Kártékony programok eltávolítása – haladóknak

A Microsoft féléves gyakorisággal kiad egy ún. Security Intelligence Reportot (SIR), ami:

“An in-depth perspective on software vulnerabilities and exploits, malicious code threats, and potentially unwanted software”

Az aktuális (már pár hónapja elérhető) a 11. kiadás, ami a 2011. első félévében gyűjtött mérési adatokat foglalja össze csekélynek aligha mondható 168 oldalban (akinek ez túl sok, az persze választhatja a cakkumpakk 19 oldalas “key findings” változatot is). Érdekesek az eredmények és a következtetések is, de az is hasznos információ, hogy milyen és mennyi adat szolgál ezek hátteréül. Lényeg a lényeg, érdemes legalább átfutni annak is, akinek nem a biztonság a fő szakterülete.

Örömmel láttam, hogy ebben a kötetben már külön fejezetet kapott a social engineering, sőt Mark Russinovich is írt egy 16 oldalas fejezetet Advanced Malware Cleaning Techniques for the IT Professional címen. Ő az alábbi 7 lépést javasolja a kártékony programok eltávolítására:

1. Disconnect from the network
2. Identify malicious processes and drivers
3. Suspend and terminate suspicious processes
4. Identify and delete malware autostarts
5. Delete malware files
6. Reboot
7. Repeat Step 2

Ezek nem egyszerű lépések, sőt évről évre bonyolultabbak, ahogy komplexebbé válnak a támadások, összetettebb a felderítésük és a védekezés is. Szerencsére a Sysinternals eszközök rengeteg segítséget adnak, de csak akkor, ha tudjuk is őket használni. Például egy programot könnyű teljesen megölni, ott a Task Managerben az End Process gomb. Ámde a kártékony programok közül számos túléli az ilyen gyilkolászást és vidáman feltámad. Ütheted, vághatod, mindig visszanő. A megoldás, hogy hagyjuk őt élni, csak éppen elvesszük tőle az összes processzor időt, hogy valójában futni már ne tudjon. Azt meg hogy? Természetesen Process Explorerrel…

 

Technorati-címkék: security,report,Sysinternals,tools,malware

Phone, tablet, Surface és Kinect egy szoftverben

Dr. Neil, ausztrál regionális igazgató kollégám igen érdekesen mutatja be a sokféle eszköz együttműködésének lehetőségeit:

Álom vagy valóság? Hogy tetszik?

Nevet kapott a Voldemort Konferencia – fókuszban a Windows 8

Áprilisban a MIX-en a Microsoft bejelentette, hogy lesz szeptember 13-16 között a kaliforniai Anaheimben egy nagyon érdekes konferencia, amit érdemes már most (áprilisban) beírni a naptárba. Ennél többet azonban nem árultak el, még az sem derült ki, hogy ez a szokásos Professional Developer Conference (PDC), vagy valami más. Akkor még nevet sem adtak a rendezvénynek, ez volt a Konferencia, Aminek A Nevét Nem Mondjuk Ki.

Most azonban mindenre fény derült, a konferencia neve BUILD és a “Windows 8”-ról (ami még nem végleges név, csak belső kódnév) szól, már lehet is regisztrálni. Tekintve, hogy hol áll(hat) most a következő verzió fejlesztése, szerintem ezen az eseményen nem elsősorban mély fejlesztői előadások fognak elhangzani, hanem inkább a fejlődési irányról lehet majd érzéseket, benyomásokat gyűjteni.

Ezzel kapcsolatban már van néhány dolog a rendezvény honlapján és persze már sok minden kiderült korábban is, a minap épp Steven Sinofsky-tól a D9-en (képes beszámolók itt és itt).

A felhasználói felülettel kapcsolatban a legfeltűnőbb talán, hogy itt is megjelennek a csempék (már az is érdekes jelenség, hogy a GUI bemutatásával kezdik a Windows 8 információk csepegtetését):

Sőt még a Start menü is becsempéződik (katt a nagyobb képért):

(Forrás: Windows Newsroom)

Ettől persze az egész inkább egy nagyra nőtt Windows Phone-nak néz ki, amit a touch képességeket kedvelők és használók biztosan imádni fognak. Reméljük, nem egy újabb Microsoft Bob…

Ez látványos, de ennél szerintem sokkal izgalmasabbak az elrejtett apró félmondatok, amik elsősorban a webről szólnak:

“Web-powered apps built using HTML5 and JavaScript that have access to the full power of the PC”

Sőt:

“Windows 8 apps use the power of HTML5, tapping into the native capabilities of Windows using standard JavaScript and HTML to deliver new kinds of experiences. These new Windows 8 apps are full-screen and touch-optimized, and they easily integrate with the capabilities of the new Windows user interface.”

