OFF: Восстановление Windows из образа при перезагрузке.

Мечтаю реализовать аналог вирустотал на физических машинах.

То есть Вы планируете запускать потенциально опасные программы, и каждый раз вместо загрузки делать восстановление, на случай если они оказались-таки вирусами?

Не уверен, что на VirusTotal запускают бинарники в реальном окружении, скорее файл передается консольным версиям антивирусных сканеров, а также ряду различных утилит вроде dumpbin (аналог которого я пытаюсь реализовать на PowerShell) или PEiD, в противном случае поведенческий (в смысле что файл творит после запуска в системе) анализ занял бы прилично времени. Поэтому не совсем ясно аналог VirusTotal'а или все же песочницу Вы хотите сделать.
Если копать в сторону малвари, то последняя может модифицировать не только MBR (особенно если речь идет о по-настоящему крутой малвари), поэтому лично мне сложно представить, как можно удаленно будет восстановить систему, которая была поражена сразу с нескольких векторов. Можно сделать предположение, что установленный антивирус (HIPS и иже с ними) сработает на привентив, но Вы ведь хотите полностью анализировать поведение малвари? Тогда какой смысл в антивирусе?

Не знал. А если не секрет, то откуда у Вас такие сведения? Любопытно исключительно с целью расширения кругозора.

Теоретически достаточно, на практике может случиться все что угодно.

Видимо у на с Вами различное понимание эвристики.

Давно уже в паблике есть решения по выявлению виртуализации операционной системы. Вот такие "детекторы" как раз умные малвари прячут во всяких функциях типа sleep(). Пишутся они в основном на ассемблере.
И как только программа узнает, что она запустилась в виртуалке, то сразу же удаляется.
А вообще, ради прикола, отправьте на virustotal программу, которая вам будет отстукиваться в адрес. Гарантирую, что логи в течение месяца будете получать, со всех стран мира. Более 100 машин.

Верно. Например, перепрошивка BIOS. Но и она успешно исправляется. 

Может быть. Вот реальный пример. Представьте, что используется уязвимость файла doc CVE-0158-2012. Сигнатура вредоносного кода, сигнатура шелла, не попала в базы данных антивирусов. То есть антивирусные программы дадут пользователю запустить файл. Но какое же поведение этого файла? При запуске именно такого вордовского файла идет распаковка бинарника (exe), а также файла в формате doc для его отображения пользователю, чтобы не было подозрений. Указанное поведение в чистом виде ловится Касперским. Это и есть эвристика. Примеров полно. А если принять факт, что многие антивирусы фактически не проверяют файл более 6 Мб, то страшно становится.

greg zakharov, я Вам был бы очень признателен, если бы получил консультацию по моим вопросам.

Вопрос по выключению компьютера закрыт, решается отправкой magic packet при отсутствии пинга.

DD, огромное спасибо! Очень заманчиво. Буду изучать матчасть.