Надо как минимум MS08-67, MS08-68, MS09-01. Плюс сильные пароли администраторов - или отключить административные шары системных дисков.
Надо как минимум MS08-67, MS08-68, MS09-01. Плюс сильные пароли администраторов - или отключить административные шары системных дисков.
[B][url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=eeafcdc5-df39-4b29-b6f1-7d32b64761e1[/url][/B]
Обратите Ваше внимание на бюлетен безопасности MS09-001 от 9 января 2009
[QUOTE=МИ_ХАСЬ;334615]а вы уважаемый на инфицырованной машине в режиме командной строки выполните команду netstat -a, посмотрите листинг а потом посмотрите что вы в посте написали, может ваше мнение несколько изменится.:wink_3:
[/QUOTE]
и как прикажете отслеживать это [B]обычному[/B] антивирусу? я в курсе про http сервер. и что дальше, мысль изложите свою до конца, а не загадками плиз. что конкретно нужно сделать по вашему ав? может есть дельная мысль и мы ее реализуем в докторе.
[QUOTE]Рекомендую обазательно проверять папку System Volume Information (если не отключено "Восстановление системы"), в ней как показывает практика лежит екземплярчик зловреда, который система успела забекапить. Проблема в том, что по умолчанию сия папочка имеет разрешения на доступ лишь от System. Надо добавить разрешение полного доступа от текушей учетки, после чего проверить папку антивирусом и прибить паршивца.[/QUOTE]
сканер, курит спокойно проверяет эту папку и без этих финтов, получив доступ через антируткит.
[quote=devon;334844]и как прикажете отслеживать это [B]обычному[/B] антивирусу? я в курсе про http сервер. и что дальше, мысль изложите свою до конца, а не загадками плиз. что конкретно нужно сделать по вашему ав? может есть дельная мысль и мы ее реализуем в докторе.[/quote]
Спасибо что спросили, ну хотя бы добавьте в лог,который пишет антивирус адрес , с которого атака идет. Не знаю есть ли эта возможность в каких нить версиях (в версии 4.44 не нашел), кроме того было бы удобно если бы это все можно было отсылать к примеру net send командой администратору., заодно и лог в системном журнале :xmas: у админа.
[quote=сканер, курит спокойно проверяет эту папку и без этих финтов, получив доступ через антируткит.[/quote]
не согласен, хотя может я чего не так с настройками накрутил, подскажите пожалуйста что поправить. Заранее благодарю.
[QUOTE=МИ_ХАСЬ;335145]Спасибо что спросили, ну хотя бы добавьте в лог,который пишет антивирус адрес , с которого атака идет.
[/QUOTE]
Я не зря выделил фразу. Я вам еще раз повторю, это может отследить файервол, ids , а не файловый антивирус. фаервол у нас в разработке сейчас. пока совместно с доктором нужно обязательно ставить фаервол, т.к. они дополняют друг друга, и каждый выполняет свою задачу.
[QUOTE]Не знаю есть ли эта возможность в каких нить версиях (в версии 4.44 не нашел), кроме того было бы удобно если бы это все можно было отсылать к примеру net send командой администратору., заодно и лог в системном журнале :xmas: у админа.
[/QUOTE]
Все действия которые произвел файловый монитор над файлами можно отсылать как по сети так и на почту. а через шлюз и на смс. :)
[QUOTE]
не согласен, хотя может я чего не так с настройками накрутил, подскажите пожалуйста что поправить. Заранее благодарю.[/QUOTE]
смотрите чтобы в логе сканера писалось сразу за шапкой: DwShield started.
если такой строки нет, значит антируткит не работает, лучше обратится в тех. поддержку. либо тут в разделе помогите проверится ;)
у меня была модификация Net-Worm.Win32.Kido.em.
Признаки, которые я заметил:
1) На флешке в папке \RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665 был файл вируса jwgkvsq.vmx, размером 161612 байт.
2) Появился файл autorun.inf в корне флешки.
3) Перестал осуществляться доступ к антивирусным сайтам, а также к антивирусным базам.
Удалял так:
1) Сначала через диспетчер задач завершил работу процесса svchost.exe, который занимал больше всех оперативной памяти.
