Редактор реестра

[sss]

Всем привет.

Написал свой редактор реестра. Старался создать похожий на системный.

Программа написана в CBuilder 2006 с использованием VCL и подписана.

P.S.: Сейчас версия 0.2. Исправлена остановка поиска при ошибке чтения раздела и строку пути
         теперь можно копировать...

[Serg79]

sss, Ты бы исходники приложил, а то страшно им пользоваться.

[sss]

Serg79, извини не буду. Предлагаю попробовать не под административной учётной записью...

P.S.: А если бы обозвал просмоторщиком картинок, не было бы страшно  ?

[Nik_Kurta]

А какую цель преследовал разработчик данного творения? Чем она отличается от проверенного и надёжного оригинала?

[Sla]

иногда доступ к регедиту закрыт политикой безопасности (этим балуются некоторые вирусы)

[Nik_Kurta]

 Если есть на компе злой вирус, который закрыл regedit, диспетчер задач, сеть и вывесил не закрывающееся окно на весь экран, с просьбой отослать SMS, то без снятия винта и лечения его на другом компе не обойтись!  Было, попадались!   

[sss]

Если есть на компе злой вирус, который закрыл regedit, диспетчер задач, сеть и вывесил не закрывающееся окно на весь экран, с просьбой отослать SMS, то без снятия винта и лечения его на другом компе не обойтись!  Было, попадались!   

Nik_Kurta, пипец как страшно... Постоянно снимаю порчу руками на зараженном компьютере... Мне просто надоело, что единственный редактор реестра знают практически все вирусы, практически все пытаются его забанить и вся их "сила жизни" только  в этом...  Именно для защиты от таких беспонтовых засранцев это и сделано..

иногда доступ к регедиту закрыт политикой безопасности (этим балуются некоторые вирусы)

Не только. Некоторые использую запись отладчика, некоторые тупо проверяют имя процесса, некоторые распознают даже переименованный процесс..


Кое что исправил...  md5(regsss.exe) = AABF6D2A9ED6E324ABF775A3AD2DDB19

[zubr]

Nik_Kurta, пипец как страшно... Постоянно снимаю порчу руками на зараженном компьютере... Мне просто надоело, что единственный редактор реестра знают практически все вирусы, практически все пытаются его забанить и вся их "сила жизни" только  в этом...  Именно для защиты от таких беспонтовых засранцев это и сделано..

К сожалению не все, только детские. Вирусы посерьезнее работают с ядром - им нет смысла regedit банить. Просто блокируются нужные ветки реестра.

[sss]

zubr, это конечно... Только их единицы. Да и тоже легко лечатся с помощью regedit руками... Куда хуже, когда засранца уже нет, а из-за него повреждены, например, стек TCP/IP. Вот тут то хренто аделанте - надо курить мануалы.

[lag]

Снимать винт для удаления вируса? Да ну - извращение. Более пяти лет пользую ERD Commander в основном для этих целей
(еще для входа на запароленый компьютер), практически все компьютеры сослуживцев и знакомых лечил, на мои компьютеры
почему-то вирусы не попадают , хотя нет антивируса (постоянной защиты) и файрвола. Флешки тоже защитил.

А вот в реестре хотелось бы иметь, например - отображение автозагрузки, включая ветку HKLM\Software\Windows NT\CurrentVersion\Winlogon

[Антон (LogRus)]

sss, не слушай их, нормуль софтина.

По делу:
1. а можно менять значение и тип поставив курсор в соответствующее поле? (Проверить не проси, у меня Mac )
2. имхо шрифт не очень, блобы круто, если он настраивался
3. а права на ветку можно править, как в виндовом редакторе? (отбой, уже увидел кнопку )
4. судя по интерфейсу можно открыть несколько вкладок (или это мне показалось)
5. хочу меню и хоткейсы
6. файлик тяжеловат, уменьшить никак?

в остальном по мне так вполне сипатишно

[zubr]

zubr, это конечно... Только их единицы. Да и тоже легко лечатся с помощью regedit руками... Куда хуже, когда засранца уже нет, а из-за него повреждены, например, стек TCP/IP. Вот тут то хренто аделанте - надо курить мануалы.

Если этот вирус ключи реестра регистрирующие его сделает невидимыми, то как его лечить regedit или другой юзермодной программой?

[Nik_Kurta]

zubr, это конечно... Только их единицы. Да и тоже легко лечатся с помощью regedit руками... Куда хуже, когда засранца уже нет, а из-за него повреждены, например, стек TCP/IP. Вот тут то хренто аделанте - надо курить мануалы.

Для этого есть утилита - WinsockxpFix.exe и AVZ4

[sss]

Антон (LogRus),

1. Значение - да, переименовать - да, тип - нет (хотя можно).
2. Шрифт сделать - в принципе легко..
3.
4. Гм. Нет, но идея интересная..
5. Можно добавить (Ctrl+F и F3 надо точно сделать)
6. Полностью встроенный VCL и отладочная инф...


zubr, если драйвер спрячет от системы ключи своей загрузки - его не загрузят... Этим и пользуюсь.

