Forums Zebulon.fr: ZHPDiag (Versions) - Forums Zebulon.fr

Hello,

Nouvelle version ZHPDiag 1.25.14
--------------------------------
ZHPDiag subit une évolution importante avec la création de cinq nouveaux modules. Une extension de l'entête du rapport avec "Security Center & Tools Informations" et quatres modules de base O67,O68,O69 et O80.

- Nouveau module O67/File Extensions Shell Spawning. Il permet d'énumerer les extensions de fichiers succeptibles d'être détournés par des malwares. Ce module s'interesse particulièrement aux extensions de fichier capables de démarrer un processus comme par exemple les extensions ".com" ou ".exe". Certains malwares détournent les extensions de fichier vers leur propre processus malware. C'est le cas notamment de certains rogues qui remplacent la valeur par défaut 'exefile' de la clé de BDR au profit de leur propre valeur "{Random}file". Ensuite une clé du même nom est crée afin de pointer vers l'exécution d'un processus malware par le biais d'un "ShellOpenCommand". Ainsi l'utilisateur est systèmatiquement rédirigé à chaque lancement d'une application.

- Nouveau module O68/Start Menu Internet. Il permet d'énumérer les navigateurs installés. Certains malwares détournent le lancement d'un navigateur internet afin de lancer leur propre processus malware. C'est le cas notamment de certains rogues qui remplacent la valeur par défaut de la clé de Base de Registres au profit de leur propre valeur afin de pouvoir lancer une commande de type "ShellOpenCommand". Ainsi l'utilisateur est systèmatiquement rédirigé à chaque lancement de son navigateur. C'est généralement Microsoft Internet Explorer qui en est la cible.

- Création en entête du rapport du module "Security Center & Tools Informations". Le centre de sécurité de Windows, l'editeur de Base de Registres (BDR) et le Gestionnaires des tâches sont souvent la cible de malwares qui cherchent à réduire la protection du système. Le premier objectif du malware est de modifier ou de créer de nombreuses clés de BDR à l'insu de l'utilisateur afin de supprimer ou de réduire les protections de l'antivirus et/ou du pare-feu. Ensuite il va s'efforcer d'empecher le téléchargement et l'installation des mises à jour du système afin de pouvoir en exploiter les failles. Enfin le malware va s'attaquer à supprimer les accès au gestionnaire des tâches et à l'éditeur de Base De Registres. Afin de vérifier si le système subit une telle attaque, ZHPDiag énumère un ensemble de valeurs de BDR succeptibles d'être concernées. En fonction du cas, la valeur de clé portera la mention 'OK' ou 'Modified' dans le cas le l'action malware.

- Mise au format de processus de certaines lignes et modification du nombre d'évènements du module O66.

- Dépistage de lignes malwares dont le processus comporte un caractère caché.

- Ajout du controle d'active Desktop dans le module "Security Center & Tools Informations" (Clé : Policies\Explorer)

- Nouveau module O69/Recherche d'infection de navigateur internet (Yoog, Ask Search,...)

- Modification de la tableau du nombre de jours (Bouton Calendrier), ajout de 30 et 60 jours.

- Affichage de la taille des fichiers dans le module O61 et recherche du caractère caché (Sur le principe des Process et du O44)

- Certains programmes malwares ne sont pas listés dans le module O42 qui se réfère aux clés de désinstallation logicielle enregistrées par le système. L' ajout d'un module permettant d'énumérer les clés softwares système et utilisateurs va permettre de dépister plus efficacement ces programmes malwares.

- Passage de List_Kill'em en outils de nettoyage O63 pour le traitement par ZHPFix.

- Ajout dans de module d'entête de la détection Hijack.FolderOptions. (Modification de l'option des dossiers).

- Ajout de la ruche dans le module logiciel O42.

- Création d'un nouveau module O80/Master Boot Record (MBR). Certains malwares rootkits s'attaquent au MBR du disque système afin d'alterer ce programme et de rendre le disque illisible.

- Correctif dans le module O15 pour la reconnaissance des sites indésirables Internet Explorer.

- Intégration de la dernière version de l'outil ZHPFix.

A bientô...

Hello,

Nouvelle version ZHPDiag 1.26
--------------------------------
Tout d'abord, un effort particulier sur les stations OS 64Bits Vista/7 par élévation des privilèges de l'utilisateur.
Ensuite, l'ajout de deux nouveaux modules dont l'un permet la détection d'infection rootkit TDSS via Internet Explorer.
Enfin de nombreux ajustements, modificatifs et correctifs en fonction des remontées des helpers.

- Elévation de privilèges sur les stations Vista/7 (UAC).
- Ajout d'un nouveau module O81/Internet Feature Controls (IFC). Il permet de rechercher les infections de Microsoft Internet Explorer avec la gestion du mode de compatibilité des documents.
- Ajout d'un nouveau module d'entête nommé 'Logged in mode'. Il permet d'avoir l'information sur le mode de connexion utilisateur/Administrateur.
- Ajout dans l'entête du rapport de la liste des options cochées par l'utilisateur (Unselected Option).
- Ajout dans l'entête du rapport de la liste des utilisateurs.
- Ajout d'un nouveau paramètre /BLF (Background/Log/Full) - Travaille en arrière plan, affichage du Log, Full module (sauf O1,O45,O61,O65).
- Ajout du scan de la branche HKU du module O67/File Extensions Shell Spawning.
- Ajout de la recherche de doublons dans le module O69/SBI.
- Ajout de la détection de cherche.us et de Conduit dans le module O69/SBI
- Ajout du Scan des clés RUN de la branche Wow6432Node pour les OS 64bits Vista/7.
- En cas d'infection du MBR, ajout d'un message spécifique en fin de rapport.
- Contrôle de la donnée de la valeur "Start_ShowSearch" dans le module "Security Center & Tools Informations" (Clé : Explorer\Advanced)
- Prise en compte d' un nouvelle famille d'infection rootkit PRAGMA.
- Augmentation du nombre de lignes prises en charge dans le module O47/AAKE.
- Modification d'affichage du dossier processus sur les modules O18 et O41 de certaines stations Windows XP.
- Modification dans le module de suppression de fichier.
- Modification dans le module O15/Trusted Zone sur le traitement de la valeur de clé de BDR "www".
- Modification des paramètres d'exécution de MBR et ajout de la date de réalisation du rapport.
- Correctif dans le module O4/Process pour la détection de fichiers systèmes.
- Correctif dans le module O47/AAKE conduisant à l'impossibilité de supprimer la valeur de BDR et le processus.
- Correctif sur le mode de connexion sur les OS W2K conduisant à un message d'erreur de chargement de ressource.
- Correctif dans le module O66/EventLog.
- Correctif dans le module O67/Shell Spawning.
- Le fichier de rapport de scan est désormais placé sur le bureau de l'utilisateur.

A bientôt...

Hello,

Citation

Citation

Citation

A bientôt...

Ce message a été modifié par Nicolas Coolman - 18 janvier 2011 - 09:33 .

Hello,

Avril 2011

Citation

Mars 2011

Citation

Fevrier 2011

Citation

Janvier 2011

Citation

A bientôt...