EXE, DOC, RAR файлы стали размером 0 байт

На сетевой шаре файлы с расширением EXE, DOC, RAR (может еще какие - пока не обнаружил) стали размером 0 байт.
Яндекс ничего внятного не дал, поиск по форуму тоже.

Если кто-нибудь слышал о такой беде, подскажите название "беды" и как ее лечить.

с уважением, goodwin

Попробовать переименовать avz.exe в avz.cmd и сделать логи.
Тоже самое сделать с hijackthis.

ок, понял.

просканирую avz и hijackthis. логи выложу сюда.

---[ATTACH]11733[/ATTACH]

[B][COLOR="Red"]А остальные логи по правилам?[/COLOR][/B]

avz еще не досканировался.

есть предположение, что сканирование компа, на котором этот ресурс расшарен ничего не даст...
причем у этих нулевых файлов последнее время модификации от 11-23 до 12-02 сегодня.

Как обнаружить проблему в большой сети?

[QUOTE]avz еще не досканировался.[/QUOTE]
Хм, вообще-то полагается по порядку делать, т.е. лог HijackThis должен быть сделан последним.

Хорошо, тогда все по регламенту. вот файлы логов.
Сам я в них ничего не нашел опасного. Может не так смотрю...

все-таки думается, что не этот компьютер нагадил так, хоть шара и его.
Доступ имели к этой шаре многие компы... все нереально в короткие сроки просканировать :?

[QUOTE]Хорошо, тогда все по регламенту. вот файлы логов.[/QUOTE]
Сэр, вы правила по диагонали читали?
О создании необходимых логов AVZ см. п.8 и далее.

Зверь уже виден, если это не Server 2003.
C:\Documents and Settings\golovin_ea\WINDOWS\system32\smss.exe
Логи нужны для кооректного его удаления.

[QUOTE=xgoodwin;115544]есть предположение, что сканирование компа, на котором этот ресурс расшарен ничего не даст...[/QUOTE]
Скорее всего.

[QUOTE=xgoodwin;115544]Как обнаружить проблему в большой сети?[/QUOTE]
Доступ в эту сеть анонимный или авторизованный? Можно попробовать выложить на расшаренный ресурс приманки и включить аудит обращения к ним. Необходимо, чтобы файловая система была NTFS, насколько я в этом понимаю. Может, Filemon какую-то наводку даст. Есть ещё журнал безопасности, куда, по идее может писаться информация о доступе к машине из сети. Правда, по умолчанию в него ничего не пишется :(

[QUOTE=PavelA;115588]Зверь уже виден, если это не Server 2003.
C:\Documents and Settings\golovin_ea\WINDOWS\system32\smss.exe
Логи нужны для кооректного его удаления.[/QUOTE]
Windows 2000 SP4
Только в логе AVZ ещё серия похожих путей. И обратите внимание - WINDOWS, а не WINNT, где система на самом деле стоит.
Это терминальный сервер?

спасибо, pig, за подробный ответ.

[QUOTE=pig;115589]Скорее всего.


Доступ в эту сеть анонимный или авторизованный? Можно попробовать выложить на расшаренный ресурс приманки и включить аудит обращения к ним. Необходимо, чтобы файловая система была NTFS, насколько я в этом понимаю. Может, Filemon какую-то наводку даст. Есть ещё журнал безопасности, куда, по идее может писаться информация о доступе к машине из сети. Правда, по умолчанию в него ничего не пишется :(


Windows 2000 SP4
Только в логе AVZ ещё серия похожих путей. И обратите внимание - WINDOWS, а не WINNT, где система на самом деле стоит.
Это терминальный сервер?[/QUOTE]

Ловлю на живца уже начали, восстановили exe-файлы из бэкапов, правда неизвестно какой давности.
сканирование avz пока не закончилось...

к тому же, эта машина файл-сервер и терминальный сервер.

вот логи avz и HijackThis

есть какие нибудь варианты?

Давайте попробуем такой скрипт:
[code]
begin
BC_QrFile('C:\Documents and Settings\golovin_ea\WINDOWS\System32\updcrl.exe');
BC_QrFile('C:\Documents and Settings\golovin_ea\WINDOWS\System32\ie4uinit.exe');
BC_QrFile('C:\Documents and Settings\golovin_ea\WINDOWS\system32\smss.exe');
BC_QrFile('c:\winnt\temp\aeff5b.exe');
BC_QrFile('c:\winnt\System32\updcrl.exe');
BC_QrFile('c:\winnt\System32\ie4uinit.exe');
BC_QrFile('c:\winnt\system32\smss.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
Прикрепите к сообщению файл [B]boot_clr.log [/B]из папки с AVZ.

нашел описание вируса в инете, по дходящий к ситуации. 100% что это он пока нет.

W32/Holar.d@MM
[url]http://vil.nai.com/vil/content/v_100168.htm[/url]

[QUOTE=Bratez;115684]Давайте попробуем такой скрипт:

....

После перезагрузки пришлите карантин согласно приложению 3 правил.
Прикрепите к сообщению файл [B]boot_clr.log [/B]из папки с AVZ.[/QUOTE]

хм.. проблема в том, что это файл-сервер организации и ребутнуть его днем никак не получится.

[url]http://www.symantec.com/security_response/writeup.jsp?docid=2003-031911-0624-99&tabid=2[/url]
- от Симантека описание. кстати, пишется что Касперский его тоже знает. Нужно искать машину с похожими симптомами.

[QUOTE]проблема в том, что это файл-сервер организации и ребутнуть его днем никак не получится.[/QUOTE]
Можно сделать такой "финт ушами": уберите из скрипта строчку [B]RebootWindows(true);[/B] и выполните его, потом запланируйте перезагрузку с помощью TaskSheduler'a или команды [B]at [/B]на ночное время. Утром заберете карантин и лог ;)

что то не так в скрипте...
выдает ошибку:
Too many actual parameters в позиции 5:11

[quote=xgoodwin;115742]что то не так в скрипте...
выдает ошибку:
Too many actual parameters в позиции 5:11[/quote]
извиняемся, поправил ;)

ага, уже сам додумался.
скрипт выполнил, ребут сделаем ночью, соот-но логи будут завтра.

НО!
посмотрел сам путь C:\Documents and Settings\golovin_ea\WINDOWS\
там нет ни одного exe-файла!

Значит, они все в C:\WINNT\, а это просто AVZ глючит из-за терминальности.

причину так и не нашли,
ждем следующего раза :)