2) После этого нашел в папке Windows/system32 копию вируса, под именем yvdwjkui.dll, тоже размером 161612 байт. Изначально этот файл не детектился Касперским, но после завершения процесса svchost.exe - сразу обнаружился.
3) Также копия вируса была обнаружена в папке [B]C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\MARASPFL\ [/B]
под именем [B]uwwssi[1].bmp[/B]
4) После удаления этих файлов были установлены 3 критических обновления: MS08-67, MS08-68, MS09-01.
5) С флешки были удалены файлы jwgkvsq.vmx и autorun.inf
1) Данный вирус запускается оригинальным SVCHOST.EXE с параметром заражённой библиотеки (random_name).dll, лежащей в SYSTEM32 (атрибут билиотеки установлен в "скрытый" или "ситемный"). Необходимо проверить права доступа для этой библиотеки. Как правило, кроме системы, никому доступ не разрешён. После переустановки прав (напр., Администраторы=полный доступ), можно убить его UNLOCKERом ([url]http://ccollomb.free.fr/unlocker/[/url]).
2) В реестре всё-же запись есть. Необходимо искать абсолютно пустой (без параметров и подключей) ключ в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services (например HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dpiixcu), и также переустановить права доступа для ветки. Тогда (после обновления содержимого по F5) появится вся инфа, в т.ч. в подветке PARAMETERS ключ ServiceDll с именем и путём к вирусной библиотеке.
3) В файловом менеджере (не ПРОВОДНИК !!!) необходимо также проверить подпапки в "Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5" (либо Default User), где вирус под видом кешированных фалов прячет свои копии.
[QUOTE=NickGolovko;332441]VirusInfo советует пользователям, пострадавшим от Net-Worm.Win32.Kido, установить срочное обновление операционной системы Windows, исправляющее уязвимость в службе Сервер (Server), и пройти бесплатное лечение на ресурсе.[/QUOTE]Сочуствую сетевым админестраторам. Админестрировать свой домашний ПК помойму гораздо легче и без большого объема специальных знаний и навыкав.
Скажите пожалусто
есле юзер уже правильно выполнил заблаговременно ваши рекомендации по отключению уязвимых сервисов в своей ОС и по отключению автозапуска со сменных носителей, да еще и в учетной записи юзера сидит при активном UAC, то он не подвержен опасности быть инфицированным этими червями и без всяких патчей и вне зависимости от того какие антивирус с фаерволом у него установлены? Есле конечно он сам не накосячит =)
Здравствуйте! У нас в локалке было сразу 2 модификации этого вируса. Больше всего попортила нервы Net-Worm.Win32.Kido.ih. После обновления баз НОДа32 и Аваста все части вируса, кроме находящейся в папке system32 были вычищены в автоматическом режиме, а этот файл они не находили с базами от 10 января.
Числа 13 решил поставить Eset Smart Security (просто посмотреть, что это такое). Во время установки был обнаружен вирус [I] [COLOR="Magenta"]13.01.2009 4:07:07 Модуль сканирования файлов, исполняемых при запуске системы файл C:\WINDOWS\system32\hwapfqbj.dll Win32/Conficker червь очищен удалением (после следующего перезапуска)[/COLOR] [/I] После перезагрузки данный файл никуда не делся. А в ходе последующих проверок отображолся синим цветом (как файл, доступ к которому заблокирован). Из безопасного режима тоже не удалялся. Самое непонятное для меня то, что я не смог его удалить и при загрузке с компакт диска. Файл вообще никак не открывался, его невозможно было ни просмотреть, ни удалить, ни скопировать.
При сканировании AVZ и антивирусной утилитой от касперского тоже ничего не находилось. AVZ даже не находил такую .dll. В реестре по названию файла также ничего не нашёл. То есть, он не оставлял в системе почти никаких следов. Воспользовавшись Process Explorer от Марка Русиновича определил, что эта dll внедрена в svchost.exe - хоть что-то! Процесс svchost.exe именно с этим ID давал неслабую нагрузку на систему. (что после удаления вируса устранилось).
Удалил его при помощи AVZ, а именно следующим скриптом.
[QUOTE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\hwapfqbj.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/QUOTE]
Остальные компьютеры лечил так:
1. Скачивал и ставил заплатки.
2. Проиводил полныю проверку НОДом, или Eset Smart Security.
