Как вылечить вирус в сети
Модератор: mike 1
Голосов нет
Всего голосов: 0
Спасибо, ваш голос учтён.
user259
Новичок
Сообщения: 3 Зарегистрирован: 29 авг 2015, 16:51
Вирус в локальной сети
Сообщение
user259 » 11 июн 2016, 13:56
Здравствуйте! Такая есть проблема. Сеть из 40 компов. Стоит Windows xp везде стоит антивирус Eset endpoint security v. 5 На одном компе несколько расшаренных папок. Время от времени по очередно проникает вирус. Антивирус его удаляет но он откуда-то приходит опять. Делал так. Поотключал все компъютеры от сети и проверил Dr.Web CureIT на нескольких машинах понаходил ,поудалял. Проблема нерешилась. Вирус как заходил так и заходит. Каждый раз он выглядит так : itcewd.exe; tkvrzr.exe; freeqlr.exe; fpqtbw.exe; igihax.exe; stpvks.exe; havqqx.exe; tzezcs.exe Сейчас пробую его вычислить утилитой Process Monitor но пока результата нет. Как найти зараженную машину на которой он находится?
Отправлено спустя 38 минут 17 секунд:
Оставляет за собой такие файлы khx, khw, khy
DesignerMix
Администратор
Сообщения: 6638 Зарегистрирован: 25 апр 2014, 10:51
Откуда: Белгород
Вирус в локальной сети
Сообщение
DesignerMix » 11 июн 2016, 23:09
user259 писал(а): Стоит Windows xp
К сожалению эта ОС уже устаревшая и в ней есть куча незакрытых уязвимостей так что думаю что вирус проникает как раз с их использованием не смотря на наличие антивируса. А Security Update’ы для XP больше не выходят – https://windows.microsoft.com/ru-ru/windows/lifecycle
Рекомендовал-бы подумать об обновлении ОС если железо конечно потянет. Если не потянет то можно попробовать отобрать у пользователей админские права и настроить учетку на минимум того, что необходимо для пользователей. При этом админскую учетку лучше всего запаролить или отключить и включать только по необходимости при администрировании компьютера.
user259
Новичок
Сообщения: 3 Зарегистрирован: 29 авг 2015, 16:51
Вирус в локальной сети
Сообщение
user259 » 13 июн 2016, 08:23
Здравствуйте,Дмитрий! Пока обновить железо и Windows нет возможности. На всех машинах открыта учетная запись гостя. Отключить не могу . Пользователи не смогут работать с базами данных. Большинство работают под админом. Пока перевести на ограниченные права не получиться. Основные программы ,базы данных работают только под админ правами. Так было настроено изначально. Основная часть машин работают без доступа к интернету локально. Что можете посоветовать для защиты и обнаружения вируса. Может есть программы следящие за расшаренными папками. Начал знакомство с Process Monitor пока ничего.
DesignerMix
Администратор
Сообщения: 6638 Зарегистрирован: 25 апр 2014, 10:51
Откуда: Белгород
Вирус в локальной сети
Сообщение
DesignerMix » 13 июн 2016, 11:27
user259, запустите на компьютерах которые подключены к интернету утилиту которая мониторит какие процессы работают с сетью. Я лично использую Process Hacker (в этой теме подробнее), так вот в этой программе можно отследить процесс которые и к каким ресурсам он подключается.
Например вирус должен распространять себя в локалку, соответственно он будет обращаться к локальным ресурсам. Попробуйте его увидеть. А заодно посмотрите к каким внешним ресурсам он обращается и добавьте их в брандмауэр или в hosts чтобы заблокировать, возможно это помешает дальнейшей переустановке вируса в системе.
Но конечно есть шанс что вирус у кого-то на флешке и он его каждый раз запускает не с компа которые подключен к интернету, тогда попробуйте проверить флешки всех сотрудников каким-нибудь kaspersky virus remuval tool или подобными утилитами. Если выявите такую флешку то попросите человека проверить ПК дома чтобы удалить источник вируса.
