» AVZ - Anti-SpyWare, Anti-AdWare

Victor_VG
Так почему я не могу запустить AVZ через Win PE, просто для сканирования имеющихся на проверяемой машине дисков?

Цитата:

а проверяемую систему при этом восстанавливаем или руками или через её же Recovery Console

Почему же только... В какой-то сборке (от NIKZZZZ), после удаления вирусов, запустил AVZ, восстановил параметры проводника и др., перезагрузился в установленную ОС и готово: .exe запускаются, скрытые файлы видны...
Это благодаря тому, что в некоторых сборках, где есть утилита RunScanner, проинсталлирован он в сборке с самого начала (и грамотно), - в контекстном меню исполняемых файлов есть пункт "запустить с удалённым реестром". Работает не для всех программ, или не полностью - например, AVZ отображал данные по автозагрузке и сервисам с реестра установленной ОС при несовпадении между двумя реестрами, а при совпадении выводил данные только с реестра сборки (а, скажем, в сборке от 7sh3, утилиты по автозапуску полностью "прилеплены" к установленному реестру (и без указания "запустить с удалённым реестром"), но AVZ там нет, к сожалению.). В общем, в этой сборке функции восстановления системы реально работают.
Почему не сканирует - не знаю. Я запускал его в рамках каждой сборки Live CD, и если программы не было там, - то с винчестера. И никогда проблем не было.

Victor_VG
Слушай, может хватит в заблуждение человека вводить? Второй твой ответ подряд - ни о чем. Информация или вообще ненужная или неправдивая

Erekle

Цитата:

Почему не сканирует - не знаю. Я запускал его в рамках каждой сборки Live CD, и если программы не было там, - то с винчестера. И никогда проблем не было.

И мне это показалось очень странным, т.к. ERD тоже не видит установленной ОС следовательно, возможно это какой-то неизвестный вирус или шпионская программа, которая не позволяет сканировать диски даже если система загружена с Win PE, но как она может так работать вот вопрос ?!!!!

PS
Написал письмо автору, будем ждать, может что и проясниться.

Aleks0307
Может попробуй с разных LiveCD? Помнится мне, на каком-то реаниматоре ERD Commander тоже отказывался подхватывать реестр установленной винды

З.Ы. Сам диск из под LiveCD нормально виден?
Диск без ошибок? chkdsk c: (или какая у тебя там буква /f /r /x делал?

LeaF_AVF

Цитата:

Сам диск из под LiveCD нормально виден?
Диск без ошибок? chkdsk c: (или какая у тебя там буква /f /r /x делал?

Диски видит нормально C;D и F вся инфа цела, chkdsk ошибок не находит.

Aleks0307
Во-первых, запускали один и тот же вариант AVZ? Если в LiveCD интернет есть, скачайте заново.
Во-вторых - если какой-нибудь хитрый вирус с автозагрузкой (но непонятно, при чём тот при загрузке с параллельной системы): скачайте эту сборку WinPE, в ней есть Autoruns и HijackThis, само собой нацеленные на реестр установленной системы (в Autoruns прокручивать колесиком не стоит, - вылетает).
_________________________

(ах, если бы Олег приделал маленький инструмент с всего лишь одной строкой в меню (чтобы не игрались с нею, можно и припрятать ) для пойска и загрузки удаленного реестра, специально для LiveCD...)

Aleks0307

Цитата:

"RichEdit Line insertion error"

Похоже, в AVZ для отображения результатов используется компонент RichEdit.
В используемой вами сборке PE не хватает необходимой библиотеки. AVZ вызывает функцию из этой либы, а ее тупо нет. Я так(!) дюмаю.
Слово mini в названии сборки уже наводит на мысль. Я с таким тоже сталкивался.

Добавлено:
Erekle


Цитата:

(ах, если бы Олег приделал маленький инструмент с всего лишь одной строкой в меню (чтобы не игрались с нею, можно и припрятать ) для пойска и загрузки удаленного реестра, специально для LiveCD...)

плюсадин


Добавлено:
Erekle
Кстати, AVZ можно о не переделывать. Я могу ошибаться, но достаточно поставить перехваты на функции работы с реестром. Изврат, конечно - перехватывать собственную программу.

ofchar
Вполне возможно, спасибо.

NOD32 ругается, что AVZ, скачанный по ссылке из шапки, создаёт в папке для временных файлов вот что:

avz_892_raw.tmp =    Win32/Conficker.A червь
NT AUTHORITY\SYSTEM    Событие произошло в новом файле, созданном следующим приложением: D:\Рабочий стол\avz4\avz.exe.

avz_2944_2.tmp =    вероятно модифицированный Win32/Agent троянская программа        
NT AUTHORITY\SYSTEM    Событие произошло в новом файле, созданном следующим приложением: D:\Рабочий стол\avz4\avz.exe.

