Printable View
После лечения вирусов не могу попасть на сервер через Windows Explorer или с сервера на другие машины. Я так понимаю не работает протокол SMB (?). По другим протоколам сервер доступен.
Один из множества вылеченых вирусов на который падает подозрение это [B]Backdoor.Win32.VanBot.bs[/B] по касперскому или [B]Trojan.Debel[/B] по DrWeb.[B] Как можно исправить ситуацию?[/B]
Для начала просто прочитайте и выполните [URL="http://virusinfo.info/showthread.php?t=1235"]Правила.[/URL]
Прикрепил лог. Но не вижу его теперь нигде в теме. Вы получили его?
Попробуйте ещё раз , логов должно быть 3 .смотрите картинки в правилах .
Я отправил только один лог(CureIt). Вчерашний. Сейчас у меня нету доступа к серверу..... Я не могу сейчас остальные логи предоставить к сожалению.
Помогите пожалуйста..
[QUOTE]BackDoor.IRC.Sdbot.1062
BackDoor.IRC.Sdbot.1198
Win32.HLLW.MyBot.based
BackDoor.IRC.Sdbot.1187
BackDoor.IRC.Sdbot
Trojan.Debel
BackDoor.Crvic
BackDoor.IRC.Wisdom
Win32.HLLW.SpyBot
Trojan.DownLoader.18139
Win32.HLLM.Limar
Win32.Grum
Win32.HLLM.Beagle[/QUOTE]
да... а подозрение на один... :O
нужны логи соглано правил.
Логи надо прикреплять к своей теме, а не загружать через форму upload_virus!
EDIT
Странно, попробовал ваш лог сюда прикрепить - не получается. :(
Прикрепил
Но всё же для исследования нужны логи по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url].
Высылаю лог avz4. Запускать hijackthis очень опасно. Это пока работающий сервер. Может по имеющимся двум логам сможете помочь..
Кстати еще важные факты.
1) В сервер и с сервера(!) нельзя никуда попасть и по IP-адресу.
2) Исчезли шары с$, d$, .. , admin$
3) В windows explorer в Explorer Bar "Folders" - ниче не отображается.
Поищите с помощью AVZ (меню Сервис -> Поиск файлов на диске) файлы AMInit.dll и 0.exe. Если найдутся, добавьте в карантин и пришлите согласно приложению 3 правил.
Кстати, нет никакой опасности в том, чтобы запустить HijackThis и сделать лог! Выполните это.
[B]Bratez[/B], файлы AMInit.dll и 0.exe не были найдены. Относительно HijackThis, то я доверился Вам и сделал лог, который и прикрепляю. Кстати переустановка SP4 не востановила функциональность системы:(((
1. В свойствах сетевого подключения, глядящего в локальную сеть, проверьте, стоят ли галки на клиенте для сетей MS и службе доступа к файлам и принтерам.
2. Загляните в локальные политики безопасности, не включился ли там запрет на создание "долларовых" шар. Ещё можно поискать по реестру (не вспомню с наскока, где конкретно, где-то в HKLM\System) параметр AutoShareServer (это ведь Server?), если найдётся, посмотреть, что там.
