Критиките са добре дошли, но пак казвам по цял свят се използва само и единствено командата "files to move" за TLD3 руткита. Всъщност тя играе ролята на CUT & PASTE.

Чак след нейното прилагане е добра идея вече чистия файл в C:\Windows\system32\drivers да бъде копиран от мястото откъдето е взет. Аз продължавам да си мисля, че причината да не стане директно скрипта е наличието на БЕЛИ СПИСЪЦИ на The Avenger по отношение на работата с критичните системни файлове. Защото съм виждал тази команда да става директно и без да се копира първо файла в C:\, но може и да имате право (или истината е някъде по средата).

Трябва да се знае, че командите FCopy:: на Combofix и \replace на OTL не са успешни както тази на The Avenger слециално за тази гадина (нищо че в Combofix пак се използва The Avenger).

Що се отнася до Sandboxie (вече май поддържа x64 версия) и съм съгласен, че превенцията винаги е по-добра от последвалото почистване.

В логовете не се съдържа, чак такава критично важна информация. Но щом са се заразили и са стигнали до подфорума, то на всяка компрометирана система вече не може да и се има отново доверие...дори и след почистване. Това го споменаваме за по-сериозните инфекции от рода на различни Backdoor-и или rootkit-и и казваме, че не е добре тази система да се използва за онлайн банкиране и други подобни операции. Но специално за TDL3 се знае, че главно води до пренасочване на резултатите в Google. Естествено 100% гаранции няма, може и други неща да прави, както няма 100% че дадена система ще е напълно чиста след приключването на анализите на логовете, както и никой защитен софтуер не лови на 100% всичко.

Формат + преинсталация е най-бързия и сигурен начин за решаване на даден проблем, но съм крайно против да се прави дори за всяко нещо.

И какво им е на методите...кои са по-професионалните такива, да кажем на sUBs (автора на Combofix) и другите експерти да не си губят времето с леймърски съвети и да вдигнат малко летвата.

Без лоши чувства и поздрави ! Аз ще се опитам да получа някои отговори за новата версия на ауторън червея Win32.KillAV...

Здравейте,

Това е *.log файла от Dr.Web CureIt, quick scan. Full пуснах тази сутрин, все още тече...

Здравейте,

Това е *.log файла от Dr.Web CureIt, quick scan. Full пуснах тази сутрин, все още тече...

И 3-те намерени файла приличат на фалшиви аларми. Поне тези от ThreatFire със сигурност.

А за другия файла има само един резултат в Google, но сякаш и той е валиден.

TOTAL OFF:

Ей B-Boy страшни сте ! обади се някой който разбира колкото вас и нещо ти трепна под лъжичката май а ?

А останалият народ пък се научи 'що е лог и има ли то почва у нас.,а за мд5 или не дай си боже сха1 - тогава вече настава мазало.

Аз само Ви чета панаирите но след като се обади и "crew" просто не се сдържах, ама тъй де - майстори много , взехме чак и да си пречим де. )))

Веселяци ! лека вечер.

[EDIT] Ще кажеш - "ама нищо не ти се е разбира от поста?", аз не искам и да се разбира поста ми , просто си го написах 'щот си ме кефи,

а и КОПИ и ПЕЙСТ от глобалната мрежа - майсторски го правите, Госпд здраве да Ви дава и все така да помагате всеотдайно.

Редактирано 8 януари 201016 г. от sligove (преглед на промените)

TOTAL OFF:

Ей B-Boy страшни сте ! обади се някой който разбира колкото вас и нещо ти трепна под лъжичката май а ?

А останалият народ пък се научи 'що е лог и има ли то почва у нас.,а за мд5 или не дай си боже сха1 - тогава вече настава мазало.

Аз само Ви чета панаирите но след като се обади и "crew" просто не се сдържах, ама тъй де - майстори много , взехме чак и да си пречим де. )))

Веселяци ! лека вечер.

[EDIT] Ще кажеш - "ама нищо не ти се е разбира от поста?", аз не искам и да се разбира поста ми , просто си го написах 'щот си ме кефи,

а и КОПИ и ПЕЙСТ от глобалната мрежа - майсторски го правите, Госпд здраве да Ви дава и все така да помагате всеотдайно.

В коментара ни с PhrozenCrew не ставаше въпрос за това, кой колко разбира, а за някои методи за почистването на TLD3 руткита.