[sss]

Вообще размер бесит... Использую только элементы со страницы Standard и Win32, что подразумевает встроенную в систему поддержку - ан нет.. Надо будет через UPX прогнать..

[zubr]

sss, драйвер может определять имя процесса, который пытается прочитать ключ реестра и соответственно прятать ключи выборочно, к примеру от System, csrss не прятать, от остальных процессов прятать.

[sss]

zubr, согласен. Правда пока не встречал...

[zubr]

zubr, это конечно... Только их единицы. Да и тоже легко лечатся с помощью regedit руками... Куда хуже, когда засранца уже нет, а из-за него повреждены, например, стек TCP/IP. Вот тут то хренто аделанте - надо курить мануалы.

Для этого есть утилита - WinsockxpFix.exe и AVZ4

Фигня это. В основном все что они умеют - это искать уже известный вирус в своей бд. А от эвристического анализа у DrWeb я вообще балдею. Зачастую программа вызывает какую нибудь вполне невинную функцию, а DrWeb уже тут как тут - типа возможно вирус, а то и сигнатуру в своей бд найдет.
Парадокс в том, что для того чтобы вычислить какого нибудь руткита, зачастую надо перехватывать вызовы системных таблиц, что запрещает Microsoft для легальных программ. Вирусописателей, естественно, данные запреты только раззадоривают.

[Nik_Kurta]

zubr, AVZ4 - удаляет данные вирусы и восстанавливает работоспособность - regedit, диспетчера задач и прочих программ, а потом утилитой WinsockxpFix восстанавливаем стек TCP/IP

[zubr]

Nik_Kurta, данные вирусы - это какие? Более менее серьезный руткит (если он не известен) он просто не увидит.

[Ochkarik]

zubr, да ладно) не гоните на AVZ)
 в нем очень много нужного, помимо баз. и эвристика ничего... собственно, кроме него - ничего другого не использую для лечения чужих компов)
но AVZ не антивирусник! AVZ хорош не тем, что у него базы - он помогает найти работу вируса в системе. когда тот УЖЕ там)
пользоваться им в ручном режиме - это песня) там можно почти все)

[zubr]

Ochkarik, ну вот простой пример: беру широко известную хакерскую утилиту Hidetoolz, позволяющую скрывать любой процесс в системе и себя из юзермода (даже не из ядра!), запускаю ее, запускаю AVZ. Да - он показывает, что процесс PID такой то скрывает себя, но путь к процессу не определяет. А что толку PID без пути. Вместо пути - ?

[zubr]

Включил AVZGuard - при запуске блокируется Hidetoolz и все процессы которые скрывались с использованием Hidetoolz, через несколько минут система валится в BSOD.

[Ochkarik]

ну и логично что не показывает. так я думаю и никто уже показать не сможет) путь к процессу в каком то списке хранится, кажется в списке переключений контекста. ежели его оттуда вытереть то.... впрочем я не помню подробностей.
а польза ИМХО большая. признак что аномальный процесс - есть! а дальше дело техники... инструментов AVZ предоставляет достаточно.

PS а BSOD - я такого ни разу не наблюдал при лечении. хотя вру... какая то зараза была с похожими симптомами. так ее находили всего 3 из 40 антивирусников на virustotal и ни каспера ни веба ни других известных, среди этих трех - не было.

[zubr]

ну и логично что не показывает. так я думаю и никто уже показать не сможет) путь к процессу в каком то списке хранится, кажется в списке переключений контекста. ежели его оттуда вытереть то.... впрочем я не помню подробностей.

Можно путь к процессу найти через структуру PEPROCESS и файловый объект.

[Sel]

BSOD при лечении мне тоже ни разу не попадался... А вот то, что AVZ систему грузил безбожно - это было. За  что и был удален с моего ноута.

WinsockxpFix.exe - вот это для меня новое. Спасибо за подсказку: у меня как рз имеется ноут, на котором ни regedit, ни msconfig ни в какую запускаться не желают...

[Ochkarik]

кстати, а попробуйте не AVZguard включать, а установить драйвер расширенного мониторинга процессов - AVZPM ) Гуард - на самом деле лишь блокирует внеплановое завершение AVZ. ну и там по мелочи...)
...и еще в параметрах поиска поставить все галки и максимальный уровень) уверен, AVZ покажет все что можно)

можно... только эта структура как раз и является элементом того двусвязного списка из которого берется имя процесса в диспечере задач) и через изменение которого, собственно и происходит сокрытие процесса...

PS Sel, а с какой стати AVZ систему грузит? это же не real-time проверка на вирусы?!
PPS модераторы.... может переместить флуд в отдельный топик? или оно "относительно" по делу получается?

[Sel]

Ochkarik, не знаю, с какой стати грузил, но грузил. Причин искать никто не стал...

Тему потом поделим.

[zubr]

можно... только эта структура как раз и является элементом того двусвязного списка из которого берется имя процесса в диспечере задач) и через изменение которого, собственно и происходит сокрытие процесса...

