Email-Worm.Win32.Womble.a, Exploit.Win32.IMG-WMF.y, not-a-virus:RemoteAdmin.Win32.RAd

[Darria]

Здравствуйте! В течение дня меня атакует вирус Email-Worm.Win32.Womble.a, Exploit.Win32.IMG-WMF.y, not-a-virus:RemoteAdmin.Win32.RAdmin.20 (21, 30). Я удаляю зараженные объекты (они появляются в общей папке нашей местной рабочей сети), но эта ситуация повторяется в течение уже нескольких дней.

[MOCT]

not-a-virus:RemoteAdmin.Win32.RAdmin.20 (21, 30). Я удаляю зараженные объекты (они появляются в общей папке нашей местной рабочей сети), но эта ситуация повторяется в течение уже нескольких дней.

Radmin сами ставили на компьютер или это произошло без вашего участия? если сами не ставили, то удалите файлы
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\system32\ADMDLL.dll
и пофиксите в HijackThis строку вида: O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)

[pig]

они появляются в общей папке нашей местной рабочей сети

Эта папка где находится? Это какой-то сетевой ресурс в локальной сети или у вас на машине папка в сеть открыта?
Рабочая сеть - имеется в виду контора? Администратор у этой сети есть?

[Darria]

Radmin сами ставили на компьютер или это произошло без вашего участия? если сами не ставили, то удалите файлы
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\system32\ADMDLL.dll

Я пытаюсь удалить эти файлы, но мне пишут, что "файл защищен от записи или используется другим приложением". Что делать?

Эта папка где находится? Это какой-то сетевой ресурс в локальной сети или у вас на машине папка в сеть открыта?
Рабочая сеть - имеется в виду контора? Администратор у этой сети есть?

Просто в конторе стоят два компьютера, и для удобства передачи файлов они соединены между собой. Доступ в Интернет у каждого свой. Соответственно, администратором тут не пахнет.

[MOCT]

Я пытаюсь удалить эти файлы, но мне пишут, что "файл защищен от записи или используется другим приложением". Что делать?

использовать отложенное удаление файлов из программы AVZ

[pig]

Просто в конторе стоят два компьютера, и для удобства передачи файлов они соединены между собой.

Так общая папка-то где - на вашей машине или на другой?

Ломают, скорее всего, по сети, поэтому нужно как минимум присвоить пароли посложнее всем пользователям с правами администратора - в первую очередь встроенному администратору. И обследовать второй компьютер аналогичным образом, гадюшник может оказаться там. Выходы в интернет закрыть брандмауэром.

[Darria]

использовать отложенное удаление файлов из программы AVZ

Спасибо!!! Помогло!!! Только C:\WINDOWS\system32\r_server.exe пожелал удалиться вручную.

Так общая папка-то где - на вашей машине или на другой?

Общая папка на моей машине и на на второй, с которой они соединены.

[AndreyKa]

Давайте сюда логи со второй машины.

[Darria]

Давайте сюда логи со второй машины.

Логи со второй машины

[AndreyKa]

Логи со второй машины

Чисто.

[Darria]

Оказывается, в нашей сети гораздо больше компьютеров, чем казалось сначала. Но администратора/ответственного за все эти безобразия дождаться практически невозможно - он один, а нас много. Как же всё-таки обезопасить свою машину хотя бы временно, тем более что атаки вирусные продолжаются, и опять появилось сообщение о зараженных объектах на диске С (всё тот же Radmin)?

[pig]

Ещё раз:
Как минимум присвоить пароли посложнее всем пользователям с правами администратора - в первую очередь встроенному администратору.
Выходы в интернет закрыть брандмауэром.

[Darria]

Спасибо!

[pig]

Вообще не исключено, что это сам администратор и ставит. RAdmin - инструмент именно для администраторов, чтобы не бегать по рабочим местам, а рулить по сети. Так что можно для начала просто спросить.