Эпидемия червя Kido, Conficker, Downadup

Дата: Четверг Нах, 2009-04-09, 6.27.21 | Сообщение # 1

Форумчанин

Группа: Пользователи

Сообщений: 203

Статус: ушел ф сад

- Обязательно! установить патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001. Помните, что без этих патчей троян будет к вам пробираться снова и снова ...

- Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому - пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр.

- Отключить автозапуск исполняемых файлов со съемных носителей.

http://data2.kaspersky-labs.com:8080/special/KKiller_v3.4.1.zip Kaspersky
http://download.eset.com/special/EConfickerRemover.exe ESET
http://global.ahnlab.com/global/file_removeal_down.jsp?filename=12371830475821&down_filename=v3conficker.zip AhnLab
ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip F-Secure Malware Removal Tool
http://vil.nai.com/vil/stinger/ McAfee
http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=en Microsoft Malicious Software Removal Tool
http://www.sophos.com/products/free-tools/conficker-removal-tool.html Sophos
http://www.symantec.com/content/en/us/global/removal_tool/threat_writeups/FixDwndp.exe Symantec
http://www.trendmicro.com/ftp/products/pattern/spyware/fixtool/SysClean-WORM_DOWNAD.zip TrendMicro

также актуальный список утилит для удаления всегда есть здесь http://www.confickerworkinggroup.org/wiki/pmwiki.php/ANY/RepairTools

Scale

Дата: ТяПницо, 2009-04-10, 8.14.52 | Сообщение # 2

Форумчанин

Группа: Проверенные

Сообщений: 498

Статус: ушел ф сад

С раздуплением вас! :-) Это новость трехмесячной давности. Сразу после НГ началось.

You are...are you?

Mitrich

Дата: ТяПницо, 2009-04-10, 11.16.34 | Сообщение # 3

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Я сталкивался без этого всего лечилось нод + руки !

"зачем же для тебя Легко... все то, что для меня Святое"(с)
"Когда истина начинает казаться тебе понятной, знай — ты ничего не понял... "Анхель де Куатьэ.Я принимаю людей такими, какие они есть... или не принимаю вовсе!

user

Дата: ТяПницо, 2009-04-10, 11.17.52 | Сообщение # 4

Форумчанин

Группа: Пользователи

Сообщений: 203

Статус: ушел ф сад

Scale, у кого 3 месяца назад, а кто только только поймал, причем это не помогло sad

кто еще что посоветует ?

Scale

Дата: ТяПницо, 2009-04-10, 2.37.14 | Сообщение # 5

Форумчанин

Группа: Проверенные

Сообщений: 498

Статус: ушел ф сад

user, symantec.com вам в помощь.

You are...are you?

Sleepless

Дата: Ах ДА - Среда :), 2009-04-15, 12.36.33 | Сообщение # 6

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Quote (user)

кто еще что посоветует ?

avz очень даже лечит - только что проверял.

"... любовь, ещё быть может, в моей душе угасла не совсем
Указ царя раздуть её поможет, но лучше вид в прицел АК -
который "сорок семь "

user

Дата: ТяПницо, 2009-04-17, 9.54.27 | Сообщение # 7

Форумчанин

Группа: Пользователи

Сообщений: 203

Статус: ушел ф сад

Quote (Sleepless)

avz очень даже лечит - только что проверял.

это если есть инет и можно его обновить
иначе не лечит !

Симантек положил систему sad

Sleepless

Дата: ТяПницо, 2009-04-17, 12.00.16 | Сообщение # 8

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Quote (user)

это если есть инет и можно его обновить

ну, оно вполне таки портабельное. обновил на админской машине и фпирёд с флэшкой по конторе...
PS - хрепанный Punto Ыцшесрук...

Mitrich

Дата: Суббота да да да тоже рабочий день..., 2009-04-18, 10.28.30 | Сообщение # 9

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

Sleepless, - о полезненько )видев но не юзав )

user, - есть утилитка интересная Унлокер зоветса ) и 4й нод ! юзай их )
Симантек не впечатлил , кстати был случай что и у мну рн машину сложил .. вирь был сектор 5 и 17 smile
не так давно опять столкнулся с таким поймал тока нод4 ! значит новые версии вышли..
ибо сектор 17 ловился вебом легка .... а щаз не ловить

Sleepless

Дата: Понедельничег, 2009-04-20, 7.27.59 | Сообщение # 10

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Расово верный поцт о священной войне с вирусами на флэшках здесь Фсем ффтыкать!

