Printable View
Здравствуйте. Такая вот проблема. В офисе 6 компов, на 2х из них(пока мне известных) не обновляется nod32 4 версии(( на одном из них стоит клиент-банк, он тоже не работает, обмен с банком идет по 110 порту,как выяснилось,он заблокирован похоже,погуглив нашел похожую ситуацию, было выявлено вроде как зловредствовал всем известный Kido. Высылаю логи согласно правилам.
Если подозревается кидо, можно поступить так:
[QUOTE]Краткое описание семейства Net-Worm.Win32.Kido. (По ESETу Win32/Conficker)
Способы удаления
Удаление сетевого червя производится с помощью [URL="www.drpbk.dp.ua/cure/mf/kk_v3.4.7.zip"]специальной утилиты KK.exe[/URL].
Локальное удаление:
1. Скачайте архив [URL="www.drpbk.dp.ua/cure/mf/kk_v3.4.7.zip"]KK_v3.4.7.zip[/URL] и распакуйте его в отдельную папку на зараженной машине.
2. Запустите файл KK.exe .
Замечание
По окончании сканирования на компьютере возможно присутствие активного окна командной строки, ожидающего нажатия любой клавиши для закрытия. Для автоматического закрытия окна рекомендуем запускать утилиту KK.exe с ключом -y.
3. Дождитесь окончания сканирования.
ВниманиеЕсли на компьютере, на котором запускается утилита KK.exe , установлен Agnitum Outpost Firewall, то по окончании работы утилиты обязательно перезагрузите компьютер.
4. Выполните сканирование всего компьютера с помощью вашего Антивируса.
Внимание! С целью предохранения от заражения на всех рабочих станциях и серверах сети необходимо провести следующий комплекс мер:
* Установить патчи, закрывающие уязвимости [URL="http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx"]MS08-067[/URL], [URL="http://www.microsoft.com/technet/security/Bulletin/MS08-068.mspx"]MS08-068[/URL], [URL="http://www.microsoft.com/technet/security/Bulletin/MS09-001.mspx"]MS09-001[/URL] (на данных страницах вам необходимо выбрать операционную систему, которая установлена на зараженном компьютере, скачать нужный патч и установить его).
* Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому - пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр. Либо сменить ранее установленный пароль локального администратора.
* Отключить автозапуск исполняемых файлов со съемных носителей, запустив утилиту KK.exe с ключом -a.
* Заблокировать доступ к TCP-портам: 445 и 139 с помощью сетевого экрана.[/QUOTE]
После чего сделать логи [URL="http://www.drpbk.dp.ua/cure/mf/game.pif"]этой версией AVZ[/URL]
просканировав с утилитой KK.exe ничего не найдено было, может быть это и не Kido это было просто мое предположение.
выкладываю логи,как вы сказали
А выход в и-нет идет через эту машину?
Если через другую - надо смотреть ее фаервол (не блокирует ли он активность на 110 порт)
[QUOTE=Kuzz;427229]А выход в и-нет идет через эту машину?
Если через другую - надо смотреть ее фаервол (не блокирует ли он активность на 110 порт)[/QUOTE]
через другую, там стоит traffic inspector, в настройках все норм, проверял.