PS: Я не Дмитрий, я Михаил
user259
Новичок
Сообщения: 3 Зарегистрирован: 29 авг 2015, 16:51
Вирус в локальной сети
Сообщение
user259 » 14 июн 2016, 19:02
В процессах пока ничего подозрительного нет. Возможно кто-то из сотрудников запускает флешку с вирусом . Пока проверить все флешки всех сотрудников нет такой возможности но я обращу на это внимание.
EZmimego
Новичок
Сообщения: 4 Зарегистрирован: 25 дек 2015, 15:57
Вирус в локальной сети
Сообщение
EZmimego » 20 авг 2016, 19:00
user259 писал(а): Здравствуйте! Такая есть проблема. Сеть из 40 компов. Стоит Windows xp везде стоит антивирус Eset endpoint security v. 5 На одном компе несколько расшаренных папок. Время от времени по очередно проникает вирус. Антивирус его удаляет но он откуда-то приходит опять. Делал так. Поотключал все компъютеры от сети и проверил Dr.Web CureIT на нескольких машинах понаходил ,поудалял. Проблема нерешилась. Вирус как заходил так и заходит. Каждый раз он выглядит так : itcewd.exe; tkvrzr.exe; freeqlr.exe; fpqtbw.exe; igihax.exe; stpvks.exe; havqqx.exe; tzezcs.exe Сейчас пробую его вычислить утилитой Process Monitor но пока результата нет. Как найти зараженную машину на которой он находится?
Отправлено спустя 38 минут 17 секунд:
Оставляет за собой такие файлы khx, khw, khy
Ну с локальной сеть отлично работает антивирус 360 Total Security. Меня он не раз выручал, вот обзор на сайте гикнос. Рекомендовано ставить его одного, без дополнительных утилит или сканеров, он сам все сделает.
DesignerMix
Администратор
Сообщения: 6638 Зарегистрирован: 25 апр 2014, 10:51
Откуда: Белгород
Вирус в локальной сети
Сообщение
DesignerMix » 20 авг 2016, 20:54
Еще одна ссылка на гикнос и все ваши посты будут удалены.
Кто сейчас на конференции
Сейчас этот форум просматривают: Yandex [Bot] и 0 гостей
Источник
Не каждый медленный или плохо работающий компьютер заражен вредоносным ПО. Вот как проверить, есть ли у вас вирус – и является ли этот подозрительный процесс опасным.
Это десятилетия назад, вирусы часто были простыми шалостями, которые использовали много системных ресурсов. Современные вредоносные программы, скорее всего, будут скрытны и тихонечко работать в фоновом режиме. Сейчас, современные вредоносные программы создаются преступниками для того, чтобы заработать денег, а хорошо продуманные вредоносные программы вообще не вызовут каких-либо заметных проблем с ПК.
Тем не менее, внезапная низкая производительность ПК может быть одним из признаков того, что у вас вредоносное ПО. Странные приложения в вашей системе также могут указывать на вирус, но, опять же, нет гарантии.
Не существует единого доказательства, наличия вируса, подходящего для всех, без фактического сканирования компьютера на наличие вредоносных программ.
Единственный способ узнать наверняка, есть ли у вас вредоносная программа, – это проверить вашу операционную систему.
Как проверить, является ли процесс вирусом или нет
Узнать, есть ли на компьютере вирус, так как вы видели странный процесс в диспетчере задач Windows, который можно открыть, нажав Ctrl + Shift + Esc или щелкнув правой кнопкой мыши панель задач Windows и выбрав «Диспетчер задач».
Открыть диспетчер задач Windows из панели задач Windows 10
В диспетчере можно увидеть довольно много процессов – нажмите «Подробнее», если вы видите меньший список. Многие из этих процессов имеют странные, запутанные имена. Это нормально.
Как обезопасить себя в интернете. Способы, сервисы, рекомендации.
