20 ответов в этой теме

[Philipp]

Сегодня с утра на многих компьютерах корпоративной сети с установленным приложением Citrix был обнаружен и помещен в карантин вирус Trojan.KillFiles.29137

 

Поражены только те компьютеры у которых интернет работает через Citrix,

ярлык Citrix на рабочем столе стал ссылаться не на приложение, а на зараженный файл по пути C:\users\пользователь\appdata\roaming\citrix\selfservice\file.exe

 

Соответственно пользователи щелкают по ярлыку Citrix на рабочем столе, антивирус обнаруживает что ярлык ссылается на вирус и помещает его в карантин. 

 

Вчера по просьбе администратора CITRIX добавил в исключения для группы Everyone > Windows > SpIDer Guard для рабочих станций Windows  две папки: C:\Program Files (x86)\CITRIX\    C:\Program Files\CITRIX\

 

Сегодня обнаружив подозрительную активность, удалил эти исключения. Но скорее всего дело не в них, так как по логам первые компьютеры подверглись заражению еще 10-14 числа.

 

Сейчас переписываюсь с поддержкой, предлагают обновить Citrix до последней версии, так как в прошлых возможны уязвимости.

 

Прикладываю несколько логов зараженных станций.

 

Самое неприятное что проблема самовоспроизводится, то есть на одной и той-же станции антивирус срабатывает повторно.

 

Вопрос как он туда пробрался? И что делать?

Прикрепленные файлы:

•  1.jpg   123,76К   0 Скачано раз
•  2.jpg   146,1К   0 Скачано раз
•  W-5002-34_kazankov_fv_160616_104931.zip   8,66Мб   0 Скачано раз
•  W-5002-34 infection_stations_16-06-2016.pdf   54,5К   3 Скачано раз
•  W-4703-02_kazankov_fv_160616_110650.zip   5,74Мб   0 Скачано раз
•  W-4703-02 infection_stations_16-06-2016.pdf   54,12К   0 Скачано раз

Сообщение было изменено Philipp: 16 Июнь 2016 - 13:10

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

- попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
- детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
- дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена коммерческая лицензия Dr.Web Security Space не ниже версии 9.0, Антивирус Dr.Web для Windows не ниже версии 9.0 или Dr.Web Enterprise Security Suite не ниже версии 6.0. подробнее.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];


4. При возникновении проблем с интернетом, таких как "не открываются сайты", в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа "Содержание сайта заблокировано" и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig


Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить...
• В появившемся окне наберите cmd и нажмите клавишу <Enter>. Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>"%userprofile%\ipc.log" и нажмите клавишу <Enter>, затем наберите там же команду explorer.exe /select,"%userprofile%\ipc.log" и нажмите клавишу <Enter>, нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Чтобы не сделать ошибок в написании команд, можно скопировать эти команды отсюда и последовательно вставлять в черное окно консоли путем выбора пункта Вставить из меню, появляющегося при нажатии правой кнопки мыши в черном окне консоли.

[Ivan Korolev]

Вышлите проблемный файл в http://vms.drweb.com/sendvirus/в категорию ложное срабатывание. После получения номера тикета, укажите его здесь.

Сообщение было изменено Ivan Korolev: 16 Июнь 2016 - 13:13

[Philipp]

Ivan Korolev

 

Сейчас вышлю, на что-то Я не уверен что это ложное срабатывание...

[Ivan Korolev]

Ivan Korolev

 

Сейчас вышлю, на что-то Я не уверен что это ложное срабатывание...

 

Прежде чем паниковать, лучше убедиться, что есть причины для этого.

[Philipp]

#7004097

[Ivan Korolev]

Не беспокойтесь, это ложное срабатывание. После одного из последующих обновлений детектирование исчезнет.

[Philipp]

Не беспокойтесь, это ложное срабатывание. После одного из последующих обновлений детектирование исчезнет.

 

Это 100%?   Конечно гораздо лучше чем вирус, но если так, нам придется восстанавливать Citrix на более 140 компьютерах, и скорее всего, пока не пришли обновления - это повторится. В исключения? Совет?

