, процессы).
(!) Удаление исключений возможно лишь при виртуализации реестра.

o Сохранение реестра в...

Узнать больше об этом обновлении...
 
2024-01-22_10-15-01.png
Запустил файл ubmrcp и он оказался младшей версией uvs и нашёл в новом start вирус. Что это вообще? Название Хрен я дал :)
 
Последнее редактирование:
Не сработала проверка исполняемого файла, как теория, старый файл не имеет информации о более свежем.
 
Это полиморф uVS, он работает отдельно.. Не знал.
 

Вложения

  • 2024-01-23_08-52-37.webp
    2024-01-23_08-52-37.webp
    52.5 KB · Просмотры: 50
  • 2024-01-23_08-52-17.webp
    2024-01-23_08-52-17.webp
    57.6 KB · Просмотры: 49
Последнее редактирование:
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Обновление

---------------------------------------------------------
4.15.2
---------------------------------------------------------
o Исправлена ошибка при работе с образом автозапуска.
Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".

o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
(при работе с удаленной системой)

Узнать больше об этом обновлении...
 
---------------------------------------------------------
4.15.4
---------------------------------------------------------
Обновлен интерфейс.

Из Ф портировано окно "История запуска процессов" для комфортного распутывания цепочек запуска и взаимодействия
процессов с задачами.
Доступ к окну можно получить через меню "Дополнительно->История процессов и задач".
В первом списке отображается история запуска процессов с момента старта системы (по данным журнала Windows).
В списке доступен фильтрующий поиск по имени, PID и фильтрация по родительскому процессу (см. контекстное меню).
В нижнем списке отображается история воздействия процессов на задачи с момента запуска системы, а если установлен
фильтр родительского процесса то отображаются лишь те задачи с которым взаимодействовал родительский процесс.
(!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
(!) История не доступна для неактивных систем.

Обновлен формат образа автозапуска, образы созданные v4.15.4 не будут читаться старыми версиями uVS.
Добавлено:
Мгновенный срез активности процессов на момент завершения создания образа (Запустить->Просмотр активности процессов [Alt+D])
История процессов и задач (Дополнительно->История процессов и задач)
(!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
Защита образа от повреждений.

Утилита cmpimg обновлена до версии 1.04 для поддержки нового формата образов автозапуска.

Утилита uvs_snd обновлена до версии 1.05 для поддержки нового формата образов автозапуска.

Теперь при подключении к удаленной системе всегда запускается "v" версия uVS, если клиентская система не младше Vista.
На удаленной системе всегда запускается обычная версия uVS для совместимости с системами младше Vista.

Исправлена ошибка отображения имени процесса при работе под Win2k в окне "Активность процессов".
(!) Английская версия uVS НЕ_совместима с Win2k, с Win2k работает только русская версия.

Исправлена ошибка разбора состояния TCPIPv6 соединений.
 
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Обновление

---------------------------------------------------------
4.15.4
---------------------------------------------------------
o Обновлен интерфейс.

o Из Ф портировано окно "История запуска процессов" для комфортного распутывания цепочек запуска и взаимодействия
процессов с задачами.
Доступ к окну можно получить через меню "Дополнительно->История процессов и задач".
В первом списке отображается история запуска процессов с момента старта системы (по данным журнала Windows).
В...

Узнать больше об этом обновлении...
 
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Обновление

---------------------------------------------------------
4.15.5
---------------------------------------------------------
o Обновлена функция трансляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA.
Значения этих переменных теперь зависят от того где физически находится lnk файл.
Теперь с разбором lnk файлов будет меньше проблем, но я все же рекомендую удалять ссылки
на отсутствующие объекты только под текущем пользователем.

o Исправлена функция разбора...

Узнать больше об этом обновлении...
 
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Обновление

---------------------------------------------------------
4.15.6
---------------------------------------------------------
o Исправлена ошибка из-за которой автоматически не замораживались потоки внедренные в uVS,
если их код НЕ принадлежал одной из загруженных DLL.

o Добавлена поддержка английского интерфейса при запуске под Win2k.

---------------------------------------------------------

Узнать больше об этом обновлении...
 
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

Исправлена старая ошибка проверки ЭЦП

---------------------------------------------------------
4.15.7
---------------------------------------------------------
o Исправлена старая ошибка проверки ЭЦП: "Not a cryptographic message or the cryptographic message is not formatted correctly"
проявляющаяся в некоторых системах.

o Обновлена база известных файлов.

Узнать больше об этом обновлении...
 