Windows включает в себя довольно много фоновых процессов, некоторые из них добавлены производителем вашего ПК, а устанавливаемые вами приложения часто добавляют свои.
Диспетчер задач Windows 10, показывающий запущенные процессы.
Вредоносное ПО часто использует большой объем ресурсов ЦП, памяти или диска и может быть заметен здесь. Если вам интересно, является ли конкретная программа вредоносной, щелкните ее правой кнопкой мыши в диспетчере задач и выберите «Поиск в Интернете», чтобы найти дополнительную информацию.
Поиск имени процесса в интернете из диспетчера задач Windows.
Если поиск в выводит информацию о вредоносном ПО, это 100% признак того, что у вас вирус.
Однако не думайте, что ваш компьютер не содержит вирусов только потому, что какой то незнакомый процесс выглядит законным. Процесс может лгать и говорить, что он, например, «Google Chrome» или «chrome.exe», но это может быть просто вредоносная программа, имитирующая Google Chrome, которая находится в другой папке вашей системы.
9 не сложных способов обойтись без антивируса
Если вам лень проверять с помощью поиска в интернете из диспетчера задач, как рассказывалось выше, но вы обеспокоены тем, что у вас могут быть вредоносные программы, мы рекомендуем выполнить проверку на наличие вредоносных программ.
Как сканировать компьютер на вирусы
В Windows 10 откройте меню «Пуск», введите «Безопасность» и щелкните ярлык «Безопасность Windows», чтобы открыть его. Вы также можете перейти в «Настройки»➣ «Обновление и безопасность»➣ «Безопасность Windows»➣ «Открыть безопасность Windows».
Открытие приложения безопасности Windows из настроек Windows 10
Чтобы выполнить проверку на наличие вредоносных программ, нажмите «Защита от вирусов и угроз».
Открытие настроек защиты от вирусов и угроз в Windows Security.
Нажмите «Быстрое сканирование» для сканирования вашей системы на наличие вредоносных программ. Windows Security выполнит сканирование и выдаст вам результаты. Если какая-либо вредоносная программа найдена, она предложит удалить ее с вашего компьютера автоматически.
Сканирование вручную на наличие вирусов и других вредоносных программ в Windows Security
Список ссылок на скачивание бесплатных вирусных сканеров для домашнего использования
Если вам нужен другой способ поиска вирусов – а ваш основной антивирус ничего не находит – вы можете выполнить сканирование и с помощью другого приложения безопасности.
Список ссылок на скачивание бесплатных вирусных сканеров для домашнего использования
Бесплатные сканеры или ознакомительные версии антивирусных программ.
- Ссылка для скачивания Сканера безопасности Microsoft откроется на новой вкладке Microsoft Safety Scanner – это диагностический инструмент, предназначенный для поиска и удаления вредоносных программ с компьютеров Windows.
- Ссылка на Домашние пользовательские версии откроется на новой вкладке Spybot Search and Destroy – пакет безопасности все-в-одном включают в себя много дополнительных инструментов и функций, в том числе защиту от вирусов.
- Ссылка для скачивания онлайн сканера Bitdefender, откроется на новой вкладке Bitdefender Virus Scanner – используются передовые технологии, такие как машинное обучение, чтобы защитить вас от фишинга и других типов мошеннического контента.
- Ссылка на Mac App Store откроется на новой вкладке также для MacOS – Bitdefender Virus Scanner легко обнаруживает вредоносное ПО на MacOS
- Ссылка на бесплатный Kaspersky Security Scan откроется на новой вкладке Kaspersky Security Scan – бесплатный сканер вирусов Kaspersky Security Scan
- Ссылка на продукт, руководство или утилиту ремонта Центра загрузки Avira откроется на новой вкладке Avira PC Cleaner – Центр загрузки антивирусных продуктов Avira
- Ссылка скачивания бесплатной ознакомительной версии Malwarebytes откроется на новой вкладке Malwarebytes – Ваша первая линия обороны от шпионских программ. (Malwarebytes for Windows, Malwarebytes for Mac, Malwarebytes for Android)
Windows 7 не включает встроенное антивирусное программное обеспечение. Для бесплатного антивируса вы можете скачать Microsoft Security Essentials и запустить сканирование с ним. Это обеспечивает защиту, аналогичную программному обеспечению безопасности Защитника Windows, встроенному в Windows 10.