Andrey Petrov Выкиньте нод и юзайте каспера

Andrey Petrov
Цитата:

NOD32 ругается, что AVZ, скачанный по ссылке из шапки, создаёт в папке для временных файлов вот что...

Если вы скачали действительно оригинальный AVZ и запустили его полностью установив его драйвер AVZPM, то вероятно что у вас руткит который в обычном виде скрывается от Нода, а AVZ проверяя файл заразы "открыл глаза" Ноду благодаря своему драйверу и тот его увидел..., либо еще вариант - что когда этот файл попал на комп у Нода не было соотвествующей сигнатуры и он не видел его, а сейчас она у него имеется и файл "тронутый" AVZ был проверен и Нодом..., вы давно делали проверку компа сканером Нода (или другого AV)?
Возможны и другие варинты, в любом случае сначала надо найти и убедиться что подозрительный файл не фолс и проверить комп другим AV.

vv07
Это вы зря..., особенно учитывая его ощущения при работе за компом после перехода на каспера , считаете что подобная ситуация:
а) возможна только с Нодом
б) не возможна с Каспером
?

Andrey Petrov, у меня NOD32 3.0.672.0 с самыми свежими базами и с установкой в меню "методов" определения "всех позиций" идентификации вредоносного кода и всё чисто! AVZ качал с офсайта.

vv07

Цитата:

Andrey Petrov Выкиньте нод и юзайте каспера

Как всё у Вас легко решается... Выкиньте то - юзайте это!

Trumpeter Применительно к ноду,именно такое решение оптимально

Цитата:

б) не возможна с Каспером

Совершенно верно,невозможно.

vv07

Цитата:

Выкиньте нод и юзайте каспера

Ну как всегда, выкинуть это - поставить то, а завтра если что, выкинуть то - поставить следуещее. Все это не серьезно!

Вчера тоже сканировал AVZ и NOD выдал следуещее...
18.12.2008 21:01:33    Защита файловой системы в режиме реального времени    файл    C:\TEMP\avz_3460_raw.tmp    вероятно модифицированный Win32/TrojanDownloader.Agent троянская программа    очищен удалением - изолирован    NT AUTHORITY\SYSTEM    Событие произошло в новом файле, созданном следующим приложением: I:\Диск G\Рабочий стол\Полезный софт\Антивирусы\AVZ 4.30\avz.exe.

Меня интересует, этот файл из карантина восстановить или как?

niels, только что еще раз пересканировал NODом и установочную директорию и сам дистибутивчик, скачанный с офсайта - всё чисто (в "методах" подключено идентифицировать всё).

Trumpeter, у меня тоже папка AVZ чистая.
Я имел ввиду, что когда вчера я сканировал AVZ диск "С" - NOD32 изолировал два файла:

18.12.2008 21:01:33    Защита файловой системы в режиме реального времени    файл    C:\System Volume Information\_restore{FBD2DDC1-1F13-4668-900F-0CB3E6F5054C}\RP265\A0132239.dll    вероятно модифицированный Win32/TrojanDownloader.Agent троянская программа    очищен удалением - изолирован    NT AUTHORITY\SYSTEM    Событие произошло при попытке доступа к файлу следующим приложением: I:\Диск G\Рабочий стол\Полезный софт\Антивирусы\AVZ 4.30\avz.exe.
и

18.12.2008 21:01:33    Защита файловой системы в режиме реального времени    файл    C:\TEMP\avz_3460_raw.tmp    вероятно модифицированный Win32/TrojanDownloader.Agent троянская программа    очищен удалением - изолирован    NT AUTHORITY\SYSTEM    Событие произошло в новом файле, созданном следующим приложением: I:\Диск G\Рабочий стол\Полезный софт\Антивирусы\AVZ 4.30\avz.exe.

niels, теперь понятно!

Насчет вот этого:

Цитата:

18.12.2008 21:01:33 Защита файловой системы в режиме реального времени файл C:\System Volume Information\_restore{FBD2DDC1-1F13-4668-900F-0CB3E6F5054C}\RP265\A0132239.dll

Цитата:

18.12.2008 21:01:33 Защита файловой системы в режиме реального времени файл C:\TEMP\avz_3460_raw.tmp

По первому вопросов вызывать не должно - это обнаруженный вирус. А вот по поводу второго - то, я так понимаю, что это реакция NODа типа на вирусную активность, только вот почему? Видно, что обращение avz к какому-то объекту NOD понимает, как вирус, т.к. "Событие произошло в новом файле, созданном следующим приложением: I:\Диск G\Рабочий стол\Полезный софт\Антивирусы\AVZ 4.30\avz.exe"

Цитата:

Меня интересует, этот файл из карантина восстановить или как?

