28 ответов в этой теме

[oaesi]

Версия 5.
Доменная сеть, 80 компьютеров
Каждые два часа идет вирусная атака на все компьютеры:

Станция: 24_5 (tcp/192.168..:1047)
Время: 24/11/2009 16:30:59.857
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0SKCDNFY\sxyql[1].png" ()
Тип: инфицирован
Инфекция: Win32.HLLW.Autoruner.5555
Результат: вылечен

Станция: 24_5 (tcp/192.168..:1047)
Время: 24/11/2009 16:30:59.935
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\WINDOWS\system32\x" ()
Тип: инфицирован
Инфекция: Win32.HLLW.Autoruner.5555
Результат: вылечен

[basid]

Время: 24/11/2009 16:30:59.857
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0SKCDNFY\sxyql[1].png" ()

"Выделено мной".
Вероятно, дроппер грузит вирус -> (кроме всег прочего) смотреть логи прокси.

Время: 24/11/2009 16:30:59.935
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)

Включите аудит и смотрите кто, куда и откуда логинится/получает доступ/отлупы.

P.S. Раз "каждые два часа", значит смотрим "at" и "schtasks /query".

[oaesi]

Вероятно, дроппер грузит вирус -> (кроме всег прочего) смотреть логи прокси.

прокси нет, как найти дроппер?

Включите аудит и смотрите кто, куда и откуда логинится/получает доступ/отлупы.

Аудит включить на рабочей станции?

[Borka]

Время: 24/11/2009 16:30:59.857
Источник: SpIDer Guard ® for Windows XP (NT AUTHORITY\SYSTEM)
Объект: "C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0SKCDNFY\sxyql[1].png" ()

"Выделено мной".
Вероятно, дроппер грузит вирус -> (кроме всег прочего) смотреть логи прокси.

Это Конфикер так по сети через дыры проходит. Пачей нет...

[oaesi]

Это Конфикер так по сети через дыры проходит. Пачей нет...

Я слабо понимаю о чем речь, к сожалению...
Делать-то чего?

[v.martyanov]

Это Конфикер так по сети через дыры проходит. Пачей нет...

Я слабо понимаю о чем речь, к сожалению...
Делать-то чего?

Закрыть шары, отключить автозапуск, установить сильные пароли, накатить обновления на систему.

[oaesi]

Закрыть шары, отключить автозапуск, установить сильные пароли, накатить обновления на систему.

Это общие профилактические меры, а в данной конкретной ситуации неужели нельзя определить откуда он берется в сети?

[v.martyanov]

Закрыть шары, отключить автозапуск, установить сильные пароли, накатить обновления на систему.

Это общие профилактические меры, а в данной конкретной ситуации неужели нельзя определить откуда он берется в сети?

Ну ищите-ищите, раз профилактика не нравится.

[HHH]

Закрыть шары, отключить автозапуск, установить сильные пароли, накатить обновления на систему.

Это общие профилактические меры, а в данной конкретной ситуации неужели нельзя определить откуда он берется в сети?

Посмотреть задания планировщика на всех машинах, как уже советовали.
Запустить на всех машинах проверку папки system32 c помощью enterprise scanner, смотреть на предмет подозрительной dll с диагнозом "ошибка чтения".
Взять nmap и просканить сеть на предмет конфискера.
Убедиться, что никто не включил потихоньку в сеть личный компьютер.
...
Больше пока не придумал

[Borka]

Запустить на всех машинах проверку папки system32 c помощью enterprise scanner, смотреть на предмет подозрительной dll с диагнозом "ошибка чтения".

По-моему, проще запланировать проверку GUI-сканером. Сразу и лечение будет.

[oaesi]

Через сетевое окружение на всех компьютерах сети появилась общая папка "Назначенные задания". Задание выполняется каждый день в одно время. Выполнить rundll.exe, а потом на разных компьютерах разные параметры. c:\windows\tasks\at1.job
Это признак вируса?

[v.martyanov]

Да, это признак вируса.

[oaesi]

drweb ничего не находит в безопасном режиме

[userr]

oaesi
Переезжаем. Делайте логи по Правилам раздела "Помощь по лечению".

[oaesi]

сделала логи, подскажите как их прикрепить
ручное удаление заданий поможет или надо еще что-то сделать?

[v.martyanov]

Уже сказано, что надо сделать. В кривонастроенной системе эту заразу можно всю жизнь ловить.

[Borka]

сделала логи, подскажите как их прикрепить
ручное удаление заданий поможет или надо еще что-то сделать?

Справа кнопочки "Обзор" и "Загрузить". Если логи большие - сожмите архиватором.

[oaesi]

 _________.rar   8,23К   77 Скачано раз

[Borka]

Проверьте на ВирусТотал и зашилите в Вирлаб:
C:\Windows\system32\itcadvapi.dll
C:\WINDOWS\system32\DRIVERS\itcscrpt.sys

[userr]

oaesi
где лог gui-сканера (drweb32w.exe) ?