Erre persze sokan felkapták a fejüket, hogy miért “use” és miért nem “can use”, különösen az ilyen kompatibilitással kapcsolatos mondatok fényében:

“We also showed effortless movement between existing Windows programs and new Windows 8 apps.”

Ezek szerint tisztán a HTML lenne az új út? Reméljük nem. De az megint csak feltűnő, hogy a Silverlight szóba sem került.

Ez még csak a kezdet, de az már jól látszik, hogy a “Windows 8” és az Internet Explorer 10 ismét komoly lehetőségeket fog hozni a fejlesztők életébe. Erről íme egy előzetes (érdemes teljes képernyőn, nagy felbontásban nézni):

Building “Windows 8”

 

Ti mit gondoltok, ez jó irány?

 

Technorati-címkék: Windows 8,Internet Explorer,HTML5,UI

Icon cache törlése Windows 7 alatt

A héten megint megőrült a Windows Explorer a gépemen és elkezdett abszolút nem odavaló ikonokat rajzolgatni a fájlokhoz. Most épp olyan kedve volt, hogy a TXT fájlok is ZIP ikont kaptak:

Az ember azt hinné, hogy ilyen apróság felett át lehet siklani, de pillanatok alatt kiderül, hogy ez sokkal zavaróbb, mint gondolnánk. Sajnos ez a hiba eddig minden Windows verziónál előbb-utóbb előjött, Windows 7 alatt szerencsére már sokkal ritkábban. Mivel ezért mindig elfelejtem, hogyan kell megjavítani, most leírom, hátha más is hasznát veszi.

Az icon cache Windows 7 alatt a %UserProfile%\AppData\Local\IconCache.db fájlban található, ettől kell megszabadulni és újraépíteni. Ez csak úgy megy, ha előbb kilőjük a Windows Explorert, a fájl törlése után pedig újraindítjuk a gépet. Az alábbi batch fájl épp ezt teszi:

@echo off
cls
echo The Explorer process must be killed to delete the Icon DB. 
echo Please SAVE ALL OPEN WORK before continuing
pause
taskkill /IM explorer.exe /F 
echo Attempting to delete Icon DB...
If exist %userprofile%\AppData\Local\IconCache.db goto delID
echo Previous Icon DB not found...trying to build a new one
goto :main

:delID
cd /d %userprofile%\AppData\Local
del IconCache.db /a
echo Icon DB has been successfully deleted
pause
goto main

:main
echo Windows 7 must be restarted to rebuild the Icon DB. 
echo Restart now? (Y/N):
set /p choice=
If %choice% == y goto end
echo Restart aborted...please close this window 
explorer.exe

:end
shutdown /r /t 0
exit

Technorati-címkék: Windows 7,Windows Explorer,icon cache

Minority Report Kinecttel Windows 7-en

Nem vagyok egy nagy gémer, így aztán ez az egész Kinect őrület engem először nem hozott lázba, noha nyilvánvaló, hogy óriási előrelépés a kontrollermentes vezérlés. A belső levlistákon már nagyon régóta pedzegetjük azt a kérdést, hogy ennek a kiváló eszköznek a lehetőségeit miért kell a játékokra korlátozni? Miért nem lehet nekem ilyenem otthon bármelyik alkalmazásom irányítására:

Szerencsére a Kinect csapat megnyílni látszik, vannak arra utaló jelek, hogy előbb-utóbb ebből lesz egy API, így nem kell már hackelni, könnyebb lesz az árnyékképek, robotok és fénykardok irányítása. Egyre többen foglalkoznak azzal, hogy milyen gesztusokkal lehessen irányítani egy hagyományos alkalmazást.

