Боремся с вирусами (autorun'ом, и пр. гадостью)

Обсуждение проблем, связанных с ПО для компьютеров

Модераторы: Al_lexx, Sharp, ionika, Happy_MAN, 0xFF, Atom, Serega S.U.

Аватара пользователя
Abdulla
Сообщения: 649
Зарегистрирован: 10 июн 2008, 18:52
Откуда: Роддом №1

Сообщение Abdulla »

Vose
Да не могу я старых Касперов поубивать, говорил же! :( Вузом куплена лицуха, поставлен клиент на все машины, к-рые в общей локалке, за эти компы отвечают админы, базы на них (компах :) ) обновляются из локалки.
Наша "камера" не подключена к общевузовской локалке (и не имеют доступа в инет, разве что через GPRS-модем), 4 компа друг с дружкой через маленький хаб. Один - мой, никто туда не влезет, остальные 3 - общак. Но на всех этих машинах добровольно-принудительно поставлен тот же KAV5 for WS. Ибо если не нра - купляй сам за свои, но пиратского держать не моги! :dont:
Заражены все 3 "общаковых" машины, моя пока чиста (тьфу 3 раза влево, бумц 3 раза об косяк :) ).

З.Ы.: А "трудодни" - это часы внеучебной нагрузки преподавательского состава. Довольно сложная материя... :wink:
Я не знаю, за что мне платят деньги. Но я удивляюсь, почему так мало?..
Аватара пользователя
Abdulla
Сообщения: 649
Зарегистрирован: 10 июн 2008, 18:52
Откуда: Роддом №1

Сообщение Abdulla »

Vose писал(а):.... что снова позовут вирусов бить. Ну чтоб мы без вирусописателей делали - померли бы с голоду :D
Спасиб за ссылочку, документик сохранил - будет отмазка и пугалка для клиентов. Типа можно сказать, что вот вы что в инете наловили, а я отослал куда надо :D :D :D
Доброй охоты, маленький брат! (С) :D :D :D
Я не знаю, за что мне платят деньги. Но я удивляюсь, почему так мало?..
Аватара пользователя
Vose
Сообщения: 4347
Зарегистрирован: 12 июн 2006, 14:22
Откуда: Свердл. обл.

Сообщение Vose »

Abdulla писал(а):за эти компы отвечают админы
Правильнее сказать - НЕ ОТВЕЧАЮТ. Надо таких админов "брать за хобот" через жалобы руководству, что мол не обеспечивают защиту, может зашевелятся и будут у того же руководства деньгу выбивать на свежие версии или что-то бесплатное, но свежее ставить.
Глупый пингвин робко прячет, умный - смело достаёт...
Аватара пользователя
Abdulla
Сообщения: 649
Зарегистрирован: 10 июн 2008, 18:52
Откуда: Роддом №1

Сообщение Abdulla »

Vose писал(а):...может зашевелятся и будут у того же руководства деньгу выбивать на свежие версии или что-то бесплатное, но свежее ставить.
Пока они зашевелятся, "либо осёл помрёт, либо падишах, либо я помру"...
Я не знаю, за что мне платят деньги. Но я удивляюсь, почему так мало?..
Аватара пользователя
Atom
Концептуальный
Сообщения: 1873
Зарегистрирован: 09 июн 2006, 21:39
Откуда: местный
Контактная информация:

Сообщение Atom »

Полезная информационная статья: «Буткит: вызов 2008».

Вот небольшая цитатка из статьи:
После того как эксплойт для конкретного посетителя сформирован, он при помощи уязвимого приложения начинает исполняться на машине жертвы. В ходе его работы на компьютер загружается троянская программа-дроппер, сформированная сервером с использованием уникального ключа сервера и идентификатора пользователя, который хранится в базе сервера.

Внешне все выглядит абсолютно безобидно и не вызывает подозрений: после того как эксплойт выполнился, сервер возвращает пользователю реальный адрес страницы, которую тот хотел посетить, нажав на подмененную ссылку. Жертва попадает на нужный ресурс, даже не заметив, что компьютер уже побывал на другом сервере и заразился.
А вот ещё (оттуда же):
Пример зараженного MBR:

Изображение

Если все эти действия в системе успешно выполнились, дроппер дает компьютеру команду на перезагрузку. Именно эти внезапные перезагрузки системы при работе в интернете и вызывали подозрения у пользователей. Об этом они писали на форумах, пытаясь разобраться в происходящем.