[b]pig[/b]
1. Галки стоят;
2. В политиках ниче не нашел. Но может не достаточно хорошо искал. Выдержка с реестра:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\lanmanserver\parameters]
"autodisconnect"=dword:0000000f
"enableforcedlogoff"=dword:00000001
"enablesecuritysignature"=dword:00000000
"requiresecuritysignature"=dword:00000000
"NullSessionPipes"=hex(7):43,00,4f,00,4d,00,4e,00,41,00,50,00,00,00,43,00,4f,\
00,4d,00,4e,00,4f,00,44,00,45,00,00,00,53,00,51,00,4c,00,5c,00,51,00,55,00,\
45,00,52,00,59,00,00,00,53,00,50,00,4f,00,4f,00,4c,00,53,00,53,00,00,00,45,\
00,50,00,4d,00,41,00,50,00,50,00,45,00,52,00,00,00,4c,00,4f,00,43,00,41,00,\
54,00,4f,00,52,00,00,00,54,00,72,00,6b,00,57,00,6b,00,73,00,00,00,54,00,72,\
00,6b,00,53,00,76,00,72,00,00,00,00,00
"NullSessionShares"=hex(7):43,00,4f,00,4d,00,43,00,46,00,47,00,00,00,44,00,46,\
00,53,00,24,00,00,00,00,00
"Lmannounce"=dword:00000000
"Size"=dword:00000002
"Guid"=hex:45,3e,ad,63,0c,59,db,4e,88,c3,ad,90,34,f2,d5,83
"CachedOpenLimit"=dword:00000000
"[B]AutoShareWks[/B]"=dword:[B]00000000[/B]
"[B]AutoShareServer[/B]"=dword:[B]00000000[/B]
Могут ли 2 последних параметра влиять на такое поведение сервера?
И ведь главной проблеммой есть то, что другие сервера или рабочие станции не доступны с этого сервера через броузер.
Это как-то связано и с NetBIOS. В свойствах сетевого интерфейса NetBIOS-over-TCP/IP (NetBT) включен, но тем не менее имеем следующие ошибки:
C:\>nbtstat -a
Failed to access NBT driver > :Unknown error number
C:\>nbtstat -r
Failed to access NBT driver > :Unknown error number
C:\>nbtstat -R
Failed to access NBT driver > :Unknown error number
"Долларовые" шары у вас явно выключены. Поставьте в выделенных параметрах значения 1. Потребуется перезагрузка, чтобы подхватилось.
А состояние драйвера NetBT можно посмотреть через диспетчер устройств, если включить показ скрытых устройств и развернуть появившийся список устройств не PnP.
Driver NetBIOS over TCP/IP в устройствах включен и работает нормально (вроде как)....
Ещё в "Дополнительных параметрах" (Сетевое окружение - Свойства - Дополнительно - Дополнительные параметры) можно привязки проверить.
[B]pig[/B], и там тоже включено NetBIOS-over-TCP/IP. Но вот в результате команды [B]ipconfig /all [/B]можно увидеть, что [B]NetBios: Disabled[/B].
Скажите, пожалуйста, используется ли NetBIOS когда обращение идет по IP? (например, \\192.168.1.1) Ведь не на сервер по IP нельзя зайти ни с сервера.
\\192.168.1.1 - это как раз-таки обращение по NetBIOS (SMB).
"Служба доступа к файлам и принтерам" точно установленна?
Раз есть возможность привязать её к сетевому адаптеру, значит, установлена. Может, перешла в запрет?
[B]MedvedD[/B],
"Служба доступа к файлам и принтерам" - установленна
[B]pig[/B], что значит перешла в запрет?
По Exchange работать не возможно сейчас.
Команда [B]net user Vasia_Pupkin /domain[/B] выдает ошибку, что "не найден контроллер домена".
Я не пойму как сервер авторизирует почтовых пользователей, что работают по РОР3..
Это просто УЖАС..........
Каково состояние служб Клиент для сетей MS и Служба доступа к файлам и принтерам? Работают?
Клиент для сетей MS и Служба доступа к файлам и принтерам - включены в свойствах сетевого подключения. А вок как проверить работают ли они на самом деле? В сервисах вроде не видно..
Нашел похожую тему в инете: [url]http://answers.google.com/answers/threadview?id=371687[/url]
Но по LSP-Fix мне не помог
Проверить "Службу доступа к файлам и принтерам" просто - если можешь расшарить папку/принтер, значит она работает.
В "Службах" они называются Рабочая станция и Сервер.
Server, Workstation servises работают. Шары создавал - все ок, создаются и локально видны.
Решение найдено!
Колега мой нашел в инете необходимый совет.
Удаление всех сетевых протоколов и интерфейсов в Девайс мененджере помогло. После перезагрузки и утановки протоколов проблеммы исчезли.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]