Ez még egy kicsit viccesnek és nehézkesnek tűnik, de az irány jó:

Hamarosan mi is beléphetünk a Mátrixba:

További érdekes oldalak:

• OpenKinect.org Wiki
• KinectHacks.net
• PrimeSense – a szenzor gyártója

Technorati-címkék: Kinect

Windows 7 Jump List – amire nem jó

Az elmúlt órákat azzal töltöttem, hogy megpróbáltam a Windows 7 Jump List funkcióját beépíteni a saját alkalmazásomba. Közben számtalanszor volt “na neee, ezt nem hiszem el ” élményem, ami után mindig hosszas guglizás következett, ezért leírom a tapasztalatokat és a tanulságokat, hogy másnak megspóroljak egy kis időt:

1. A jump list jól programozható WPF 4-ből a System.Windows.Shell névtéren keresztül, XAML-ből és code behindból egyaránt, nem kell hozzá a Windows API Code Pack. “Természetesen” a két környezetben nem azonos az API, tehát nem mindegy, milyen cikket olvas az ember.

2. A jump list Recent items kategóriája csak akkor használható, ha az alkalmazáshoz van fájl kiterjesztés társítva, egyébként nem. Itt jól jöhet a RegistrationHelper.RegisterFileAssociations metódus a Windows API Code Pack példák közül vagy persze írhatunk telepítőt is.

3. A jump listben lehet saját taskokat létrehozni, ennek bemutatására érdekes módon az összes demó a Notepad.exe-t és a Calc.exe-t indítja el. Nem véletlenül. Itt csak olyan útvonalakat lehet megadni, mint amiket például a Start menü Run ablakába be lehet írni, ami a shell által elindítható, végrehajtható. Ha a fájl nem létezik a diszken, kivételt kapunk. Nem véletlenül hívják ezt belül shell linknek, csak managed környezetben lett “task” a neve.

4. A jump list nem egyenlő a menüvel, az ide felvett taskokra történő kattintásról nem fog értesülni az aktuális alkalmazás. Valami hihetetlen kreativitásról tett tanúságot az, aki kitalálta, hogy ha egy jump list elemre kattintunk, akkor mindig el fog indulni egy új példány az alkalmazásból. Annyit tudunk tenni, hogy megadjuk, hogy ez az újabb példány milyen parancssori paramétereket kapjon meg. Ugye ez épp az a scenario, amire az Explorer, az Internet Explorert és a Wordöt használjuk, arra kiváló.

5. Ha olyan taskot szeretnénk a jump listbe tenni, ami az alkalmazás aktuális példányára vonatkozik (például ablak maximalizálás, About ablak megnyitása stb.), akkor az egyetlen lehetőség, hogy a saját exe fájlunk útvonalát adjuk meg és parancssori paraméterben tudatjuk, hogy mit szeretnénk tenni vele. Sajnos ebben az esetben is el fog indítani a Windows egy új példányt az alkalmazásból, aminek indulásakor megvizsgálhatjuk, hogy fut-e már másik példány belőle (az eredeti) és annak valahogy (remoting, named pipe, window message stb.) átküldjük, hogy mit kellene éppen csinálnia, majd a második példány bezárja magát. Ennek persze van 2 nagyon fájó hátránya: az alkalmazásunk csak 1 példányban fog tudni futni, az üzenet átküldése pedig elég gusztustalan munka.

Tudtok jobb megoldást?

 

Technorati-címkék: Windows 7,Jump list,Windows API Code Pack,WPF

Managed Service Account vs. SQL Server

A Windows Server 2008 R2 újdonságai közül az egyik kedvencem a Managed Service Accountok és a Virtual Accountok megjelenése. Persze ez nem egy látványos újdonság, talán ezért is nem szerepel óriási betűkkel kiemelve a What’s new oldalon, pedig üzemeltetők számára igen-igen hasznos. Persze csak azoknak, akik nem minden szolgáltatás Local System felhasználóval futtatnak.

A minap SQL Server 2008 R2-t akartam telepíteni, ám csalódva kellett tapasztalnom, hogy még az R2 változat sem támogatja ezt a két új fióktípust Az SQL Server 2008-ról ez ismert volt, de most az R2-vel kapcsolatban is megerősítették a fórumban:

SQL Server 2008 and SQL Server 2008 R2 do NOT support managed service account and virtual account when running on Win7 and Win2k8 R2.

Maradt a szokásos helyi Gipsz Jakab felhasználóval történő futtatás, ami nem is zavart volna, ha a Windows Remote Desktop login képernyőjén nem virított volna feltűnően bárki számára, hogy van egy ilyen felhasználó. Onnan pedig leginkább registry matatással lehet eltűntetni az ilyen persona non gratat:

1. Létre kell hozni a HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon\SpecialAccounts\UserList kulcsot – nálam az utolsó 2 szint nem létezett.
2. Ezen belül egy DWORD típusú kulcsot kell létrehozni, aminek a neve legyen az eltüntetendő felhasználó neve (pl. gjakab), az értéke pedig 0.

