Уязвимости - Защита от Winlock

xoxmodav · Отправлено: **09:46, 13-09-2012** | #11

WindowsNT, в который раз в голову приходит предложить вам написать подробную, но доступную рядовому пользователю, статью о SRP и создать шаблоны для её упрощённого применения. А также создать отдельную тему, в которой вести диалог по улучшению предлагаемых шаблонов.

yurfed · Отправлено: **10:05, 13-09-2012** | #12

xoxmodav, WindowsNT, на сколько я понял, все шаблоны и камни в мой огород.

Цитата xoxmodav:

но доступную рядовому пользователю, статью о SRP и создать шаблоны »

А теперь представьте что вы приходите к пятикласнице со своим шаблоном и пока не вставите ей этот шаблон, для неё это будет тёмным лесом, пусть и для "людей" сделано.

Цитата WindowsNT:

По-прежнему считаю необходимым отметить, указанная программа мерой предотвращения заражения НЕ является. Она лишь констатирует уже произошедшую компрометацию. »

Она даёт вам выбор - менять запись в реестре или нет.

PS
Например, идёт запись в реетр. Делайте всё, что угодно. Программа не лечит, она калечит, если мозгов нет.

WindowsNT · Отправлено: **15:04, 13-09-2012** | #13

1. Статья-то уже есть, давал жеж. Таки, уже испробовали, нашли слабые места с точки зрения usability? Дадите свои рекомендации?

2. Если пятиклассница берётся исполнять роль системного администратора, то пусть её исполняет как должно быть. Если же не берётся, то пусть вызывает человека на периодическое обслуживание сложного программно-аппаратного комплекса под названием "компьютер". Чесслово, пора уже заканчивать с психологией советского человека, который проводил выходные в гараже, подкручивая гайки на "Жигулях". Уже давно и гайки не те, и жигули, всё стало гораздо сложнее. Поэтому тут вопрос, скорее, к вам — вы сами Whitelisting испытали? Поняли, как работает? Troubleshooting провести сможете? Рекомендации по безопасности и прочие FAQ подправили?

3. Запись в реестре не сама по себе появляется, это делает malicious software, которое _уже_ исполнилось в системе, факт компрометации _уже_ имеет место быть. Поэтому мерой предотвращения и не является .) "Лечение уже случившейся компрометации" — это раздел строчкой ниже.

xoxmodav · Отправлено: **08:26, 14-09-2012** | #14

Цитата WindowsNT:

1. Статья-то уже есть, давал жеж. Таки, уже испробовали, нашли слабые места с точки зрения usability? Дадите свои рекомендации? »

Не видел статью - можно пруф (странно, что нет ссылки на неё в вашей подписи)?

Цитата WindowsNT:

2. Если пятиклассница берётся исполнять роль системного администратора, то пусть её исполняет как должно быть. Если же не берётся, то пусть вызывает человека на периодическое обслуживание сложного программно-аппаратного комплекса под названием "компьютер". Чесслово, пора уже заканчивать с психологией советского человека, который проводил выходные в гараже, подкручивая гайки на "Жигулях". Уже давно и гайки не те, и жигули, всё стало гораздо сложнее. Поэтому тут вопрос, скорее, к вам — вы сами Whitelisting испытали? Поняли, как работает? Troubleshooting провести сможете? Рекомендации по безопасности и прочие FAQ подправили? »

Ну да, ну да - десятилетия огромные корпорации трудились над упрощением компьютера, а сейчас WindowsNT решил, что пора возвращаться к изначальному - в каменный век, когда умение работать с компьютером было сродни шаманству или как это понимать? Я работал с SRP и ничего особо сложного при работе с ними не заметил, но обращаясь к вам (раз уж вы такой мегаспец и в каждом втором своём посте упоминаете про SRP), я просил сделать их использование простым для рядового домашнего пользователя. И не надо приплетать сюда их профессиональные навыки, уровень грамотности и образования.

yurfed · Отправлено: **08:55, 14-09-2012** | #15

Цитата WindowsNT:

3. Запись в реестре не сама по себе появляется, это делает malicious software, которое _уже_ исполнилось в системе, факт компрометации _уже_ имеет место быть. Поэтому мерой предотвращения и не является .) "Лечение уже случившейся компрометации" — это раздел строчкой ниже. »

Вы по моему не видите или не хотите видеть, что идёт предложение отмены записи в реестр.
Последний скрин специально сделал для вас. Просто внёс в загрузку параметр и мгновенная реакция.

Цитата WindowsNT:

Чесслово, пора уже заканчивать с психологией советского человека »

Уже закончили, а вы ещё помните и не к месту зачем то вспоминаете.

Диман_Д · Отправлено: **15:33, 16-09-2012** | #16

Цитата Диман_Д:

Подхватил новую версию винлока. Он не модифицирует системный реестр - создает новый реестр! »

Разобрался...
Файл UserNT.DAT это файл реестра конкретного пользователя.
Для удаления этого Winlock просто исправьте Shell, в ветке HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon, а потом соответственно удалите и тело вируса.
Обсуждал со спецами это здесь :
http://forum.drweb.com/index.php?showtopic=310932&st=0

yurfed · Отправлено: **22:43, 16-09-2012** | #17

Цитата Диман_Д:

Для удаления этого Winlock просто сотрите ключ Shell, »

Не сотрите, а исправьте на правильные значения, иначе рискуете остаться без системы вообще
Кстати, эти два параметра показаны на скрине (не полностью видно) в сообщении N9

Диман_Д · Отправлено: **07:28, 17-09-2012** | #18

Цитата yurfed:

Не сотрите, а исправьте на правильные значения, иначе рискуете остаться без системы вообще »

как раз, сотрите... речь идет про ветвь реестра HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon. Посмотри у себя чистый реестр - нету там Shell.
А данный Winlock прописывается именно в эту ветвь. Проэксперементируй , файл скачал?

Цитата iskander-k:

Последний раз редактировалось iskander-k, Вчера в 23:54. Причина: вредный совет

Уважаемый товарищ iskander-k, вы разберитесь в теме. Я уже столкнулся с этим Winlock, так что он правит не основную ветвь реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon а HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon где Shell в принципе и быть не должно. Для меня было открытием. Гляньте как работает Winlock или почитайте на форуме Dr.Web. Ссылка http://forum.drweb.com/index.php?showtopic=310932&st=0

iskander-k · Конфигурация компьютера

Цитата Диман_Д:

Гляньте как работает Winlock »

Знаю и смотрел. На указанном вами форуме нет совета удалить ключ.

У вас не правильный был совет

Цитата:

" .... просто сотрите ключ Shell.

А нужно как указал yurfed, исправить ! В данном контектсе должно звучать удалить параметр Shell в ветке HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon.

А удалить ключ или удалить параметр - это две большие разницы.!

yurfed · Отправлено: **15:57, 17-09-2012** | #20

Диман_Д, вроде я про ветку HKEY_CURRENT_USER не обмолвился ни словом.
Вы хотя бы на скрин посмотрели что там написано и в какой ветке это находится.
Но вы можете у себя удалять.
А вы знаете что ветки HKEY_CURRENT_USER, как и HKEY_CLASSES_ROOT не существует физически. Это виртуальные ветки и хранятся в памяти, после загрузки системы. Что вы там собрались менять, не совсем понятно.

Цитата Диман_Д:

Я уже столкнулся с этим Winlock, »

Я с этим сталкиваюсь иногда по несколько раз на дню.