Если ваше антивирусное приложение обнаруживает вредоносное ПО, но не может удалить его, попробуйте выполнить сканирование в безопасном режиме. Вы также можете убить абсолютно все вирусы и вредоносное ПО, вернув Windows 10 в состояние по умолчанию.
Как перезагрузить компьютер из Windows
✽ ✾ ✿❁ ❃ ❋ ❀
。 ° ˛ ˚ ˛ ˚ ˛ ˚ •
。
。 • ˚ ˚ ˛ ˚ ˛ 。 ° 。 ° 。
• ˚ ★карта канала★ *
˛ • • НачинающƎму • ˚ ˚ • ˚ ˚ ˚ ˚
。* ★2019★ • ˚ ˚
˛ *__Π___*。* ˚ ˚ ˛ ˚ ˛ • ˚ ˚
*/______/~。˚ ˚ ˛ ˚ ˛
*|田田 . .|門| ˚
✽ ✾ ✿❁ ❃ ❋ ❀ ✽ ✾ ✿❁ ❃ ❋ ❀
Есть что сказать об этой статье? Прокомментируйте ниже или поделитесь.
| Сайт автора |
Источник
Какой бы хороший антивирус ни стоял на компьютерах в вашей фирме, всегда находится такой вирус, который рано или поздно может прорваться сквозь защиту и нанести большой вред всей системе.
Вирусы в корпоративной сети очень опасны тем, что поражают не один ПК, а могут достаточно быстро расползтись по всем устройствам. Вирус может стереть очень важную информацию или вообще остановить работу компании.
Поэтому, если в сети обнаружено вредоносное ПО, нужно принимать экстренные меры, чтобы зловредная программа принесла минимальный урон.
Что нужно делать в первую очередь?
Попадая в компьютер, сетевой вирус начинает очень быстро распространяться. На другие устройства он проникает через открытые уязвимости ОС или через общие ресурсы. Поэтому первое, что нужно сделать, это закрыть все уязвимости, отключить вай-фай, заблокировать общие источники.
В идеале, чтобы вирус не распространился, нужно отключить заражённый компьютер от корпоративной сети. Однако здесь есть проблема. Если вирус уже начал распространяться по сети, определить, какой ПК пустил его в сеть, будет не просто. Для этого есть несколько методик.
Чтобы вирус не «убил» всю систему, нужно как можно быстрее найти его источник и обезвредить. После этого данные о вредоносной программе нужно передать производителям вашего антивируса, чтобы они могли разработать защиту. Но обо всём по порядку.
Поиск заражённого компьютера
Чем быстрее удастся найти источник (источники) заражения, тем больше компьютеров и данных получиться спасти.
Существует несколько методов поиска. Мы рассмотрим два самых простых, доступных и вместе с тем эффективных:
- Исследование трафика компьютера;
- Автоматический удалённый анализ.
Первым способом очень легко поймать спам-бота, сетевого или почтового червя. Второй способ несколько сложнее первого, но зато более универсальный. Для верности можно использовать оба метода сразу.
Исследование трафика
Для применения метода используют снифферы – специальные анализаторы трафика. Исследование можно проводить вручную. Но это достаточно трудоёмкий процесс. Сейчас для исследования трафика большинство фирм использует специальные системы обнаружения вторжений – IDS. Пример такой системы – Snort.
Стандартная IDS состоит из сниффера и программы, анализирующей собранную информацию. Систему устанавливают на несколько узлов сети и запускают в случае проникновения вируса. Анализ делается автоматически. После этого устройства, на которых была замечена подозрительная активность, отключаются от корпоративной сети, и на них отдельно ведётся поиск и обезвреживание вируса.
