Вирусы и антивирусы. Всё, что можно. :)

[Алексей++]

у нас тут компы в сети - поэтому надежды особо нет (думаю другие тоже заражены) могу дома попробовать - но там неоткуда обновить базы

лана, попробую, попытка - не шутка...

[Алексей++]

Джон , это где такой монитор?

[Алексей++]

кстати, TFTP1280 - виндовский экзешник, MZ в начале файла имеется

This program requires Microsoft Windows - присутствует

[baldr]

Может, dll....
А вообще если хочешь все почистить - отключи всех от сети и на каждом - лечебные мероприятия.

[Алексей++]

вообще говоря, жалется только мой комп... может у меня он один заражён.

ЗЫ не хочет обновляться из инета касперский, сволота! - это чё за финиш?

[baldr]

Ключи устарели, может. У меня то же самое.

[Джон]

Дык, http://www.sysinternals.com/

[aks68]

Вот Википедия вчера подсказала

(События 24.04)
1184 до н. э. — По преданию, в этот день древние греки смогли проникнуть в Трою при помощи троянского коня.

(http://ru.wikipedia.org/wiki/24_%D0%B0%D0%BF%D1%80%D0%B5%D0%BB%D1%8F)

Так-что с праздником уважаемые!!!

PS: Приятно однако осознавать, что юзаешь технологию (или она тебя) 3000 летней давности   

[x77]

хацкеры

[Джон]

Юзать? Троянов? Хммм... "Оригинально!" (с)

[Pu]

Юзать? Троянов? Хммм... "Оригинально!" (с)

Джон, а чего странного? я юзал троянов... в нормальных руках некоторые из них являются очень неплохими средствами удаленного управления компами... Во всяком случае некоторые очень даже ничего.

[Джон]

Тогда это были уже не трояны по определению.

[Pu]

ну по определению антивири постоянно ругались на наличие троянов у меня на компе. потому как в нехороших руках эти проги дают полный контроль за компом. за файловой системой и за железом.

[x77]

в хороших руках полный контроль дают Remote Desktop (для пендосов на винде), RAdmin (для наших на винде) и VNC (для всех остальных риальных пацанофф).

[RXL]

x77, по моему личному опыту, Remote Desktop значительно лучше конкурентов. Я пользовался (и продолжаю по необходимости) RAdmin, VNC и PCanywhere. Скажу, что у RD трафик меньше, отклик меньше и размер десктопа автоматически изменяется. Если поставить на свою тачку AdminPack2003, то еще появится и доп.галочка "подключиться к консоли". Конечно, RD лучше пускать по защищенному каналу.

[x77]

RXL, Ром, ты что имеешь в виду под консолью?

в ремоут десктопе ярлык подключения представляет собой ссылку на обычный тестовый файл. ты открываешь это файл в Notepade'е, и вставляешь там строчку:

connect to console:i:1

после этого ты всегда будешь логиниться в нулевую сессию. ты это имеешь в виду?

[RXL]

x77, именно.

[Ochkarik]

дорвался называется то халявного интернета...
теперь шлю smtp траффик по всем портам, гигабайтами((((
доктор веб - молчит как партизан...
AVZ ересь какую то показывает. то ли перебдел, то ли не нашел... то ли вылечил - непонятно.
завтра еще рабочий комп лечить - как не пойму((((

кругом засада...

[Алексей++]

файервол надо ставить И антивирус нормальный

[Ochkarik]

хех... нормальный - это какой?
собстно его и AVZ не идентифицировал...
ток по факту наличия левой библиотеки через HijackThis в загрузке...
запостил на Virus.info, пока ждал ответа смотрю - левак какой то, ну сам пофиксил при помощи HijackThis, потом на virus.info ответ аналогичный появился. выслал им... посмотрим что скажут.

по ходу AVZ на карантин мое обучение пользованием socket-ами поместила:)

[Джон]

Ща какой то вирус в инете, сегодя в новостной ленте на вокзале мельком прочитал, перелопачивает mp3 в wav и вешает дополнительно код, который сгружает трояна.

[RXL]

Ochkarik, а ты часом, вместо драйверов, вирусо-писательством не занимался? А то как они могут так концентрироваться без наличия халявного инета... 

Вообще, первым делом "Диспетчер задач" и вырубить все подозрительное.
Потом не дурно посмотреть, что в автозагрузке в реестре (*/Software/Microsoft/Windows/CurrentVersion/Run*) и поубивать подозрительное.
Совсем хитрые вирусы убиваются KAV (скачать его можно бесплатно и пользоваться "пробной лицензией") или другим не менее толковым антивирусом.

Профилактика вирусов: не пользоваться IE (разве что в исключительных случаях, предварительно подзакрутив ему гайки в настройках) и проверять весь привнесенный извне софт (ну, думаю, что дистрибутив винды или DDK можно не проверять).