---------------------------------------------------------
uVS v4.99.0
---------------------------------------------------------
o uVS стал полностью 64-х битным, версии 4.99.x поэтапно будут предоставлять ранний доступ к функционалу v5.0.
Общедоступный релиз v5.0 состоится после того как весь запланированный функционал будет реализован.

o uVS разделен на 4 версии: uVS x86, uVS x86v, uVS x64, uVS x64v.
v-версии для систем начиная с Vista и обычные версии для остальных, версия выбирается автоматически стартером (start.exe).
Добавлен start_x64.exe для запуска uVS x64(v) в WinPE x64 и 64-х битном режиме командной строки (доступен начиная с Win8),
старый start.exe запускает x64 версию в 64-х битных системах и x86 версию в 32-х битных.
"v" версии теперь работают быстрее на 15%, а обычная версия сравнялась по скорости с v4.15.7v.
Образы автозапуска совместимы с версиями любой разрядности начиная с uVS v4.15.4.
(!) Только "v" версии поддерживают работу с теневыми копиями.

o Добавлена поддержка восстановления реестра из теневых копий.
В окно выбора каталога выбора доступных копий реестра была добавлена кнопка "Извлечь полные копии реестра из Тени".
Функция доступна для активных, неактивных и удаленных систем начиная с Vista.
При успешном выполнении функции в каталоге \Windows\ABR будут созданы полные (включая пользовательский реестр),
автономные (есть утилиты restore и defrag) копии реестра.
Наименования каталогов с копиями: "yyy-mm-dd_hh-mm_shadowcopy".
Даблклик по каталогу сохранения откроет его в эксплорере.
Перед использованием выбранной копии реестра рекомендуется запустить defrag из каталога сохранения и убедиться, что копия реестра исправна.
(!) Только утилита defrag исправляет копию реестра, даже если реестр грузится или был успешно восстановлен системой при загрузке еще не означает,
(!) что копия не содержит ошибок.

o Добавлен режим восстановления реестра для неактивных систем.
Если uVS не смог загрузить реестр неактивной системы то автоматически открывается окно восстановления реестра из каталога,
в котором можно выбрать копию реестра по дате или найти подходящую копию в Тени. (если имеются доступные теневые копии системного тома).

o Добавлен вывод ошибок в лог при невозможности загрузить пользовательский реестр.

o Запуск uVS с командной строки без загрузки с диска для работы с неактивной системой.
1. Если у вас Windows 8 и старше, то запустите start.exe и нажмите кнопку "Перезагрузить систему в меню дополнительных параметров загрузки".
2. Далее в меню "Поиск и устранение неисправностей->Дополнительные параметры->Командная строка"
3. Выберите админскую учетную запись и введите для нее пароль.
4. Запустите start.exe/start_x64.exe из каталога uVS.
(!) Обычно система расположена на диске C или D.
Например: uVS лежит в каталоге С:\uvs (в командной строке это будет D:\uvs)
Для запуска uVS необходимо последовательно набрать 3 команды, завершая каждую нажатием клавиши Enter.
1. d:
2. cd d:\uvs
3. start_x64.exe
5. Выберите каталог Windows (обычно D:\Windows и он автоматически выбран).
Если у вас Windows 7 и младше, то в меню вы можете попасть только зажав F8 при перезагрузке системы.
(!) Использовать msconfig для этого не рекомендуется, система может не загрузиться после его использования.
Для младших систем доступен только безопасный режим с поддержкой командной строки, т.е. система будет активна.

o Восстановлена поддержка запуска uVS с командной строки под Windows 8/8.1.

o Обновлена функция создания загрузочного диска.
Теперь вы можете создавать образы на базе WinPE x64, в том числе с помощью ADK последней версии для Windows 11.
(!) Создание x86 ISO возможно лишь при наличии ADK+PE 2004 и младше, в более новых версиях ADK+PE поддержки x86 нет.
Доступно редактирования автозапуска, по умолчанию выбран запуск uVS и FAR выбранной разрядности.
Действуют следующие ограничения:
Одна строка = одно приложение.
Допустимая длина строки: 250 символов.
Допустимый размер текста: 4096 символов.
Программы в автозапуске запускаются последовательно.
После завершения последнего приложения в списке WinPE автоматически уйдет в перезагрузку.
Чтобы указать параметры командной строки приложения, добавьте запятую (,) после имени приложения:
Например: %SYSTEMDRIVE%\FAR64\far.exe, C: D:
(!) Под WinPE x64 доступен запуск лишь 64-х битных приложений, 32-х битные приложения запускаться не будут.
Пакеты HTA и Scripting теперь интегрируются в образ автоматически, поскольку это необходимо для запуска uVS.
Добавлена возможность интегрировать пакет FMAPI.
Про пакеты и их назначение вы можете почитать здесь:
WinPE: добавление пакетов (ссылка на необязательные компоненты)
Про доступные версии ADK здесь:
Скачивание и установка Windows ADK

o Добавлен твик #44, который включает периодический системный бэкап реестра в каталог \Windows\System32\config\RegBack
Начиная с Windows 10 1803 периодический бэкап отключен по умолчанию.

o Во время выполнения команд интерфейс больше не подвисает: окно можно сворачивать, менять размер и т.д.

o Системные процессы без расширения добавлены в список процессов.