Mitrich

Дата: Вторничег, 2009-04-21, 11.10.58 | Сообщение # 11

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

угу полезненько.. но утилитка вырубила авторан это плюс.. такие есть уже вешчи ! ) ток все одно нуна еще руками все смареть )

Scale

Дата: Вторничег, 2009-04-21, 1.32.58 | Сообщение # 12

Форумчанин

Группа: Проверенные

Сообщений: 498

Статус: ушел ф сад

Ну, у нас стоит Симантек на работе. Вышеозначеная пакость шарится только на компах, где он покаким-то причинам не установлен.
Ну а уложеная система...ветхая видать была.

You are...are you?

Sleepless

Дата: Вторничег, 2009-06-02, 11.01.45 | Сообщение # 13

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Downadup ни лицензионный KIS, ни "народный" NOD 4 тупо не видят.
бегать по всем компам с флэшкой и avz - заипаццо можно (сотня машин только на центральном офисе плюс удаленный точки по всему северу области).
мигрируем на Symantec Endpoint Protection 11. вот только с первоэской его подружить надо.

user

Дата: Ах ДА - Среда :), 2009-06-03, 10.16.28 | Сообщение # 14

Форумчанин

Группа: Пользователи

Сообщений: 203

Статус: ушел ф сад

http://bishop3000.livejournal.com/105424.html

Mitrich

Дата: Ах ДА - Среда :), 2009-06-03, 11.43.48 | Сообщение # 15

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

угу дома опробую погляжу Авз а шот есть подозрения

Sleepless

Дата: Ах ДА - Среда :), 2009-06-03, 2.37.14 | Сообщение # 16

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

распихиваем по машинам вот это: http://tracker.freeexchange.ru/torrent....E%D0%B2 %D0%BB%D0%B5%D0%BD%D0%B8%D0%B9_WU_%D0%B4%D0%BB%D1%8F_XP_SP3_%D0%B2%D0%B5%D1%80%D1%81%D0%B8%D1%8F_%D0%BE%D1%82_14_%D0%BC%D0%B0%D1%8F_2009)
М ля, сцылка криво вставляется. Полность не копируйте - только то, что сам браузер выделяет.
или на http://tracker.freeexchange.ru в поиске "Сборник официальных обновлений WU (для XP SP3)".

Mitrich

Дата: Ах ДА - Среда :), 2009-06-03, 3.19.03 | Сообщение # 17

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

с 3сп все есть . .мне вот написало что есть более новая версия ... сборка винды Вольф )

Sleepless

Дата: Ах ДА - Среда :), 2009-06-03, 3.57.50 | Сообщение # 18

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

это на машины с SP3 ставим - апдейты более новые.
Вольфа не юзал.

Sleepless

Дата: Вторничег, 2009-06-16, 2.25.01 | Сообщение # 19

Друг

Группа: Администраторы

Сообщений: 1432

Статус: ушел ф сад

Новый способ удаления гланд бензопилой через *ёппу.
Палим на симантековском файрволле сканирование портов червями/троянами/прочей_хней. Айпишнег будет - в данном случае был - 0.0.0.0, но есть временно действующий MAC-адрес.
Юзаем скрипт.cmd, вылавливающий данный из ARP-кэша и составляющий таблицу соответствия MAC и айпишнегов:

Code

echo off
if exist arp_table.txt (
    if exist arp_table.bak del arp_table.bak
    ren arp_table.txt arp_table.bak
)
for /L %%i in (1,1,254) do (
    echo 10.0.0.%%i
    ping -n 1 10.0.0.%%i>nul
    arp -a 10.0.0.%%i>arp_string.tmp
    for /F "skip=3 tokens=*" %%j in (arp_string.tmp) do (
     echo %%j|find /V "invalid">>arp_table.txt
    )
)
del arp_string.tmp

Любым сканнером сети по айпишнегу выявляем имя зараженного компа.
Сносим нах NOD, Kaspersky, Avira и прочее.
Ставим расово верный Symantec Endpoint Protection (проблему с первоэской таки решили).
Ждем, на которой машине активируется следующий червь.

Mitrich

Дата: Ах ДА - Среда :), 2009-06-17, 11.28.09 | Сообщение # 20

Счастливый

Группа: Администраторы

Сообщений: 11156

Статус: ушел ф сад

ЖЕк netstat не рулит ?