Показано с 1 по 6 из 6.

Странная ситуация - сервер по терминалу доступен, с сервера недоступно ничего. Видимо недолечил. (заявка № 63745)

  1. #1
    Junior Member Репутация
    Регистрация
    15.12.2009
    Сообщений
    6
    Вес репутации
    30

    Exclamation Странная ситуация - сервер по терминалу доступен, с сервера недоступно ничего. Видимо недолечил.

    Представлюсь в начале - Александр, вольный системный администратор.
    Мои удаленные работодатели не так давно отказались от моих услуг, через два месяца обратились ко мне снова. Ситуация была такая - упал напрочь прокси-сервер Usergate, сервер начал "дико тормозить".

    У клиента установлена лицензионная win2003, OpenOffice, Usergate 4.0, установлен виртуальный Com-Port для аппаратного шаринга фискального регистратора (Tibbo), стоит 1c торговля и склад (лицензия), мною был настроен нативный терминальный сервер win2003. Антивирус - NOD32 4.

    Мною были предприняты следующие действия.
    1. Загрузившись в безопасном режиме, пролечил компьютер последним Cure-It, были выявлены вредоносные файлы svchost.exe (В каталоге c:\program files\common files\microsoft shared, запускался от аккаунтов пользователей, c:\windows\system32\wmisrvc.exe - удалены.
    2. Далее был запущен последний avz, был вычислен файл svchost.exe.exe, убран из автозапуска, на диске найти не смог, дисковым редактором лезть побоялся.
    3. Было вычислено отсутствие файла стандартного winsock-провайдера microsoft, положен на весьма странный путь (\documents and settings\admin\windows\system32) из дистрибутива оригинальный.
    4. выполнены
    netsh winsock reset
    ipconfig /release
    ipconfig /renew
    ipconfig /flushdns
    файл hosts заменен на эквивалентный дефолтному.

    После перезагрузки наблюдается следующее:
    Сервер заработал нормально, люди работают в 1с, печатают по сети и из терминала. Но Usergate так же не стартует с ошибкой 1053 (их саппорт не говорит ничего внятного - буду переустанавливать после решения проблемы), dns-серверы провайдера пингуются, но dns-имена сайтов не ресолвятся, внешние адреса не пингуются, при попытке "исправить подключение" система пишет еггог что не может сбросить ARP, arp.exe -a не выдает ничего подозрительного (маки компов локальной сети и шлюза провайдера), при этом сервер в ТЕРМИНАЛЕ извне ДОСТУПЕН и пингуется.

    Включение/выключение брандмауэра не помогает
    Отключение NOD32 не помогает, драйверы нода не повреждены

    Помогите, ибо встал в ступор. При этом всем avz находит присутствие svchost.exe.exe в потоках Ntfs но что с этим делать КОРРЕКТНО, я не знаю.

    Гуглом и яндексом пользоваться умею, данную ситуацию за 14 лет одминства вижу впервые.

    Да, файла virusinfo_syscure.zip avz4 НЕ СОЗДАЛ.
    Последний раз редактировалось foxsandy; 13.05.2010 в 03:15.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    12.10.2004
    Адрес
    Смоленск
    Сообщений
    6,208
    Вес репутации
    3387
    В сущности проблема ясна - лечение и прочие операции производились с консоли или из терминальной сесии ? AVZ например однозначно запущен из терминалки - что недопустимо. Все операции по лечению необходимо делать исключительно с консоли !! (логи как следствие следует переделать). На шаге 3 "странные пути" как раз из-а запуска AVZ из терминального сеанса.
    Действия:
    1. Искать у AVZ в его рабочем каталоге reg-файлы для отката - там обычно создается каталог Backup с ними, в имени нужного REG файла будет что-то типа *SPI*. Если таковой есть - то импортировать его в реестр и перезагрузиться
    2. Переделать логи, запустив AVZ с консоли

  4. #3
    Junior Member Репутация
    Регистрация
    15.12.2009
    Сообщений
    6
    Вес репутации
    30
    Так. Рекомендациям последовал. Прикрепляю.

    Самое интересное что несмотря на запуск АВЗ из консоли, "странные" пути в отчете не исчезли. Возможно это следствие самого наличия запущенного терминал сервера и подключившихся рабочих станций?
    Последний раз редактировалось foxsandy; 13.05.2010 в 03:15.

  5. #4
    Junior Member Репутация
    Регистрация
    15.12.2009
    Сообщений
    6
    Вес репутации
    30
    Так! Запуск winsockxpfix помог восстановить работоспособность и usergate и доступа к dns, соответственно интернет заработал на сервере и рабочих станциях, но в остальном ничего не трогал, хотелось бы дочистить заразу если таковая еще осталась. Но уже, в любом случае, спасибо за наведение на нужный ход мыслей.

  6. #5
    Junior Member Репутация
    Регистрация
    15.12.2009
    Сообщений
    6
    Вес репутации
    30
    Все плохо ( Доступ к сети восстанавливается только на короткое время, потом пропадает, возвращается через загрузку last known good configuration. Так что хелп (

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
    Код:
    begin
     QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
     DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
     BC_ImportAll;
     BC_Activate; 
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
    Обновите базы AVZ.
    Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

  • Уважаемый(ая) foxsandy, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. странная ситуация
      От larik218 в разделе Помогите!
      Ответов: 0
      Последнее сообщение: 13.10.2010, 15:37
    2. Ответов: 3
      Последнее сообщение: 27.05.2010, 14:48
    3. странная ситуация на компьютере
      От Ander-1982 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 24.04.2009, 11:21
    4. недолечил
      От edo в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 18.11.2008, 13:14
    5. Помогите странная ситуация...
      От TAppOk в разделе Антивирусы
      Ответов: 1
      Последнее сообщение: 31.08.2007, 19:31

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00222 seconds with 16 queries