Можно ли доверять компьютеру после лечения?

Слышал такое мнение, что: Если комп заразился - доверять ему больше нельзя. Скомпрометирован.

Я это понимаю так. Если я запустил приложение злоумышленника от имени администратора, вирус например, то только переустановка Windows вернет доверие к системе. Вирус в системе чтото наизменял, модифицировал и это одному ему только известно. Обезвредить и удалить его можно, но можно ли нейтрализовать все последствия его жизнедеятельности? Можно ли вернуть систему в состояние - до заражения? Я считаю, что нет, а это значит что доверять системе больше нельзя.

Получается, что после лечения, надо сохранять данные и переустанавливать ОС? При условии, что не делался полный бэкап системы.

[QUOTE=WindowsXP;399750]Слышал такое мнение, что: Если комп заразился - доверять ему больше нельзя. Скомпрометирован. ....Получается, что после лечения, надо сохранять данные и переустанавливать ОС? [/QUOTE]Чтобы спать спокойно - ДА
[url]http://technet.microsoft.com/en-us/library/cc722487.aspx[/url]
[url]http://technet.microsoft.com/en-us/library/cc512587.aspx[/url]

На русском:
[url]http://technet.microsoft.com/ru-ru/library/cc722487.aspx[/url]

[QUOTE]
The only way to clean a compromised system is to flatten and rebuild. [/QUOTE]

[QUOTE=WindowsXP;399750]Можно ли вернуть систему в состояние - до заражения?[/QUOTE]Встроенное в Windows XP функция [i]System Restore[/i] как раз и может вернуть систему в состояние - до заражения. Конечно, восстановит удаленные (испорченные) документы пользователей [i]System Restore[/i] не сможет, но вернуть систему в целом, на положении до заражения, он может очень даже хорошо (главное – знать примерное время заражение). Но по каким та неизвестным причинам, [i]System Restore[/i] не стал одним из главных средств для борьбы с вирусами. Может быть потому, что использовать[i]System Restore[/i] это слишком просто и не требует почти никаких компьютерных знаний.

[QUOTE=Firza;399760]Встроенное в Windows XP функция [i]System Restore[/i] как раз и может вернуть систему в состояние - до заражения. [/QUOTE] ... при этом очень высока доля риска, что вместе с чистыми файлами восстановятся и патченные зловредами, т.к. установить точный момент заражения и какие именно системные файлы пострадали практически не представляется возможным . Поэтому мы при лечении настаиваем на отключении системного восстановления.

А почему лишь только формат, а как же про mbr забыли?
Если словили буткит какой-нибудь, формат он переживёт.

а если например нортон гост применить
загрузочную часть HDD ведь тоже будет из образа
[B]буткит это не переживет ?!![/B]

Не знаю про нортон гост, однако в акронисе сделали отдельную опцию реинкорнации mbr.
По моему, не спроста...

[QUOTE=drongo;399762]А почему лишь только формат, а как же про mbr забыли?
Если словили буткит какой-нибудь, формат он переживёт.[/QUOTE]
- в этом случае, самым верным будет Physical Sector & Absolute Sector руками обнулить... например, при помощи утилиты DiskEdit (из подборки Norton Utilites, была когда-то такая)

Доверять компьютеру что?
- Леталки и стрелялки?
- Печать фоток с тусовок?
- Серфиниг и переписку в ICQ и соц. сетях?
Или же интернет-банкинг счета корпорации?
В последнем случае я бы ставил вопрос иначе. Стоит ли доверять этот компьютер пользователю, допустившему заражение.

[QUOTE][B]Можно ли доверять компьютеру после лечения?[/B][/QUOTE]Компьютеру - да!!!:D А юзеру - это еще вопрос!:mda:

[QUOTE=WindowsXP;399750]то только переустановка Windows вернет доверие к системе. [/QUOTE]

Можно и доверять :) Но я люблю бекапы фалов и все важное сразу сливаю на DVD, флешки или храню он-лайн. Так что, что бы спать спокойно всегда просто переустанавливаю систему :) работы на час :)