Сомневаюсь, что ядерную структуру EPROCESS можно получить из UserMode, а утилита HideTools работает в UserMode.
Недавно я писал драйвер защиты процессов для античита, в нем использовал способ получения полного имени процесса через структуру EPROCESS - он прекрасно определял путь к утилите HideTools.

У меня AVZ вывалилось в BSOD не при лечении, а минуты через 2-3 после включения режима avzguard. Тестировал на виртуальной машине WinXP SP2, причем система не была загружена обилием работающих процессов.

[Ochkarik]

одну секунду...)

Протокол антивирусной утилиты AVZ версии 4.34
Сканирование запущено в 24.08.2010 9:48:41
Загружена база: сигнатуры - 277343, нейропрофили - 2, микропрограммы лечения - 56, база от 12.08.2010 22:01
Загружены микропрограммы эвристики: 383
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 218051
Режим эвристического анализатора: Максимальный уровень эвристики
Режим лечения: выключено
Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .text
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
 Анализ user32.dll, таблица экспорта найдена в секции .text
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 SDT найдена (RVA=083220)
 Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
   SDT = 8055A220
   KiST = 804E26A8 (284)
Функция NtDuplicateObject (44) перехвачена (805715E0->F5046F9A), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtInitiatePowerAction (5D) перехвачена (8062BF67->F504625E), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtOpenProcess (7A) перехвачена (805717C7->F5046E28), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtOpenThread (80) перехвачена (8058A1C9->F5046EDC), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQueryInformationProcess (9A) перехвачена (8056DB30->F5045D06), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQuerySystemInformation (AD) перехвачена (8057BC40->F5045D4A), перехватчик не определен
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtRaiseHardError (B6) перехвачена (806480E3->F50460A3), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtSetSystemPowerState (F1) перехвачена (8066768B->F5046182), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtShutdownSystem (F9) перехвачена (80647177->F5045FC5), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtTerminateProcess (101) перехвачена (805822EC->F5047200), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtWriteFile (112) перехвачена (80574BF5->F5045EFC), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtWriteFileGather (113) перехвачена (805DA475->F5045F44), перехватчик C:\WINDOWS\temp\66167C89F.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Проверено функций: 284, перехвачено: 12, восстановлено: 12
1.3 Проверка IDT и SYSENTER
 Анализ для процессора 1
>>> Опасно - подозрение на подмену адреса 01] = [F5FC8D17]
>>> Опасно - подозрение на подмену адреса 04] = [F5FC8D5C]
>>> Опасно - подозрение на подмену адреса 06] = [F5FC8D8A]
>>> Опасно - подозрение на подмену адреса 09] = [F5FC8DCF]
>>> Опасно - подозрение на подмену адреса 0B] = [F5FC8DFD]
>>> Опасно - подозрение на подмену адреса 0D] = [F5FC8E2B]
>>> Опасно - подозрение на подмену адреса 0F] = [F5FC8E59]
>>> Опасно - подозрение на подмену адреса 11] = [F5FC8E87]
>>> Опасно - подозрение на подмену адреса 13] = [F5FC8EB5]
>>> Опасно - подозрение на подмену адреса FF] = [F5FCA3E9]
CmpCallCallBacks = 0013A76A
Disable callback OK
 Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
 Поиск маскировки процессов и драйверов завершен
1.5 Проверка обработчиков IRP
 Драйвер успешно загружен
 Проверка завершена
2. Проверка памяти
 Количество найденных процессов: 23
Анализатор - изучается процесс 408 C:\WINDOWS\system32\winlogon.exe
[ES]:Может работать с сетью
[ES]:Приложение не имеет видимых окон
[ES]:Размещается в системной папке
[ES]:Записан в автозапуск !!
Анализатор - изучается процесс 1348 C:\Program Files\Virtual Machine Additions\vmusrvc.exe
[ES]:Приложение не имеет видимых окон
[ES]:Записан в автозапуск !!
Анализатор - изучается процесс 1588 C:\Viruses\HideToolz.exe
Анализатор - изучается процесс 1736 C:\Program Files\Virtual Machine Additions\vmsrvc.exe
[ES]:Приложение не имеет видимых окон
 Количество загруженных модулей: 224
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
Проверка завершена
Просканировано файлов: 247, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 24.08.2010 9:49:11
!!! Внимание !!! Восстановлено 12 функций KiST в ходе работы антируткита
Это может нарушить нормальную работу ряда программ, поэтому настоятельно рекомендуется перезагрузить компьютер
Сканирование длилось 00:00:33
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info

PS hidetools имеет драйвер. просто он в эезешник зашит сразу.... так часто делают.
">>> Код перехватчика нейтрализован
Функция NtRaiseHardError (B6) перехвачена (806480E3->F50460A3), перехватчик C:\WINDOWS\temp\66167C89F.sys"
PPS кстати тоже на вируальной машине запускал
PPPS "Анализатор - изучается процесс 1588 C:\Viruses\HideToolz.exe"