Кажется, я опять боян написал 

[zubr]

Руткит в диспетчере не увидишь, да и антивирусы в основном против руткитов бессильны. Опять таки руткиты, как правило, как драйвера регистрируются, автозагрузка - слишком заметно. Самый надежный способ - система не под админом + хороший файервол, имхо.

[Ochkarik]

zubr, угу, все так) теперь вот думаю... насчет работы из под админа... просто не ожидал что антивирусники его так смело пропускают. причем я так понял большинство!

RXL, куда мене до вирусо.... а диспечер задач и Run я первым делом проверил, но это не единственный ключик в реестре откуда запустится можно) это самый очевидный...
короче вычистл)
путем AVZ + HijackThis
и ребятам с virus.info спасибо, хороший ресурс... да и сам не оплошал)

по пути грохнул нечаянно драйвер от соньковского Protector-a который отпечатки пальцев сверяет...
ща поеду рабочий комп чистить.... кофу ток допью)

[Джон]

Ром, в данном случае боян только на пользу.

Ну и раз пошла такая пьянка... Я антивирусниками и файерволлами не пользуюсь. Тормозят они меня. Просто стараюсь аккуратно и чисто по инету шарахаться. Но и на старуху бывает порнуха. В этому случае (важно! всё время ведём лог удалённых/изменнённых файлов и ключей реестра - или в текстовом файле - копипастом, или в крайнем случае на бумажке):

1. "Выдернуть вилку из розетки" (с) (интернетовскую конечно) - чтобы зараза не обновлялась и подкреплений из инета не ждала. Ни в коем случае не перезапускать систему! Скорее всего враг написал чего-нить в run список. И вот тогда уже будут кранты. Пока система работает запущенные системные бинарники не могут быть инфицированы. Что явно произойдёт после перезапуска.

2. Игнорируем все сообщения (если таковые имеются) о том, что ваш комп заражён, особенно те, которые прдедлагают "вылечить" его немедля, сгрузив супер-пупер антивирус. Такие окошки даже лучше не закрывать, а просто убивать (см ниже) - кто их знает, на что они реагируют.

3. Обычно вирусы затыкают диспетчера, надо его разблокировать (ключ в реестре, ща не помню, но легко находится в гугле). В нём, как Рома уже сказал,  выявляем врага. Если есть возможность - вместо диспетчера используем Process Expolorer Руссиновича. Кстати для этого периодически ради интереса заглядываем в список запущенных процессов, чтобы иметь представление о его метаморфозах. Завершаем все запущенные программы типа браузера и тп. Если они не хотят этого длать - убиваем их процессы. Это позволит легче выявить врага в списке.

4. Бесплатная прога unlocker - самая незаменимая прога в этом случае, лучше любого антивиря. Удаляет запущенные dll/exe причём показывает кто их использует, так можно всю цепочку отследить.

5. Запускаем Regmon, всё того же Руссиновича, и выявляем неизвестых, которые что-нить прописывают без нашего ведома в реестр. Убиваем их и чистим реестр от их бедлама.

6. Чистим автостарт и run ключ в реестре от всего подозрительного.

7. Производим поиск (по возможности по всем дискам и партишн) файлов, которые были изменены в предполагаемый период заражения и после него. Анализируем список. Явно подозрительные - убиваем, остальные переименовываем до неузнаваемости.

8. Желательно с другого компа лезем в инет и на основе лог-данных (имена файлов, ключи реестра) ищем инфу о вражине и проверяем все пункты, которые он поразил, и которые мы пропустили.

9. Ща не помню, надо дома глянуть, как файл называется, там короче инфа о регистрации. Если вирус его изменит, то после удаления вы не сможете зайти в систему (ХР), получите сообщение об активации, но она не прокатит. Я был просто взял этот файл с другого компа - всё заработало. Потом я просто сделал бэкап этого файла.

Вроде всё.

[Алексей++]

Джон, а мои антик и файервол почему то совершенно не тормозят Даже когда игру большую запускаю - ничего не отрубаю

[RXL]

Леш, у тебя, возможно, мониторинг отключен. Иначе антивирус проверяет все, к чему прикасаются процессы.

[Джон]

Лёш, по хорошему, если ты защищаешся - мне на работе просто деваться некуда - положено, то должна быть включена проверка всех изменений файлов. И если их очень много, то... Короче с врубленным NAV я компилю проект 25 минут, если я его останавливаю - то 18.

[Ochkarik]

http://www.virustotal.com/ru/analisis/975878bec13dc96fa167be3465a0a8c2
мто что у меня было...

[Алексей++]

я бы вот ещё пункт добавил :
10 . всё таки ставим файервол и антивирус