[QUOTE=AndreyKa;400111]Доверять компьютеру что?
- Леталки и стрелялки?
- Печать фоток с тусовок?
- Серфиниг и переписку в ICQ и соц. сетях?
Или же интернет-банкинг счета корпорации?
В последнем случае я бы ставил вопрос иначе. Стоит ли доверять этот компьютер пользователю, допустившему заражение.[/QUOTE]- ну, разумеется, игровой компьютер вполне достаточно будет просто пролечить и дальше вдохновенно пулять в стрелялках и летать в леталках, а в перерывах печатать фотки с тусовок ;)
- ну, а с другой стороны, ведь и по другому следовало бы спросить...
- какой компьютер считать более скомпрометированным, тот на который вломился через незакрытые дыры коряво написанный и от того глючный и лихорадящий всю систему, а уже как следствие, обнаруженный пользователем зловред?
- или же ту, серьёзную клиентскую машину, предназначенную исключительно для интернет-банкинга, на которою был максимально корректно установлен, профессионально написанный, и потому тихо, абсолютно незаметно для пользователя, выполняющий свою, а [B]возможно[/B] по-совместительству ещё и шпионскую, работу софт?..
- скажете, тупиковый вопрос... но ответ на него очевиден, - [B]наименее[/B] скомпрометированной машиной можно считать только ту, на которой нет ничего кроме чистой ОС... [B]наименее[/B], потому что деятельность некоторых модулей самой ОС далеко не так уж безобидна, если она от M$, то там хоть известно кто за нами шпионит, чего не скажешь о прочих ;) 8)

У меня осталось ещё пара вопросов.

Допустим мне стало известно, что комп заражен. Что это за зараза - я незнаю. Насколько она заразна, на что способна, какие масштабы заражения - мне не известно. Если я переустановлю ОС - я верну доверие к системе, но данные ведь тоже могут быть заражены. Антивирус мне может и не помочь, вдруг зараза ему не известна. Получается что и данные надо удалять? Как быть с данными?

[QUOTE=WindowsXP;400680]У меня осталось ещё пара вопросов.

Допустим мне стало известно, что комп заражен. Что это за зараза - я незнаю. Насколько она заразна, на что способна, какие масштабы заражения - мне не известно. Если я переустановлю ОС - я верну доверие к системе, но данные ведь тоже могут быть заражены. Антивирус мне может и не помочь, вдруг зараза ему не известна. Получается что и данные надо удалять? Как быть с данными?[/QUOTE]
Вопрос не однозначный. Какие данные? Пароли, коды или научные разработки "под грифом особо секретно"?
Кстати есть такие трояны которые в системе не остаются, после передачи информации они просто самоуничтожаются ;)

Есть вариант: послать один из файлов с данными в антивирусную лабораторию чтобы добавили детект и сделали лечилку, если это возможно.

У меня тоже вопрос. в Windows XP есть штатная функция с применением дискеты для аварийного восстановления на случай сбоев. Можно ли делать бэкап для аварийного восстановления на случай борьбы с вирусами?

Мне кажется, переустановка системы не обязательна. Как правило, активные шпионские модули видно по логам HijackThis и AVZ, они очень часто прописываются в типовые места, такие как разделы реестра winlogon или run. Конечно, вирус может пропатчить системные файлы (например, iexplore.exe/explorer.exe/winlogon.exe/user32.dll/basesrv.dll и т.д.), но и это можно узнать. Хотя если данные действительно ценны и секретны, то, возможно, стоит переустановить систему.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE]You can’t clean a compromised system by removing the back doors. You can never guarantee that you found all the back doors the attacker put in. The fact that you can’t find any more may only mean you don’t know where to look, or that the system is so compromised that what you are seeing is not actually what is there.[/QUOTE]
Опять же. Для несекретных данных можно этим не озадачиваться.

Можно ли доверять компьютеру после заражения? То что не страшно потерять - можно доверять.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE=vladovs;402184]У меня тоже вопрос. в Windows XP есть штатная функция с применением дискеты для аварийного восстановления на случай сбоев. Можно ли делать бэкап для аварийного восстановления на случай борьбы с вирусами?[/QUOTE]

Бэкап нужно делать всегда.

Мне кажется, вопрос не совсем корректен. Сам термин "вылечен" предполагает, что зловред убит, последствия устранены и система во всех своих функциях работает, как и раньше. Поэтому "вылеченный комп" и означает - комп, которому можно и нужно доверять.
Вопрос следует ставить иначе - можем ли мы быть уверенными, что в данном конкретном случае вылечились на 100%?

И ответ на него известен заранее...