[Ivan Korolev]

>Это 100%?

Да.

 

>В исключения?

Да, на время, пока не пришло нужное обновление, можно внести каталог в исключения.

Сообщение было изменено Ivan Korolev: 16 Июнь 2016 - 14:39

[Philipp]

спасибо, но выяснили еще одну неприятность...

При запуске Citrix у пользователей появляется окно с выбором приложений,

Интернет, 1С, Lotus и др., так вот, оказывается DR.WEB убивает все приложения в карантин!

не только file.exe отвечающий за запуск Интернета, но и другие, похоже у них одинаковый код ((
 

[TASS]

нам придется восстанавливать Citrix на более 140 компьютерах

Однако славная "свинка" подсуропилась!

 

Да, на время, пока не пришло нужное обновление, можно внести каталог в исключения.

Ivan Korolev, почему у Dr.Web случаются такие неприятные "ложняки" для бизнес пользователей?

Вроде перед выпуском обновлений "в эфир" АВ базы проверяются по базе чистых файлов.

 

Интернет, 1С, Lotus и др., так вот, оказывается DR.WEB убивает все приложения в карантин!

Хорошо, что в карантин. В ранних версиях иногда файлы удалялись минуя карантин.

Сообщение было изменено TASS: 16 Июнь 2016 - 16:42

[VVS]

спасибо, но выяснили еще одну неприятность...

При запуске Citrix у пользователей появляется окно с выбором приложений,

Интернет, 1С, Lotus и др., так вот, оказывается DR.WEB убивает все приложения в карантин!

Т.е. у Вас 1С, Lotus и др. тоже находятся в карантине?

[Philipp]

Если эти приложения запускаются через ярлыки Citrix, то все падает в карантин.

 

внес в исключения %userprofile%\appdata\roaming\citrix\selfservice\       (в этой папке хранятся все ярлыки Citrix)

как быстро это дойдет до станций?  хорошо что в основном у нас через citrix только инет...

Сообщение было изменено Philipp: 16 Июнь 2016 - 16:55

[Philipp]

.

Сообщение было изменено Philipp: 16 Июнь 2016 - 16:53

[Philipp]

вот так

Прикрепленные файлы:

•  3.png   10,81К   0 Скачано раз

[Philipp]

снова какая-то фигня со станциями на которых установлен Citrix, при запуске приложения, выскакивает уведомление о помещении файла в карантин.

хорошо что наученные горьким опытом, добавили папку с приложением Citrix в исключения, думаю не сделай этого, опять было-бы веселья на 95 компов.

сейчас сделал запрос на анализ (#7124075 #7124087 #7124088), ответ -  на данный момент файл сканером Dr.Web не определяется как угроза.

Прикрепленные файлы:

•  2016-08-01 -2.png   20,2К   0 Скачано раз
•  2016-08-01.png   50,29К   0 Скачано раз

Сообщение было изменено Philipp: 01 Август 2016 - 18:11

[Ivan Korolev]

Philipp, имело место ложное срабатывание, которое было исправлено еще до создания вами тикетов. Проблема найдена, постараемся не допустить подобных срабатываний в будущем.

[Philipp]

снова проблемы, снова на станциях где установлен Citrix

 

#7497993

Прикрепленные файлы:

•  Dr.Web 0.png   57,38К   0 Скачано раз
•  Dr.Web 1.png   89,14К   0 Скачано раз
•  Dr.Web 2.png   48,2К   0 Скачано раз

[Ivan Korolev]

Доброе утро.

 

Тикет уже закрыт, в ближайшем будущем в обновленных базах будет исправлено. 

[Philipp]

Cегодня новый день!

уже на 10 станциях Dr.Web сказал что  файл hpwucli.exe - это вирус Trojan.KillProc.51064
файл находится по пути C:\program files (x86)\hp\hp software update\hpwucli.exe

 

соответственно все в карантин...

 

#7499798