Содержание oaesi

#353302 как определить откуда идет вирусная атака

Отправлено по oaesi в 30 Ноябрь 2009 - 07:27 В: Помощь по лечению

Проверьте на ВирусТотал и зашилите в Вирлаб:
C:\WINDOWS\system32\DRIVERS\itcscrpt.sys

[drweb.com #1077520]

#352590 как определить откуда идет вирусная атака

Отправлено по oaesi в 27 Ноябрь 2009 - 12:25 В: Помощь по лечению

Одну из рабочих станций проверяла в безопасном режиме курейтом 2 раза. Оба раза вылетал по ошибке "память не может быть writen". Загрузилась с LiveCD, запустила проверку курейтом. Окно с завершенной проверкой не увидела. Прикладываю лог последней проверки.

CureIt.rar 3,6Мб 38 Скачано раз

#352230 как определить откуда идет вирусная атака

Отправлено по oaesi в 26 Ноябрь 2009 - 07:46 В: Помощь по лечению

Скачать с сайта Microsoft и установить патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001 (KB957097, KB958644, KB958687) через которые проникает Win32.HLLW.Autoruner.5555.

Это я сделала, спасибо

#352229 как определить откуда идет вирусная атака

Отправлено по oaesi в 26 Ноябрь 2009 - 07:44 В: Помощь по лечению

Проверьте на ВирусТотал и зашилите в Вирлаб:
C:\Windows\system32\itcadvapi.dll
C:\WINDOWS\system32\DRIVERS\itcscrpt.sys

C:\Windows\system32\itcadvapi.dll - нет

C:\WINDOWS\system32\DRIVERS\itcscrpt.sys - есть, вот его анализ
MD5: 9e98a2af5d63c94dd40da29345ff7e58
First received: 2009.05.18 09:27:19 UTC
Дата: 2009.05.18 09:27:19 UTC [>191D]
Результаты: 0/40
Permalink: analisis/989656397db9264f76c3dbc90c3cd3ca74ccd52b4f2d396d0d429e5ba64ce680-1242638839

что значит заслать в Вирлаб?

#352070 как определить откуда идет вирусная атака

Отправлено по oaesi в 25 Ноябрь 2009 - 16:37 В: Помощь по лечению

_________.rar 8,23К 77 Скачано раз

#352066 как определить откуда идет вирусная атака

Отправлено по oaesi в 25 Ноябрь 2009 - 16:26 В: Помощь по лечению

сделала логи, подскажите как их прикрепить
ручное удаление заданий поможет или надо еще что-то сделать?

#352051 как определить откуда идет вирусная атака

Отправлено по oaesi в 25 Ноябрь 2009 - 15:31 В: Помощь по лечению

drweb ничего не находит в безопасном режиме

#352046 как определить откуда идет вирусная атака

Отправлено по oaesi в 25 Ноябрь 2009 - 15:13 В: Помощь по лечению

Через сетевое окружение на всех компьютерах сети появилась общая папка "Назначенные задания". Задание выполняется каждый день в одно время. Выполнить rundll.exe, а потом на разных компьютерах разные параметры. c:\windows\tasks\at1.job
Это признак вируса?

#351865 как определить откуда идет вирусная атака

Отправлено по oaesi в 24 Ноябрь 2009 - 18:28 В: Помощь по лечению

Закрыть шары, отключить автозапуск, установить сильные пароли, накатить обновления на систему.

Это общие профилактические меры, а в данной конкретной ситуации неужели нельзя определить откуда он берется в сети?

#351860 как определить откуда идет вирусная атака

Отправлено по oaesi в 24 Ноябрь 2009 - 18:10 В: Помощь по лечению

Это Конфикер так по сети через дыры проходит. Пачей нет...

Я слабо понимаю о чем речь, к сожалению...
Делать-то чего?

#351858 как определить откуда идет вирусная атака

Отправлено по oaesi в 24 Ноябрь 2009 - 18:04 В: Помощь по лечению

Вероятно, дроппер грузит вирус -> (кроме всег прочего) смотреть логи прокси.

прокси нет, как найти дроппер?

Включите аудит и смотрите кто, куда и откуда логинится/получает доступ/отлупы.

Аудит включить на рабочей станции?

#351840 как определить откуда идет вирусная атака

Отправлено по oaesi в 24 Ноябрь 2009 - 16:49 В: Помощь по лечению

Версия 5.
Доменная сеть, 80 компьютеров
Каждые два часа идет вирусная атака на все компьютеры:

Станция: 24_5 (tcp/192.168..:1047)
Время: 24/11/2009 16:30:59.857
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0SKCDNFY\sxyql[1].png" ()
Тип: инфицирован
Инфекция: Win32.HLLW.Autoruner.5555
Результат: вылечен

Станция: 24_5 (tcp/192.168..:1047)
Время: 24/11/2009 16:30:59.935
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\WINDOWS\system32\x" ()
Тип: инфицирован
Инфекция: Win32.HLLW.Autoruner.5555
Результат: вылечен

#223047 Настройка оповещений

Отправлено по oaesi в 24 Ноябрь 2008 - 08:03 В: Dr.Web Enterprise Suite

Хотелось бы уточнить, где конкретно в консоли делаются эти настройки

#218113 Настройка оповещений

Отправлено по oaesi в 21 Ноябрь 2008 - 14:11 В: Dr.Web Enterprise Suite

Как можно настроить Dr.Web Enterprise Suite, чтобы оповещение "Вирусная атака на станцию ..." выдавалось не только на компьютер с консолью, но и на саму рабочую станцию, на которой он был обнаружен.