Továbbá azok a felhasználók is eltűnnek a Welcome Screenről, akiknek Deny log on locally jogot “adunk”, amit egyébként is ajánlatos megtenni.

Technorati-címkék: SQL Server,security

Windows Virtual PC hardver támogatás nélkül

Nem mondom, hogy kifejezetten boldog voltam, amikor anno kiderült, hogy a Windows 7-hez új virtualizációs technológia jön. Bár a Windows XP Mode nagyon jó ötlet, bizony volt gépem, ahol a Windows 7 átállás egyben a virtuális gépek elfelejtését is jelentette a megfelelő hardver támogatás hiánya miatt. Különösen az volt bosszantó, hogy simán fel lehetett telepíteni a WVPC-t, lehetett virtuális masinákat konfigurálni, majd a virtuális gép indulásakor jött a bal horog: “Windows Virtual PC cannot start because this computer does not support hardware-assisted virtualization.” Ez a probléma most végre megszűnt.

Tegnap a fejlesztőcsapat bejelentette (KB977206), hogy Windows Virtual PC és az XP Mode ezentúl működik olyan gépeken is, ahol nincs meg a korábban igényelt Intel VT vagy AMD-V. Ahol van, ott persze továbbra is használja, de ha nincs, akkor sincs gond, elindulnak a virtuális gépek.

Telepítési sorrend (minden letölthető a WVPC honlapjáról):

1. Windows XP Mode
2. Windows Virtual PC
3. Windows XP Mode Update == Update for Windows 7 (KB977206) (önálló letöltés: x86, x64)

Ez az egyszerűsített lista, további részlet, hogy a letöltéshez Windows Genuine Advantage Validation kell, ami valamilyen érthetetlen okból más ActiveX-ben ölt testet a második és a harmadik lépéshez…

Akinél már korábban volt hardver támogatás és futott is a WVPC, de problémákat tapasztalt (pl. KB977632), annak is érdemes telepíteni a frissítést.

 

Technorati-címkék: Virtual PC,Windows 7

Dual boot VHD-ból kék halállal

Mint korábban már írtam róla, sikerült megoldanom, hogy a Windows 7-em mellett VHD-ból tudjak Windows Server 2008 R2-t bootolni. Ez működött is szépen, ám a minap a szerver indítása közben kék halál fogadott.

Annyira meglepett (ugye azok a régi szép Win’95-ös idők ), hogy eltartott egy darabig, amíg a sok szöveg között megtaláltam a hibaüzenetet:

An initialization failure occurred while attempting to boot from a VHD.  The volume that hosts the VHD does not have enough free space to expand the VHD.

Olvasgatás után kiderült, hogy a VHD-ból indított operációs rendszer az indítása során lefoglal magának annyi helyet a diszken, amennyi a VHD maximális mérete. Nálam a VHD csak 8 GB-ot foglalt a diszken, de létrehozáskor meghagytam a default 127 GB-os maximális méretet, mondván, hogy a dinamikus diszk nőhet, ahogy akar, ami nem is okozott gondot egészen addig, amíg volt legalább 127 GB szabad hely, amire induláskor rátehette a mancsát. Mikor a másik oprendszer alól telepakoltam a diszket, emez eldobta magát kék halállal.

Nosza elő a Disk Management MMC-t Windows 7 alatt, Attach VHD, jobb klikk a köteten és Shrink Volume:

Ez szépen össze is nyomta a kötetet, amitől azonban a VHD nem lett kisebb, csak éppen lett a végén egy rakás “unallocated” terület. De ennek a szerencsétlennek azt is le kell foglalnia bootoláskor, mert ha nem, akkor kék marad. Keresgéltem, de sehol nem találtam Shrink VHD opciót, végül az ingyenes vmToolkit VHD Resizer eszközzel sikerült megoldani a problémát.

Van erre beépített eszköz?

 

Technorati-címkék: Windows,Windows 7,Windows Server 2008 R2,boot,dual boot,VHD,BSOD,error

Toshiba Tecra S10 és az ujjlenyomat olvasás Win7 x64 alatt

Nemrég telepítettem egy Toshiba Tecra S10 laptopra 64-bites Windows 7-et. Gyakorlatilag minden eszközzel sikerült pillanatok alatt megbirkóznom, de az ujjlenyomat olvasónak olyan sajátosságai vannak, hogy azt már fel kell jegyeznem magamnak és az utókornak.

