Эпидемия червя Kido, Conficker, Downadup

Дата: Ах ДА - Среда :), 2009-06-17, 12.39.41 | Сообщение # 21

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Эта зараза сканирует порты на других машинах. Причем. судя по логам файрволла. обращение идет с временного айпишнега 0.0.0.0, который потом меняется на родной (у нас DHCP). MAC-адрес тоже ставится липовый из определенного диапазона. Где-то так:
17.06.2009 10:46:13 Blocked 10 Incoming ETHERNET [type=0x54] 0.0.0.0 00-1A-92-EA-4D-82
Приходится извращаться - по логам файрволла отлавливать попытки сканирования, обновлять у себя на машине ARP-кэш, потом скриптом делать таблицу соответствия временного MAC-адреса и реального айпишнега машины и идти лечить очередного клиента.

"... любовь, ещё быть может, в моей душе угасла не совсем
Указ царя раздуть её поможет, но лучше вид в прицел АК -
который "сорок семь "

Scale

Дата: Ах ДА - Среда :), 2009-06-17, 12.58.49 | Сообщение # 22

Форумчанин

Группа: Проверенные

Сообщений: 498

Статус: ушел ф сад

Кстати, громадный геммор в домене. Эта гадость под юзерами, найденными в Documents and Settings, ломится на другие компы. Как результат, домет этих юзеров блочит.

Вообще, система такая - подымается HTTP-сервер, с него идет ддос на удаленную машину по портам. Как тока находит дырку - заливает себя на комп и система повторяется. В результате у нас будет чудный ботнет и еле ползающая сеть.

You are...are you?

Sleepless

Дата: Ах ДА - Среда :), 2009-06-17, 1.51.32 | Сообщение # 23

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Quote (Scale)

домен этих юзеров блочит.

Это раз.
Плюс на машинах с червем постоянно отлавливается еще зоопарк. Рекорд был сегодня - снесли молчавший NOD, поставили SEP. Проверка выдала более тысячи зараженных файлов - трояны, доунлоадеры, бэкдоры в ассортименте.

Mitrich

Дата: Четверг Нах, 2009-06-18, 0.31.26 | Сообщение # 24

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

ну хз у нму наоброт притаскивают машины с каспером и авастом и я нодом вылавливаю вирсню

"зачем же для тебя Легко... все то, что для меня Святое"(с)
"Когда истина начинает казаться тебе понятной, знай — ты ничего не понял... "Анхель де Куатьэ.Я принимаю людей такими, какие они есть... или не принимаю вовсе!

Sleepless

Дата: Четверг Нах, 2009-06-18, 11.31.42 | Сообщение # 25

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Эта хрень начинает задалбывать. Машину только что лечили - побило MS Visual Runtime C++, что привело к периодическим вылетам 1Секс:Предприятия. NOD, что характерно, молчал, как партизан на допросе.

Sleepless

Дата: Четверг Нах, 2009-06-18, 4.00.44 | Сообщение # 26

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Новые сводки с фронтов.
Еще поциент попался. Каким-то образом машину забыли завести в домен - осталась в рабочей группе (зато у нас есть стадо начальствующих, понапокупавших себе ноутов с б-гомерзкой Vista Home Basic). По ходу, прописавшийся там червь не только подружился с "народным" NOD32 4 Business Edition (с валидным ключом) и лицензионным KIS 2009, но и задолбал собой PDC настолько, что контроллер даже на icmp-запросы не отвечает. Завтра с утра будем переставлять систему - разгребать данную конкретную авгиеву конюшню времени нет.

Mitrich

Дата: ТяПницо, 2009-06-19, 1.27.43 | Сообщение # 27

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

весело те )) а я с нодом походу даже не знаю что у мну есть вирусы и счастлив ))

Sleepless

Дата: ТяПницо, 2009-06-19, 2.15.23 | Сообщение # 28

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Камент к касперу 7:
Поплелся к другу пивка попить, а ему домовую сетку тянут (+ инет). Ну я ему и говорю поставь KIS на всякий пожарный. Подключились к внутренней сетке, визгу на всю квартиру, пишу админу в личку - мол уважаемый вирьё по сетке скачет, может отловите.
Ответ меня просто убил 0_-:
"-Задолбали вы со своим касперским, поставьте нод ОН ИХ НЕ ВИДЕТ!"
(с) БОР

Scale

Дата: ТяПницо, 2009-06-19, 3.06.05 | Сообщение # 29

Форумчанин

Группа: Проверенные

Сообщений: 498

Статус: ушел ф сад

Кому нужен 10-й Симантек - свистим. Апдейты сами стянете с оффсайта.

You are...are you?

Mitrich

Дата: ТяПницо, 2009-06-19, 4.23.32 | Сообщение # 30

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Sleepless, ))))) гад
Scale, фффщщщщщ фщщщщщ ) попробую)

Sleepless

Дата: ТяПницо, 2009-06-19, 5.05.19 | Сообщение # 31

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Scale, имееццо в наличии Symantec Endpoint Protection 11. 900 метров, включая сервер, управляемый и неуправляемый клиенты. Обновляется без проблем. Единственный минус - English only.

Mitrich

Дата: ТяПницо, 2009-06-19, 5.36.19 | Сообщение # 32

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Sleepless, тожа тащи ))) поглядим на сие
попьем пива у мну )