Помимо того, что IDS автоматизируют работу, у них есть ещё один плюс – анализ можно периодически проводить для профилактики. Так больше шансов вовремя обнаружить вредную программу и удалить её.
Автоматический анализ
На самом деле, здесь существует несколько способов. Чтобы объяснить принцип, мы рассмотрим использование утилиты AVZ. Она запускается из сетевой папки на сервере при помощи логин-скрипта. Для успешной работы утилиты нужно создать в сетевой папке подкаталоги LOG и Qurantine и разрешить участникам сети делать в них записи.
После этого применяются разные скрипты, которые ищут подозрительное ПО. Мы рассмотрим несколько самых полезных.
Самый простой скрипт – автоматический карантин. Выглядит он следующим образом:
begin
ExecuteAutoQuarantine;end.
Программа изучает всю систему и поступающие в неё файлы и отправляет подозрительные программы в папку «Карантин». Этот процесс можно периодически запускать на компьютерах для профилактики и, если были обнаружены подозрительные программы, проверять их.
Если автокарантин не работает, можно пойти более сложным и детальным путём. Для этого нужен скрипт, с помощью которого делается анализ всех запущенных процессов на компьютере. Процессы распределяются в два списка: все процессы и те, которые считаются опасными. Обычно имя вредоносного процесса бывает уже известно. Поэтому, если компьютер заражён, программа находит его. А остальные процессы можно изучить на предмет представления опасности. Данный скрипт выглядит следующим образом:
procedure ScanProcess;
var
i : integer;
S, S1 : string;
begin
S := ‘’; S1 := ‘’;
RefreshProcessList;
AddToLog(‘Количество процессов = ‘+IntToStr(GetProcessCount));
for i := 0 to GetProcessCount — 1 do begin
S1 := S1 + ‘,’ + ExtractFileName(GetProcessName(i));
if pos(‘danger.exe’, LowerCase(GetProcessName(i))) > 0 then
S := S + GetProcessName(i)+’,’;
end;
if S <> ‘’ then
AddLineToTxtFile(GetAVZDirectory+’LOG_alarm.txt’, DateTimeToStr(Now)+’ ‘+GetComputerName+’ : ‘+S);
AddLineToTxtFile(GetAVZDirectory+’LOG_all_process.txt’, DateTimeToStr(Now)+’ ‘+GetComputerName+’ : ‘+S1);
end;
begin
ScanProcess;
end.
Имя вредоносного файла мы условно обозначили как danger.exe. Для более детального анализа этот скрипт можно усложнять, дополнять. В любом случае принцип программы остаётся тот же – поиск запущенных процессов и выделение подозрительных.
Удаление вируса
Самый простой способ – это отправить данные вредоносного ПО производителю антивируса. Производитель должен изучить его и разработать сигнатуры, которые удалят вирус. Сигнатуры поступят в сеть после нового обновления, и вирус исчезнет.
Однако к этому способу прибегают крайне редко, потому что зачастую разработчики антивируса не реагируют на проблему достаточно оперативно. Пока придёт обновление, коварная программа может натворить очень много бед. Данные, конечно же, надо отправить. И с новым обновлением вы больше не подхватите тот же вирус. Но удалять его лучше вручную. И тут опять можно использовать AVZ.
Стандартный скрипт для удаления выглядит так:
Begin
DeleteFile(‘имя файла’);
ExecuteSysClean;
end.
Программа удаляет заданный файл или несколько файлов (команд DeleteFile может быть сколько угодно), а после чистит реестр.
Однако очень часто вирусы защищаются от удаления. Тогда скрипт можно усложнить до вида:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile(‘имя файла’);
BC_LogFile(GetAVZDirectory + ‘boot_clr.log’);
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
Этот скрипт достаточно эффективен. Чтобы противостоять ему, вирус должен быть очень сильным. А такие попадаются крайне редко.
