Блокируеться Symantec Antivirus Client 10.1.0.394

Printable View

27.04.2007, 15:36
gnazar

Вложений: 3

Блокируеться Symantec Antivirus Client 10.1.0.394

Приветствую всех.

Возникла такая ситуация.
На сервере стоит Symantec AntiVirus Corporate Edt. 10.1.0.394, стоит Symantec System Server.
Есть пользовательские машины. Недавно начала возникать ситуация, когда на пользовательских машинах перестает запускаться Symantec AntiVirus (но не на всех, а где-то чуть больше половины) у пользователя в логах присутствуют ошибки:

[SIZE=1] Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7024
Дата: 27.04.2007
Время: 9:32:35
Пользователь: Н/Д
Компьютер: ADMIN
Описание:
Служба "Symantec SPBBCSvc" завершена из-за внутренней ошибки 4294967295 (0xFFFFFFFF).

Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7024
Дата: 27.04.2007
Время: 9:32:35
Пользователь: Н/Д
Компьютер: ADMIN
Описание:
Служба "Symantec Settings Manager" завершена из-за внутренней ошибки 4294967295 (0xFFFFFFFF). [/SIZE]

Эти ошибки появляются при каждой загрузке + выскакивает окно симантека с сообщением "Автоматическая защита отключена".
При попытке запуска этих служб вручную система выдает ошибку.
После переустановки антивируса клиент прекрасно работает, но сразу после второй перезагрузки возникает таже ситуация.

Есть подозрение, что блокирует работу антивируса какой-то зловред, но найти его я не могу на сайте Симантека нашел пару схожих троянов по симптомам, но оказалось это не они.

Провел проверку Symantec Antivirus и Dr.Web ничего не нашли.
Логи работы AVZ и HijackThis прилагаются.

Может у кого-то возникнут по этому поводу какие-то мысли? Я просто в отчаянии и не могу найти более разумного объяснения данной ситуации...
27.04.2007, 15:43
PavelA

Больно старый у Вас Симантек. Актуальный 10.1.4.4000 или даже следующий. У меня с 359 сборкой тоже отказывался проверять диски.

У этого Симантека обновляются только базы, а ядро надо полностью на клиенте менять. Через обновление он не апгрейдится.

Кстати, логи с клиента, или с сервера?
27.04.2007, 15:48
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\KERNEL1.EXE','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.
27.04.2007, 16:49
gnazar

Закачал.
Название файла - 070427_163908_virus_4631eeec1d5c2.zip
27.04.2007, 16:55
PavelA

Предупреждаю: там файлик на 4Мб. Хорошенький ехешник попался.
27.04.2007, 16:57
Rene-gad

[QUOTE=PavelA;106410]Предупреждаю: там файлик на 4Мб. Хорошенький ехешник попался.[/QUOTE]
Чтоб в таком компоте вирус плавал? Сомневаюсь я, однако...
27.04.2007, 17:03
PavelA

Это весь получившийся карантин от первых логов + добавка.
27.04.2007, 17:17
Rene-gad

Ничего не обнаружено:
[CODE]Complete scanning result of "bcqr00001.dat", received in VirusTotal at 04.27.2007, 15:01:05 (CET).