o Обновлен эмулятор редиректора реестра, теперь учитывается версия системы и выбирается тип ключа реестра соответствующий версии системы (shared, redirected...).
Трансляция путей к 32-битным файлам для shared ключей не производится, кроме одного ключа, где это имеет смысл.
Т.е. при работе с активной x64 системой uVS теперь работает с ее реестром точно так же как и с неактивной системой, в реестре которой физически нет отображения
"shared" ключей в ветку WOW6432Node.
Для "redirected" ключей изменений нет, отображаются ссылки и на x64 и на x86 файлы.

o Новые горячие клавиши:
Ctrl+Shift+* - Инвертировать фильтр (действует только на кнопки скрытия из списка)
Сбрасывается при смене категории.
Alt+Shift+I - Пометить процесс окна на переднем плане как подозрительный (если текущий рабочий стол "Default")
Дополнительно переключает рабочий стоил c "Default" на рабочий стол uVS (если uVS запущен на чистом рабочем столе - start.exe /d) и обратно.

o Запуск на чистом рабочем столе теперь совместим с UAC. (start.exe /d)
Запуск под LocalSystem на чистом рабочем столе теперь доступен только для систем младше Vista.

o Удалена горячая клавиша Alt+Shift+A при запуске с чистым рабочим столом.

o Изменен способ одновременного закрытия клиентской и серверной копии uVS из окна управления удаленным рабочим столом.
Клик правой кнопкой мыши по дополнительной кнопке закрытия окна (кнопка с крестиком внутри окна) ВСЕГДА закрывает обе копии.
ЕСЛИ установлен флаг bReUseRemote в settings.ini то обычный клик левой кнопкой закрывает только клиентскую копию uVS.
ЕСЛИ НЕ установлен флаг bReUseRemote (значение по умолчанию) то закрываются обе копии.

o Список горячих клавиш вынесен в отдельный файл "Горячие клавиши.txt"

o Добавлено несколько новых ключей автозапуска.

o Добавлена текстовая расшифровка кодов завершения задачи.

o Файлы начинающиеся на "." или имеющие пробелы перед расширением теперь автоматически помечаются как подозрительные.

o Подозрительные файлы с формулировкой "Имя файла типичное для вирусов или содержит Non-ASCII символы" не теряют статус подозрительного при успешной
автоматической_ проверке по базе проверенных файлов (включая массовую проверку по F4).
Убрать статус можно лишь ручной проверкой файла.

o Функция повторного сканирования файла на VT по хэшу теперь автоматически открывает отчет о сканировании в браузере.

o Обновлен эмулятор системного редиректора.

o Обновлена функция сверки: теперь защищенные файлы считаются подозрительными.

o Обновлена функция получения списка расширений под новые версии Firefox.

o Добавлена поддержка переменной окружения PROCESSOR_ARCHITECTURE.

o Добавлена функция эмуляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA, PROCESSOR_ARCHITECTURE, PROGRAMW6432, COMMONPROGRAM6432.
при работе с неактивными системами.
Пользовательские переменные указывают на каталоги профиля последнего пользователя неактивной системы.

o Функция "Поиск объектов отсутствующих в списке PEB_LDR_DATA активных процессов" удалена.

o Из контекстного меню удален runscanner.net

o В контекстное меню добавлен поиск по имени объекта на Яндекс и Google.

o Улучшена функция построения списка загруженных DLL.

o Обновлены функции вывода содержимого консоли приложения в лог.

o Исправлена ошибка из-за которой для некоторых файлов не отображались ссылки на них.

o Исправлена функция разбора кэша задач.

o Исправлена функция антисплайсинга.

o Теперь при переходе в категорию "Файлы без проверенной подписи" автоматическая проверка эцп не производится.

o Исправлена дата при вводе новой вирусной сигнатуры.

o Исправлена блокировка некоторых клавиш при свернутом окне удаленного рабочего стола.

o Исправлена критическая ошибка в функции извлечения сигнатуры из файла при прямом доступе к диску.

o В окне информации исправлена ошибка отображения параметров файлового потока.

o Исправлена ошибка проверки ЭЦП для файлов из последних обновлений Windows 7 x64,
где для внешней подписи разных системных файлов может быть использован как SHA1, так и SHA256.

o Обновлены базы известных файлов.

o Исправлены мелкие ошибки.
 
regist обновил(а) ресурс Universal Virus Sniffer (uVS) новой записью:

uVS стал полностью 64-х битным

---------------------------------------------------------
4.99.0
---------------------------------------------------------
o uVS стал полностью 64-х битным, версии 4.99.x поэтапно будут предоставлять ранний доступ к функционалу v5.0.
Общедоступный релиз v5.0 состоится после того как весь запланированный функционал будет реализован.

o uVS разделен на 4 версии: uVS x86, uVS x86v, uVS x64, uVS x64v.
v-версии для систем начиная с Vista и обычные версии для остальных, версия выбирается...

Узнать больше об этом обновлении...
 
Как в логе UVs делать поиск по всему списку?
 
Назад
Сверху Снизу