3. В логах НОДа (ESS) находил заблокированные файлы в папке system32ю(обычно был один файл [I]*.dll[/I] - и это и был тот самый вирус.)
4. На всякий случай, проверял атрибуты файла и возможность их изменить.
5. После этого запускал приведённый выше скрипт (изменив имя файла, конечно) в AVZ.
P.S.: До запуска AVZ полую проверку антивирусом приходилось делать почти всегда, т.к. без этого либо не устанавливался "драйвер расширенного мониторинга процессов", либо не запускался режим "AVZ Guard".
Господа! А заплатка MS09-01 эффективна?
от повторного заражения нам помогло отключение общего ресурса ADMIN$. Ресурс IPC$ не отключали.
Толку от MS09-001 нет! Проверено! Реально помогают только отключение шар ADMIN$.
[QUOTE=Незарегистрированный;335980]Толку от MS09-001 нет! Проверено! Реально помогают только отключение шар ADMIN$.[/QUOTE]
MS09-001 устраняет дыру в самой системе. А наличие шары ADMIN$ - дыра в настройке системы, как и наличие учётной записи администратора с пустым или примитивным паролем.
P.S.: на мой компьютер попытки проникновения червя из сети прекратились. Но ручаться за этот апдейт не могу. Шара ADMIN$ отключена давно, как и учётная запись админа. Также расшаренные папки открыты только на чтение.
[QUOTE=Doc18;335983]MS09-001 устраняет дыру в самой системе. А наличие шары ADMIN$ - дыра в настройке системы, как и наличие учётной записи администратора с пустым или примитивным паролем.
P.S.: на мой компьютер попытки проникновения червя из сети прекратились. Но ручаться за этот апдейт не могу. Шара ADMIN$ отключена давно, как и учётная запись админа. Также расшаренные папки открыты только на чтение.[/QUOTE]
Господа, подскажите как можно в AD политикой безопасности одним махом отключить у пользователей в домене шару ADMIN$. Заранее благодарности!
[QUOTE=Незарегистрированный;335990]Господа, подскажите как можно в AD политикой безопасности одним махом отключить у пользователей в домене шару ADMIN$. Заранее благодарности![/QUOTE]
я скриптом создал вот это: В ветке HKLM\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters создать параметр AutoShareWks тип DWORD, значение 0. Перезагрузить комп. и в Logon засунул, будем надеятся что катстрировал эту падлу )) во только в ручную чистить 600+ компов не очень
[size="1"][color="#666686"][B][I]Добавлено через 45 минут[/I][/B][/color][/size]
кстати, у меня касперыч арет на Kido.bt, а вут тот описание [url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782725[/url] везде пишут что он прописывает в реестре и нужно удалить пару ключей, ну нету у меня не наодном компьютере данного ключа в реестре :)
у нас в сети завелась модификация bx . Сразу на все тачки поставил апдейт от MS . Потом по списку все компы проверка на наличие патча, проверка DrWeb CureIt, он сделан на основе 5 версии и поэтому практически сразу или 2 второй день эпидемии у нас вирус начал удалять, после проверки всех компов по списку сетевые атаки прекратились, но на некоторых компах XP начал подглюкивать разшареный принтер (останавливалась служба диспетчер очереди печати). При лечении вирусов я вычислил само тело (dll) , обратил внимание что она хоть и все время случайное имя но установлены все атрибуты (скрытый, архивный и тд). за 2 часа состряпал скрипт проверяющий папку system32 на всех компах в сети по поиску таких dll . нашел еще 3 компа. вычистил вот жду результатов, что скажут сетевые принтеры...
на лечение сетки 200 компов ушло 6 рабочих дней (пока:)
[QUOTE=Незарегистрированный;335990]Господа, подскажите как можно в AD политикой безопасности одним махом отключить у пользователей в домене шару ADMIN$. Заранее благодарности![/QUOTE]Для этого в винде есть команда "net share". В таком виде она покажет все расшаренные ресурсы. Далее выбираем нужный ресурс и в командной строке (Пуск->Выполнить->cmd) вводим команду [B]net share {имя ресурса} /delet[/B]
таким образом для удаления ресурса ADMIN$ надо ввести команду [B]net share ADMIN$ /delet[/B].
есть другой вариант.