Antivirus Version Update Result
AhnLab-V3 2007.4.26.0 04.27.2007 no virus found
AntiVir 7.4.0.15 04.27.2007 no virus found
Authentium 4.93.8 04.26.2007 no virus found
Avast 4.7.981.0 04.26.2007 no virus found
AVG 7.5.0.464 04.26.2007 no virus found
BitDefender 7.2 04.27.2007 no virus found
CAT-QuickHeal 9.00 04.26.2007 no virus found
ClamAV devel-20070416 04.27.2007 no virus found
DrWeb 4.33 04.27.2007 no virus found
eSafe 7.0.15.0 04.27.2007 no virus found
eTrust-Vet 30.7.3599 04.27.2007 no virus found
Ewido 4.0 04.27.2007 no virus found
FileAdvisor 1 04.27.2007 no virus found
Fortinet 2.85.0.0 04.27.2007 no virus found
F-Prot 4.3.2.48 04.26.2007 no virus found
F-Secure 6.70.13030.0 04.27.2007 no virus found
Ikarus T3.1.1.5 04.27.2007 no virus found
Kaspersky 4.0.2.24 04.27.2007 no virus found
McAfee 5018 04.26.2007 no virus found
Microsoft 1.2405 04.27.2007 no virus found
NOD32v2 2223 04.27.2007 no virus found
Norman 5.80.02 04.26.2007 no virus found
Panda 9.0.0.4 04.27.2007 no virus found
Prevx1 V2 04.27.2007 no virus found
Sophos 4.16.0 04.23.2007 no virus found
Sunbelt 2.2.907.0 04.19.2007 no virus found
Symantec 10 04.27.2007 no virus found
TheHacker 6.1.6.095 04.15.2007 no virus found
VBA32 3.11.4 04.27.2007 no virus found
VirusBuster 4.3.7:9 04.26.2007 no virus found
Webwasher-Gateway 6.0.1 04.27.2007 no virus found

Aditional Information
File size: 1273205 bytes
MD5: 1e1780382849c686c7a8cd2c19acc595
SHA1: a5fa67d4a2c6d820cdd942b65105b44206dc2aa8[/CODE]
27.04.2007, 17:19
gnazar

Спасибо, хоть буду знать что не в этом проблема, но мысли с чем еще это может быть вызвано уже не осталось.
27.04.2007, 17:26
Bratez

Наверно используете bootscreen от StyleXP? Тогда kernel1.exe - это он.
Хотя видел страничку, где говорится, что это какой-то Trojan [B]Death[/B]! :)
27.04.2007, 17:27
Rene-gad

[QUOTE=gnazar;106421]Спасибо, хоть буду знать что не в этом проблема, но мысли с чем еще это может быть вызвано уже не осталось.[/QUOTE]
Я понимаю, что это не решение проблемы, но на будущее - не продляйте лицензию Симантек, подыщите себе что-нибудь получше.;)
27.04.2007, 17:42
PavelA

Я бы посоветовал обновить у какого-нибудь клиента Симантека до последней сборки ядра. Смотришь, ситуация бы и улучшилась.
27.04.2007, 17:47
Bratez

Кстати! В логе syscure есть вот что:
[QUOTE]Microsoft Office Visio 2003 Professional\M4561403.CAB MailBomb detected ![/QUOTE]
Честно сказать, впервые вижу. Что бы это значило?

Поищите файл M4561403.CAB. Найдется - пришлите по правилам.
27.04.2007, 17:53
Rene-gad

[QUOTE=Bratez;106439]Честно сказать, впервые вижу. Что бы это значило?[/QUOTE]
AFAIK это архив с тулзой для активации Microsoft Office Visio 2003 Professional. Поскольку эта программа может соединяться с Инетом, а встечается Visio 2003 Professional нечасто, эвристика АВЗ определяет в ней зловреда. У меня была похожая история с тулзой для скриншотов - АВЗ эвристически определял в ней keylogger.
28.04.2007, 09:36
NickGolovko

[quote=Bratez;106439]Кстати! В логе syscure есть вот что:

Честно сказать, впервые вижу. Что бы это значило?

Поищите файл M4561403.CAB. Найдется - пришлите по правилам.[/quote]

По-моему, почтовой бомбой считается очень большой файл, который очень сильно упакован.
28.04.2007, 13:21
Ego1st

[QUOTE]По-моему, почтовой бомбой считается очень большой файл, который очень сильно упакован.[/QUOTE]
считаеться просто большой файл, без разницы как он упакован..
28.04.2007, 14:40
Bratez

[QUOTE]почтовой бомбой считается очень большой файл[/QUOTE]
Ну если он действительно большой, тогда присылать не надо :)
22.02.2009, 01:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]