А зачем его восстанавливать? Это ведь темповик (avz_3460_raw.tmp).
Можно его восстановить и в качестве эксперимента проверить другими антивирусами (типа сервисом Virustotal). Хотя ИМХО прогнать весь копм тем же NODом не помешает!

vv07
Цитата:

Совершенно верно,невозможно

А можно узнать на чем основывается ваша уверенность? Пока что складывается впечатление что вы на каспера молитесь

DJ makrus Вы угадали,молюсь и буду молиться.Спасибо ему родимому,не раз выручал.А вот нодик,пару раз так подвел под монастырь,что я его близко к компу,больше не подпущу.

Качал с оффсайта. Нод молчит. Базы последние движок тоже.
ЗЫ. Каспер... Да ну его к чертям как был тормозным и убогим так и остался.

vv07, давайте не будем - кто и что у кого пропускал. Выбор антивируса дело всегда сугубо личное. Кто знает с какими настройками и с какими базами Вы использовали у себя НОД, что он Вас когда-то там подвел.

Поверьте тут найдется несколько десятков людей, использующих годами НОД и уверенных в его системе безопасности и при том которые Вам скажут совершенно противоположное и не на пользу Касперского.

Так что все эти разговоры относительны и субъективны!

Trumpeter Вы правы!

Цитата:

DJ makrus Вы угадали,молюсь и буду молиться.Спасибо ему родимому,не раз выручал.А вот нодик,пару раз так подвел под монастырь,что я его близко к компу,больше не подпущу.

+1, разрекламировали его хорошо, но уже не один раз убедился что NOD довольно посредственный антивирус.

Shpindler

Цитата:

+1, разрекламировали его хорошо, но уже не один раз убедился что NOD довольно посредственный антивирус.

Да ладно... Каждому - своё!

В конце концов в этом топике AVZ обсуждают, а не противостояние двух юзерских команд от ESET и от Касперского.

vv07

Ну, это из серии - "Возьми с полки пирожок, там два. Возьми Касперского". Причём здесь он? Когда AVZ поднимает из System Volum Information заразу, то на неё срабатывают и Symantec, и McAfee и ClamAV. Лично я в этом убеждался не раз. Обычно после этого долго ругаясь чистишь логи. По моему это говорит о правильности срабатывания AVZ, а не о том какая "мухобойка круче". Круче гор могут быть только горы. И моё мнение, этот спор бессмысленный, и пора его отправить по назначению - в /dev>nul. Надеюсь все со мной согласятся и флейм прекратят.

Victor_VG
Я уже прекратил,а вот остальные,вцепились в меня как репеи

Shpindler
Не знаю заметили ли вы что вопрос был поднят не совсем о том какой AV лучше: Нод или Касперский
vv07 выразил уверенность что ситуация описанная Andrey Petrov'ым в принципе не возможна если в системе стоит Касперский, т.е., даже если допустить что эта истории о пропуске вируса, то это означает что Касперский дает 100%-ую защиту компа!
С vv07 все понятно, у него есть "бог" он в него верит и молится, с такими верующими бесполезно искать истину в споре..., вы так же даете ему +1 в данном случае?

vv07
Не провоцируйте и репьев не будите собирать

Цитата:

А вот по поводу второго - то, я так понимаю, что это реакция NODа типа на вирусную активность, только вот почему? Видно, что обращение avz к какому-то объекту NOD понимает, как вирус,

Не беспокойтесь о темп-файлах. AVZ распаковывает запакованные файлы в виде временных файлов в Темпе, а антивирусы, следящие за созданием новых файлов, начинают кричать, если в них присутствует вирус.
Дело будет плохо, только если AVZ не признает вируса там, где найдёт его антивирус.

Инфы маловато, но осмелюсь предположить, что AVZ распаковывает злодея, помещая результат в некий временный файл. В уже распакованом коде NOD радостно обнаруживает знакомые байты. То, что он не мог распаковать сам, кое об чем должно свидетельствовать.
ИМХО все это, конечно.

Добавлено:

Цитата:

Дело будет плохо, только если AVZ не признает вируса там, где найдёт его антивирус.

Всегда думал, что базы AVZ менее полные, чем в KAV. Да и не обязан AVZ всех вирей распознавать, дублируя антивирусы. Есть версия AVZ, которая неплохо с этим справляется, только она платная и называется KIS 8.
Если бы у бабушки......., она была бы дедушкой.