Ловушки для вирусов
Чтобы вообще не дать вирусу проникнуть в систему, можно установить ловушку. Для этого можно использовать старый компьютер. Устанавливаем на него ОС без пакетов обновлений, подключаем к корпоративной сети и ставим сниффер. Очень удобно ставить снифферы с автоматическими оповещениями. Если на таком компьютере будет обнаружена активность, значит, вирус проник в систему. Так можно вовремя засечь его и удалить, не позволив нанести вред.
Источник
Проанализируйте способы заражения:
Злоумышленник может получить пароли к администраторским панелям CMS, FTP или SSH аккаунтам. Обычно пароли подбирают или крадут с помощью троянских программ, заразивших компьютер вебмастера.
Уязвимости веб-приложения могут позволять посторонним размещать на сайте произвольный код.
Из-за заражения внешнего ресурса (партнерской программы, баннерной системы, счётчика) предоставленный вам код может стать опасным для пользователей.
Проанализируйте информацию о заражении в Яндекс.Вебмастере, в разделе Безопасность и нарушения. Раздел содержит перечень зараженных страниц, даты проверок и вынесенные антивирусом вердикты. Перейдя по ссылке в названии вердикта, вы увидите его описание и примерный вид кода, соответствующего вердикту (кода, который непосредственно появляется на страницах сайта).
Вы также можете самостоятельно воспроизвести проблему с помощью виртуальной машины.
Остановите веб-сервер, чтобы оградить посетителей сайта от потенциальной опасности. Затем проверьте антивирусом файлы веб-сервера и все рабочие станции, с которых администрируют сервер (можно использовать бесплатные антивирусные утилиты) и смените все пароли: root, FTP, SSH, от административных панелей хостинга и CMS.
Если до заражения была сделана резервная копия сайта, восстановите ее.
Обновите до последних версий все используемые сайтом программы и поищите описания исправленных уязвимостей. Возможно, это поможет понять, каким образом сайт был заражен.
Удалите лишних пользователей с расширенными правами и тщательно проверьте сервер на наличие веб-шелла, с помощью которого злоумышленник может изменять код сайта в обход авторизации.
Проверьте наличие вредоносного кода:
во всех серверных скриптах, шаблонах CMS, базах данных;
в конфигурационных файлах веб-сервера или интерпретатора серверных скриптов;
если вы используете shared-хостинг, проверьте другие сайты, расположенные на том же сервере — может быть заражен весь сервер.
Признаки вредоносного кода:
Код посторонний или незнакомый, не соответствует резервной копии или системе контроля версий.
Обфусцированный (нечитаемый, неструктурированный) код.
Дата модификации файлов совпадает с временем заражения или более поздняя. Этот параметр ненадежен, так как дата модификации файлов может быть изменена вирусом.
Использование характерных для вредоносного кода функций. Примеры таких функций для языка PHP:
динамическое исполнение кода (eval, assert, create_function);
обфускация (base64_decode, gzuncompress, gzinflate, str_rot13, preg_replace);
загрузка удаленных ресурсов (file_get_contents, curl_exec).
Пометка об опасности сайта в результатах поиска будет снята, если при очередной проверке робот Яндекса не обнаружит заражения. Чтобы ускорить перепроверку, в интерфейсе Яндекс.Вебмастера, в разделе Безопасность и нарушения, нажмите кнопку Я все исправил.
Рекомендуем в течение нескольких недель после заражения регулярно перепроверять файлы и код сайта на тот случай, если использованная уязвимость не была устранена или злоумышленники по прежнему имеют доступ к сайту.
Яндекс постоянно ищет и исследует новые виды заражений и публикует результаты исследований в блоге Безопасного поиска Яндекса.
Если вы обнаружили на своем сайте вредоносный или подозрительный код, отправьте его на анализ специалистам.
Чтобы ваш вопрос быстрее попал к нужному специалисту, уточните тему:
Источник