A gépben egy AuthenTec AES1610 típusú olvasó van, ami egy jó terméknek tűnik (kolléga HP gépén az ottani szoftverrel panasz nélkül megy). A gyárilag előre telepített Vistán az AuthenTec TrueSuite szoftverével lehetett kezelni az ujjlenyomatokat, de mivel telepítő nem volt hozzá, így kénytelen voltam a Toshiba oldaláról letölteni a “Fingerprint Software”-t, szerencsére van belőle 64-bites. Már ott elkezdtem gyanakodni, amikor ugyanezen a letöltő oldalon találtam egy “Fingerprint Software Uninstaller”-t is.

A letöltés és a telepítés simán ment, de a konfigurálásnál folyton elakadtam. Gyakorlatilag az összes settings jellegű opció disabled volt és csak az Enroll (ujjlenyomat rögzítése) volt elérhető. Ha végigküzdöttem a varázslót, akkor az alábbi kimenetek egyikét értem el:

• 3x bevittem a lenyomatot, de a 3 ellenőrző olvasásból csak az első kettő sikerült, a 3., 4., 5., 6. stb. soha.
• A varázsló végén hibaüzenet: Operation Failed. Duplicate templates already exist.
• A varázsló végén hibaüzenet: Input password is incorrect. Please retype current password.
• Az ujjlenyomatokat sikerült rögzíteni, de bejelentkezni soha nem sikerült.

Felszántottam a webet, nem csak én küzdök hasonlóval. Ennek a szoftvernek vagy nagyon egyedi igényei vannak, vagy nagyon el van rontva.

Tapasztalatok:

• Az AuthenTec jelenleg külön nem teszi elérhetővé a szoftvert, csak a PC gyártókon keresztül érhető el. A jövőben ez talán változni fog. Már Toshiba FingerPrint Utility (TFPU) néven fut és teljesen a Toshiba kezében van, de fórumokban sikerült ráakadni az alábbi linkre, ahonnan még a Windows 7 béta idején az AuthenTec által készített driver és szoftver tölthető le (nem próbáltam ki, de hátha segít valakin): http://win7beta.authentec.com/
• Ellentmondásos információkat találtam arról, hogy pontosan hol tárolódnak az ujjlenyomatok, “Secure sensor-flash storage”-ban, vagy a diszken.
• Az biztos, hogy nem operációs rendszer függő helyen, tehát dual boot esetén azt el kell felejteni, hogy több operációs rendszerből használjuk az olvasót.
• Összesen maximum 20 lenyomat tárolható, ami lehet 1 felhasználó összes végtagjának a lenyomata vagy 20 felhasználótól 1-1 minta.
• Windows bejelentkezés, mappa titkosítás, weboldalakra bejelentkezés működik tökéletesen Windows 7 x64 alatt, akár munkacsoportban, akár tartományban. Időnként előfordul, hogy boot után az első loginnál nem eszi meg az ujjlenyomatot, de később unlockolásra már jól használható.
• A weboldalakra bejelentkezés csak 32-bites IE alatt megy (egy ronda sárga csík jelenik meg a weboldalak tetején), 64-bites IE és FF alatt nem. Nem minden weboldallal boldogul.
• Fontos: Arra figyelni kell, hogy két felhasználónak ne legyen azonos bejelentkezési neve, még akkor sem, ha csak az egyikhez vettünk fel ujjlenyomatot. pl. ne legyen HELYIGÉPuser1 és TARTOMÁNYuser1 még akkor sem, ha TARTOMÁNYuser1 soha nem fogja használni ezt a gépet. A fenti kriptikus hibaüzenetek és jelenségeket idézheti elő.
• A Delete All Fingerprints opció csodákra képes, nem csak törli a korábban rögzített lenyomatokat, hanem látszólag teljesen resetel mindent, ha gond van, érdemes kipróbálni.
• A beállítások egy része csak Run as administrator módban érhető el. A beállító ablak alján található Run as administrator opció hasznos, de úgy vettem észre, hogy nem megbízható: néha akkor is megjelenik, amikor adminként futtatjuk és néha akkor sem, ha Gipsz Jakabként.

Végül lett egy használható rendszerem, de ezzel a hardverrel többet küzdöttem, mint az oprendszerrel és az összes többi hardverrel együttesen.

Technorati-címkék: Toshiba,fingerprint,driver