Схема заражения пользователя:

Посещение ссылки
● Анализ компьютера посетителя
● Выбор уязвимого приложения
● Генерация эксплоита
● Срабатывание эксплоита
● Перенаправление пользователя на запрошенный ресурс
● Генерирование дроппера
● Загрузка дроппера
● Установка буткита
Перезагрузка компьютера

После перезагрузки буткит перехватывает ряд системных функций и начинает полноценно работать в системе – скрывать свое присутствие и функционировать в качестве бота в составе зомби-сети.
Статья рекомендуется для ознакомления всем владельцам ПК, и в особенности - всем «домашним пользователям».
На каждую мышку найдётся своя кошка. : )
Аватара пользователя
Abdulla
Сообщения: 649
Зарегистрирован: 10 июн 2008, 18:52
Откуда: Роддом №1

Сообщение Abdulla »

Всем добрый вечер (Хабаре - доброе утро)!
Сегодня поставил KAV2009 (v.8.0.0.506), без кисы, нах не нужна. Обновил базы, настроил режим сканера на максимум (без исключений, всё файло), запустил проверку всех ЖД, ну и пошёл на кухню. Думаю, успею приготовить, пожрать, посуду перемыть пока проверять будет...
Сварганил еду, подхожу к компу - всё! Закончена проверка! Т.е. минут за 20 он пролетел 4 лог. диска с таким свистом!..
Товарищи, выше - не реклама, а как раз наоборот, появился повод задуматься: неужели новое ядро такое лихое или работает спустя рукава? Кто что думает по этому поводу (желательно без религии)?
Я не знаю, за что мне платят деньги. Но я удивляюсь, почему так мало?..
Аватара пользователя
Atom
Концептуальный
Сообщения: 1873
Зарегистрирован: 09 июн 2006, 21:39
Откуда: местный
Контактная информация:

Сообщение Atom »

Abdulla писал(а):Т.е. минут за 20 он пролетел 4 лог. диска с таким свистом!..
Да, есть такое дело. :wink:
Я тоже заметил прибавку в скорости ПОЛНОГО сканирования всех дисков на максимально-жёстких настройках (проверять все файлы, кроме того, - врубил всю эвристику на максимум - для обнаружения в системе "шпиёнов" - руткитов-невидимок), и точно также, как в примере выше, - проверка была завершена ранее ожидаемого срока (несколько троянчиков на дисках всё-таки обнаружились и были тут же нейтрализованы - с разрешения пользователя - меня, то есть.) Прирост в скорости по сравнению с точно такой же жёсткой проверкой но на 7-й версии (использую KIS, кстати, не KAV) составил где-то 20-30%, что само по себе - не так уж мало.
Как заверяют сами разработчики (читал где-то на офф. сайте программы, или на их форуме), в 8-й (2009-й) версии ядро программы (т. е. её основной программный код) было использовано не старое и доработанное от 7-й версии, а - полностью переработанное, практически, - написанное "с нуля". Т. е. тут можно говорить о кардинальном даже не обновлении, а фактически - о смене "движка" программы. Надо полагать, что отсюда - и такая высокая скорость проверки даже на самых суровых режимах сканирования системы.

З. Ы.
Предлагаю здесь не развивать далее тему, о которой идёт речь в этом и предыдущем постах (о работе антивирусных программ KAV/KIS 2009=8.0.x.xxx), ибо здесь это - офтоп, и при желании - переместиться в соседнюю с этой прилепленную ветку: Связка антивирус-файрвол, что вы используете, плюсы и минусы.
На каждую мышку найдётся своя кошка. : )
Аватара пользователя
Vose
Сообщения: 4347
Зарегистрирован: 12 июн 2006, 14:22
Откуда: Свердл. обл.

Сообщение Vose »

Atom писал(а):Полезная информационная статья: «Буткит: вызов 2008».
Спасибо за ценную инфу, сейчас, как раз принесли 2 винта с подобной фигнёй, надо чем-то бутсектор вычищать, а дискедитором ковырять не охота :(
Глупый пингвин робко прячет, умный - смело достаёт...
Аватара пользователя
Atom
Концептуальный
Сообщения: 1873
Зарегистрирован: 09 июн 2006, 21:39
Откуда: местный
Контактная информация:

Сообщение Atom »

Вирусная эпидемия в интернете (опасность - средняя, обнаружение: 13.01.2009 20:32): Net-Worm.Win32.Kido

Цитата с http://www.viruslist.com/ru/alerts?alertid=203698715 :
  • «Лаборатория Касперского» предупреждает о существенном росте числа заражений несколькими версиями полиморфного сетевого червя Kido.

    Net-Worm.Win32.Kido использует критическую уязвимость в Microsoft Windows (MS08-067) для распространения через локальные сети и съёмные носители информации.

    Червь отключает функцию System Restore, блокирует доступ к сайтам, посвящённым информационной безопасности, и скачивает на заражённые компьютеры дополнительные вредоносные программы.