1. открываем блокнот
2. набиваем там команды для удаления всех лишних шар, в моём случае это [QUOTE]net share C$ /delet
net share J$ /delet
net share K$ /delet
net share L$ /delet
net share I$ /delet
net share Admin$ /delet
net share print$ /delet[/QUOTE]
3. сохраняем файл с расширением .bat
4. Двойным кликом запускаем его.
Таким образом, я отключил расшаривание дисков C, J, K, L, I, админку и расшаривание принтеров.
У меня сетка 600 компов из них зараженных 192 это судя по тому кто обновления KB958644 во время не поставили, но даже после установки обновления на зараженные компы вирус по ним таки ходит, вчера попробовал отрубить везде ADMIN$ пока вроде тихо, больше всего что меня настараживает все кто описания вируса писал, похожесть только в одном проподает звук(без патча), и повышается активность сетки, в реестре ни одного левого ключа найти не получилось
отключил ADMIN$ вчера вечером, до сегоднишнего утра не одной атаке обноружено не было!!!
Новая модификация вируса [B]Net-Worm.Win32.Kido.hf [/B], ниодин антивирус не находит основные файлы данного вируса.
[I](Очень злой неуловимый вирус который самомодифицируется и распространяется по всей сети вне зависимости от установленной версии Windows)[/I]
Начинать надо обязательно с домена и основных серверов, затем менее важные сервера, затем рабочие станции ИТ отдела, а лишь потом все остальные.
Порядок действий:
1) Ставим заплатки номер KB958644 от Майкрософта. (помогла, но не на всех компах, тупо перестала вылазить ошибка svchost.exe, поэтому лишней не будет).
2) Данный вирус запускается оригинальным SVCHOST.EXE с параметром заражённой библиотеки (random_name).dll, лежащей в SYSTEM32 (атрибут билиотеки установлен в "скрытый" или "ситемный"). Необходимо проверить права доступа для этой библиотеки. Как правило, кроме системы, никому доступ не разрешён. После переустановки прав
(напр., Администраторы=полный доступ), можно убить его UNLOCKERом ([url]http://ccollomb.free.fr/unlocker/[/url]).
Кстати Dr.Web CureIt! находит эти dll файлы (но на всякий случай лучше проверять еще и самому, удалять всё равно придется UNLOCKERом)
3) Проверка антивирусом Касперский (не ниже 6-й версии, т.к. 5-я уже не катит - проверено) добивает остатки вируса.
P.S.: И на последок, если вы сразу проверяли компьютер на вирусы и вирусов не нашлось, то это абсолютно не значит что на нём нету вирусов и даже скорее всего этот компьютер является разносчиком вируса (убедились в этом не раз). Первые признаки, постоянный вылет ошибки svchost.exe, ошибки может и не быть, но машина которая до этого всегда хорошо работала вдруг стала сильно тормозить и выбивать сеть без всяких причин – это вторая причина…
Все эти действия помогли наладить работу домена и предотвратить дальнейшее распространение данного вируса по серверам домена. Теперь остались рабочие машины с которых вирус на сервера теперь не пробьется. В данный момент занимаемся пользователями… т.к. 6-й Касперский уже не даст распространиться телу вируса на машины где он установлен. (до этого везде стоял 5-й каспер).
[size="1"][color="#666686"][B][I]Добавлено через 40 минут[/I][/B][/color][/size]
Ах да, еще на Windows XP бывает запущено в процессах много rundll32.exe, что является ненормальным, это явное проявление вируса Kido, а копия вируса на этих машинах была обнаружена 5-м каспером в \Window\sistem32
Наверняка для кого-то эта новость давно устарела, но может быть кому-то и поможет.
Microsoft выпустил обновление для своего [url=http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=ru&SrcCategoryId=&SrcFamilyId=ad724ae0-e72d-4f54-9ab3-75b8eb148356&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2f4%2fA%2fA%2f4AA524C6-239D-47FF-860B-5B397199CBF8%2fwindows-kb890830-v2.6.exe]MRT[/url] (Malicious Software Removal Tool), которое видит и лечит kido (по крайней мере ту версию, которая гуляет у нас - fw).
Плюс на сайте Microsoft выложено подробное (хотя и не полное) [url=http://support.microsoft.com/kb/962007/en-us]описание[/url], с детальным алгоритмом ручного удаления.