2004-2006

Хм, неудивительно, что антивирусы не ругались. К тому времени даже в лаборатории господина Касперского не особо напрягались с протекторами и пакерами, - это сейчас они на Securelist пишут страшилки на тему как страшно в интеренте без "Касперского", а тогда даже и не знали что такое руткиты. На моей памяти лишь Symantec ругался уже тогда на кейгены и патчеры, но при этом с его стороны были не совсем вменяемые реляции: просто писал "Probably file is infected." и т.п.
О! за музыку буду признателен, правда если эта музыка выдержана в классическом или метал стиле - просто эта та самая музыка, под которую лучше всего соображается.

По теме: у меня раньше запускались генераторы ключей со включенным антивирусом нормально.

Ммммм... позвольте полюбопытствовать год - как давно это было?

В справочных данных "этого дерьма" сказано: не используйте для постоянной работы учётную запись с правами администратора. А ещё можно отключить автозапуск и ограничить использование ПО.

Солидарен, что сидеть в системе с правами администратора не просто моветон, а сродни самоубийству. Нет, если, конечно, правильно настроить систему то у малвари шансов практически нет, разве что дыры в отдельных компонентах системы (вроде того же win32k.sys, который бы как ни патчили в M$, а толку ни на йоту). Но с этим в корпоративной среде должны бороться HIPS. Или что-то в этом роде. Хотя при наличии прямых рук и головы на шее все же можно обойтись и без оных (да, да - тщательная настройка системы, отладчики уровня ядра и т.д.)

Надо пологать брань в адрес "форточек"? Отнюдь. Хоть у меня самого в качестве основной операционной системы установлена Fedora (все WinOS у меня подняты исключительно под виртуалками), не могу ничего дурного сказать про Windows. Относительно авторана - я давно всем советую его отключать. Например, выполнив reg-файл следующего содержания:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\autorun.inf]
@="@SYS:DoesNotExist"

После чего перезагрузиться. Хотя то же можно слелать и через локальные политики.
Для MoutnPoints2, что в HKCU ветке, в пермишенах указать особые разрешения для пользователя, например, запрет на запись и чтение, - никаких лагов при подключении USB-устройств при этом не наблюдается.

Вы уверены, что это понятный совет для большинства пользователей?

Не уверен. Считаю, что поэтому у большинства пользователей в компьютере живут "блохи".

Это кто такие - люди, которым запрещается добавить учётку с ограниченными правами?

не используйте для постоянной работы

Вы уверены, что это понятный совет для большинства пользователей? Вы уверены, что это правильный совет для владельцев корпоративных машин с предустановленной учеткой с привилегированными правами?

[autorun]
USEAUTOPLAY=1
shellexecute=umhurk/exelent.exe
Shelltewuiofejilewkopf
shell\\Explore\\command=umhurk/exelent.exe
shell\Open\\command=umhurk/exelent.exe
icon=umhurk/exelent.exe
open=umhurk//exelent.exe
action=0pen folder to view files using Windows Explorer

В реестре нашел две ветки, в которых подробно расписано все это. А именно подветки AutoRun, Explore, Open, Autoplay:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{69848cc9-33a5-11e1-9573-64315078957e}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dc42c1ea-621b-11e0-828c-e02a82327c83}

.
Одна из веток, как я догадался, это мой съемный диск, а другая - это недавно купленный PocketBook, на котором эта "хрень" уже присутствовала. А этот файл (umhurk/exelent.exe) имеет все самые скрытые атрибуты - архивный, скрытый, системный, только для чтения. Удивительно то, что эта книжка работает под Андроидом, ну по крайней мере, усеченным Линуксом.

Можно предположить, что эта пакость уже давно существует у меня в системе и перешла на новый покетбук, а я всего лишь не уследил. Но именно после подключения покетбука внешний диск перестал нормально отображаться -- то есть стандартная иконка для дисков. Я несколько раз переподключал книжку и диск в один разъем, и после этого ветка реестра DefaultIcon диска стала показывать на несуществующую иконку. Что сразу стало заметно.

Так же нашел упоминания всего этого "добра" в подветках Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{69848cc9-33a5-11e1-9573-64315078957e} у "пользователей" в ветке HKEY_USERS

Вот тут всяких usb-устройств. Оно там тоже упоминается в виде \??\Volume\{69848cc9-33a5-11e1-9573-64315078957e}

HKEY_LOCAL_MACHINE\SYSTEM\MountedDevice

.
В очередной раз убедился -- сколько же всякого дерьма эта система позволяет в себя сливать.

Перед отправкой этого сообщения вспомнил про VirusTotal и решил этот бинарник (который еще не удалил) проверить.
8 из 43 опознали вирус - ссылка на VirusTotal.

Хорошо, это был неудачный пример.

Почему неудачный? Вполне нормальный пример. Во всяком случае, «магические числа» и «псевдоинструкции» для меня были внове, спасибо за ссылку.

Тады — да, этот способ отпадает.

Стоп, стоп. А как же аппаратная виртуализация?

К сожалению пока не знаком с ней, на неделе ознакомлюсь .

Хорошо, это был неудачный пример. А если так- для генерации ключа используются данные о железе.