Неща които се изясниха на Л.С. където им бе мястото. Просто си мислеше, че в нашите логове, които се постват във форума има прекалено чувствителна информация и могат да се източат данни за кредитни карти и т.н. и методите ни са били главно към домашните машини...

Повечето машини които чистим са домашни...служебните които стигат до нас нямат избор, защото нямат качествен администратор и ако не ни се доверят или трябва да преинсталират или да си бачкат заедно с бацила, който не се знае какво може да направи и прави в момента.

Едва ли от нашите логове ще са взели повече данни отколкото по време на самия престой на паразита преди да се намесим...

Ако в лог файла открием наличие на BACKDOOR или нов Rootkit => тогава казваме, че дадена система е компрометирана и не може да бъде 100% изчистена...и тук питаме дали потребителя иска все пак да опитаме или ще предпочете формата + смяна на всички пароли + да се обади на банките да си смени паролите.

http://technet.microsoft.com/en-us/library/cc512587.aspx

Аз нямам проблеми с общуването с кадърните потребители. Рано или късно и екипа ни мисли за разрастване. Всеки си има различни идеи и начини за работа за постигането на желания ефект. Факт е обаче, че и той заобича OTL.exe...Провери форумите на download.bg и ще разбереш за какво говоря.

Ти добре, ни четеш панаирите, но не виждам да си допринесъл с нещо за някого с това.По-добре предложи решение на даден проблем, а не само да критикуваш. Ама то на българина все нещо не му изнася - това си ни е типична черта. Ти си от този тип хора, които си мислят, че след сканирането с n-на брой програми и проблема ще се реши...може би да, може би не. Не случайно и повечето антивирусни не виждат даден файл разположен например в C:\Windows\system32\drivers (за който се знае, че го имат в дефинициите си) и след като същия бъде премахнат с инструменти като Combofix или OTL и отиде в тяхните карантинни папки (съответно C:\Qoobox или C:\_OTL) и чак тогава антивирусните проглеждат...Спор няма, че всички тези методи - online проверки, LIVE CD-та, сканиране в Safe Mode - помагат и то много, но за по-дълбока проверка и за това дали няма остатъци се използват именно тези инструменти създаващи лог файлове. Не, че нещо но ТИ така и не даде ЛОГ файлове, когато ти поисках в една тема след като се похвали, че си почистил Chydo-то...

Аз нямам нищо против да се прави Copy/Paste => стига да е реализирано като хората или поне да се сложи линк към първоизточника на информацията. В интернет всичко има стига да знаеш къде, как и какво да търсиш ! Естествено, е че ще има copy/paste - аз използвам чужди програми, инструменти и съответните команди към тях, а не съм си програмирал свои...но това е практика в цял свят. Проблема не е в копирането...а да знаеш в кой момент, кой инструмент и коя към него команда да използваш за да решиш даден проблем.В това е и смисъла на тренировъчните програми в онлайн общоностите.

И на ТЕБ ГОСПОД да ти дава здраве да ни четеш панаирите...нали смехът е здраве...а дотогава НИЕ ще продължаваме да отделяме от свободното си време за да правим COPY/PASTE и да помагаме с каквото можем на нуждаещите се - съвсем доброволно при това.

Sligive, приятелю .....

Това ти ли си ? Отдавна не съм те виждала... Малиии как си се разхубавил и поумнял

A и да знаеш колко лесно ти намерих снимката.

Написах в гугъл - олигофрен, и ти беше на челна позиция

Извинявайте, ама не се сдържах

Редактирано 12 януари 201016 г. от palavata_tanq (преглед на промените)

Здравейте хора,

Чувствам се малко неудобно от продължението на дискусията. Искрено се извинявам на B-boy[styLe] и останалите от екипа, които помагат безвъзмездно на потребителите! Прощавайте! Определено се изказах донякъде неподготвен и сърдечно си признавам грешката!

Нека темата не се превръща в хапливо и глупаво заяждане, както често се случва по форумите! Това би ми тежало на съвестта! Нека запазим добрите отношения въпреки различните ни гледни точки и техники и да използваме енергията си за по-положителни неща! Признавам, че инструмента OTL много ме заинтригува и благодарение на този форум научих нещо много полезно. Горещо благодаря, за което!

Още веднъж моля за извинение за резкия си език и незнанието ми!

След тъпите коментари, темата се затваря!

Ако още някой реши да се прави на много интересен веднага го препращаме към kal, за да се позабавлява и той!