    «Лаборатория Касперского» рекомендует пользователям убедиться в том, что их антивирус использует новейшие базы данных. Для устранения критической уязвимости компания Microsoft выпустила необходимые патчи для ОС Windows.

    Подробное описание Net-Worm.Win32.Kido.bt, включающее инструкции по удалению этой вредоносной программы, опубликовано на нашем сайте.
Примечание: подчёркнутые участки текста в цитате - ссылки, доступные по вышеуказанному адресу.
На каждую мышку найдётся своя кошка. : )
Аватара пользователя
Vose
Сообщения: 4347
Зарегистрирован: 12 июн 2006, 14:22
Откуда: Свердл. обл.

Сообщение Vose »

Atom писал(а):Вирусная эпидемия в интернете
Долго что-то с октября месяца вирусописатели "раскачивались". :D
MS ещё 23.10.08 эти "ворота в Европу" закрыло. :wink:
Просто многие не позаботились поставить KB958644.
Глупый пингвин робко прячет, умный - смело достаёт...
Аватара пользователя
Atom
Концептуальный
Сообщения: 1873
Зарегистрирован: 09 июн 2006, 21:39
Откуда: местный
Контактная информация:

Сообщение Atom »

Vose писал(а):Просто многие не позаботились поставить KB958644.
Да, похоже что так ... :wink:
При этом заразившиеся не просто "подцепили" этот вирус, не установив своевременно критически важный патч от Майкрософта, но при этом ещё на их компьютерах были установлены слабенькие, неэффективные антивирусные программы, либо антивирусов там вообще не было ... :000008:

Это как в пословице: "На ловца - и зверь бежит ..." :mrgreen: (здесь это следует понимать как: "ловец" - неопытный или беспечный пользователь ПК, "зверь" - хакер, вирус, или спам(ер) (нужное подчеркнуть) .. )
На каждую мышку найдётся своя кошка. : )
Аватара пользователя
Лидия
Сообщения: 33
Зарегистрирован: 06 ноя 2007, 13:35
Откуда: Москва

Сообщение Лидия »

Что делать? У меня значки на трее в Винде перестали реагировать на щелчки мышкой. Даже меню "ПУСК" можно открыть только с клавы, не говоря уже о календаре, значках активных уведомлений... Главный подозреваемый WIN32.Virut.56. Он заблокировал exe'шные файлы сразу нескольких программ на моем компе. Кто-нибудь сталкивался с таким?
Аватара пользователя
Vose
Сообщения: 4347
Зарегистрирован: 12 июн 2006, 14:22
Откуда: Свердл. обл.

Сообщение Vose »

Лидия писал(а):WIN32.Virut.56
"Свежак" однако - Cure-It юзайте с защищённого носителя.
Глупый пингвин робко прячет, умный - смело достаёт...
Аватара пользователя
Лидия
Сообщения: 33
Зарегистрирован: 06 ноя 2007, 13:35
Откуда: Москва

Сообщение Лидия »

Юзаю, в прошлый раз он мне помог от Авторана избавиться. В этот раз исцелил Вирут в экзешных файлах нескольких приложений. Теперь ничего не находит, а у меня трея не правильно работает, при щелчке по ней от ПУСКа и до активных уведомлений включительно раздается виндовский звук "недоступно" (в папке WINDOWS\Media он называется "динь"). Систему просканила следующими прогами: CureIt, Symantec Antivirus, Malwarebytes Anti-Malware, Spybot Search&Destroy - все со свежими базами. Каждая из них что-то "свое" находила и устраняла угрозы. Теперь вроде как все чисто. А проблема-то осталась. Обновила Windows Update'ом - тоже не помогло. Совсем уже отчаялась, думаю снести Винду и все по новой ставить. :cry:
Аватара пользователя
sametz
Сообщения: 137
Зарегистрирован: 04 май 2007, 18:33
Откуда: Украина

Сообщение sametz »

Лидия писал(а):Теперь ничего не находит, а у меня трея не правильно работает, при щелчке по ней от ПУСКа и до активных уведомлений включительно раздается виндовский звук "недоступно"
похоже вирусняк заблокировал панель задач или ее контекстное меню, причем сделал это возможно через групповые политики
варианты решений:
1 - Пуск-выполнить (или Win+R на клавиатуре) - gpedit.msc, и ковырять там в административных шаблонах.
2 - создать и применить REG файл со следующим содержимым:
REGEDIT4

;Заблокировать Панель задач
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explоrer]

;Запретить контекстное меню панели задач
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoTrayContextMenu"=-


3 - оч рекомендую для выковыривания блох вроде этого, а заодно и легкого тюнинга системы типа запрета автозапуска и прочих дыр -твикер NeoUtilites
http://www.neoutils.ru/modules/downloads/ (не реклама:))
Ответить