наиболее крутые вирусы случаи из жизн - Страница 2 - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию
ANTISIMIT

наиболее крутые вирусы случаи из жизн

Recommended Posts

mikka
Лечились такие зловреджные вещи только сканирвоанием из под DOS.

Особенно на разделах NTFS :lol:

А что под NTFS есть проблемы загрузиться Command Line и пролечиться, что сканеров, запускающихся из под командной строки нет что ли?

Подскажите пожалуйста утилиту или драйвер, который позволяет из-под DOS монтировать NTFS-разделы и осуществлять чтение и запись на них. Последние варианты подобного софта, которые мне попадались, были либо readonly, либо очень глючные, может я чего пропустил?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Наиболее сложно на моем опыте удаляются те вирусы, которые сидят в системе как активные процессы (например, различные Trojan'ы или BackDoor'ы). Неоторые антивирусы просто не могут процессы останавливать :(

[skip]

Лечились такие зловреджные вещи только сканирвоанием из под DOS.

На самом деле, я лечил такое либо с помощью "диска спасения" (линуксовая дискета) Либо вынимая винт и вставляя его вторым на заведомо чистую систему

Это все применимо только для отдельного компьютера. Для зараженной корпоративной сети такой подход весьма накладен. Кроме упомянутой ниже проблемы с NTFS-разделами.

Для Trend Micro всю заразу автоматически вычищает специальный сервис (за отдельные деньги) Damage Cleanup Service, который и процесс убъет и реестр почистит и т.п. Лично для нас --- кто пользуется для защиты OfficeScan'ом с активированным DCS --- самый страшный вирус, это который не умеет вычищать DCS. Если мы такой вирус подхватим, то придется отправлять его образец в TrendLabs и подождать, когда они выпустят обновление. Поле этого вирус во всей сети будет уничтожен. Без необходимости создавать дискетки или CD и ходить по компьютерам.

У McAfee, насколько мне известно, все несколько менее автоматизировано, но результат такой же. Вручную загружается с сайта последняя версия stinger.exe и скармливается в ePolicy для запуска на всех системах. После чего можно расслабиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Для Trend Micro всю заразу автоматически вычищает специальный сервис (за отдельные деньги) Damage Cleanup Service, который и процесс убъет и реестр почистит и т.п. Лично для нас --- кто пользуется для защиты OfficeScan'ом с активированным DCS --- самый страшный вирус, это который не умеет вычищать DCS. Если мы такой вирус подхватим, то придется отправлять его образец в TrendLabs и подождать, когда они выпустят обновление. Поле этого вирус во всей сети будет уничтожен. Без необходимости создавать дискетки или CD и ходить по компьютерам.

У McAfee, насколько мне известно, все несколько менее автоматизировано, но результат такой же. Вручную загружается с сайта последняя версия stinger.exe и скармливается в ePolicy для запуска на всех системах. После чего можно расслабиться.

Конечно, если в сетка компов на уже чтобы пролечить каждый уйдет куча времени. Что говорить если их 1000 :(

Damage Cleanup Service - интересный сервис, идея очень здравая, жаль только стоит он очень приличных денег.

Кстати, Михаил, можно ли его как-то попробовать до приобретения, есть ли какой-то тестовый период?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Damage Cleanup Service - интересный сервис, идея очень здравая, жаль только стоит он очень приличных денег.

Эксклюзифф, понимашь...

Любопытно, но многие клиенты считают, что подобная функциональность самоочевидна для любого антивируса и не считают спарведливым, что Trend за нее берет дополнительные деньги. Есть и справедливая сторона: DCS существует в трех вариантах

1. Отдельный серверный продукт Damage Cleanup Server. Его можно использовать, если раб. станции и сервера защищены не Trend Micro OfficeScan

2. Сервис в составе Control Manager (централизованное управление). Как и предыдущий продукт здесь очистка работает для Windows NT/2000/XP/2003, если дать продукту реквизиты с администраторскими привелегиями

3. В составе Trend Micro OfficeScan

справедливость в том, что DCS во всех продуктах един в том смысле, что активируется единым кодом, что позволяет произвольно выбирать способ использования.

Кстати, Михаил, можно ли его как-то попробовать до приобретения, есть ли какой-то тестовый период?

Вы будете смеятся, но сама утилита очистки бесплатна и открыто доступна на сайте Trend Micro:

http://www.trendmicro.com/download/dcs.asp

Damage Cleanup Engine / Template - очистка

Sysclean - еще и традиционное сканирование всей системы

Деньги фактически берутся за средства автоматизированной доставки средств очиски до зараженных компьютеров и сбора результатов очиски, что очень важно в корпоративной сети.

Упомянутые выше продукты можно протестировать в течении 30 дней. Для этого есть сайт http://ru.trendmicro-europe.com/enterprise...oducts_down.php

P.S.

У McAfee стингер тоже бесплатен и открыто доступен http://vil.nai.com/vil/stinger/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

В случае уже имеющего заражения, по какому принципу будет работать этот сервис?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
Благодарю за интересный и полный ответ.

Как видно для самостоятельного лечения необходим ощутимый набор утилит. Нет ли в сети готового программного пакета, который мог бы все это делать?

Тут важно понимать, что в случае новой заразы Вам надо или на антивирус надеяться или на себя. Если Вы не знаете как бороться с вирусом, и нет связи с антивирусом.. ВОТ ВОПРОС!!!

Я обязательно протестирую предлагаемую утилиту. Но перед автоматизацией любого процесса, обязательно надо знать его алгоритм работы, для мозгов. Калькуляторы в первом классе не дают :)

Одна утилита это очень удобно, наличие сервиса от известного производителя великолепно.. НО в этом случае Ваша работа заключается в том, чтобы запустить сервис :( если он бессилен. что делать если сервис бессилен?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
В случае уже имеющего заражения, по какому принципу будет работать этот сервис?

Смотря в каком виде его использовать

1. Скачать с сайта DCE/DCT (Damage Cleanup Engine и Damage Cleanup Template --- фактически два файла tsc.exe и tsc.ptn). Скопировать в какой-нибудь каталог на зараженной машине и запустить tsc.exe

2. Из Damage Cleanup Server или Control Manager. Указать в продукте имя и пароь администратора для зараженной машины (Windows NT/2000/XP/2003) и создать задачу (task) очистки для данной машины (или группы машин). Кликнуть "Run task now".

3. Поставить OfficeScan и активировать в нем DCS. В этом случае ничего дополнительно делать не нужно --- DCS запустится автоматически.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Принцип работы открыт?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Принцип работы открыт?

DCS ищет известные процессы в памяти и "убивает" их. Удаляет известные ключи в реестре и записи в win.ini и system.ini. Удаляет известные файлы. Может быть еще кое-что.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

т.е только известные разработчикам, а если троян не известен.. то не обнаружит?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
т.е только известные разработчикам, а если троян не известен.. то не обнаружит?

Конечно, нет. Насколько я понял Михаила, DCS не всю заразу может вычищать, возможна такая ситуация, что вирус детектиться, но DCS его не сможет вычистить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

тогда мои рекомендации в силе и я могу их дополнить, и указать конкретные утилиты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
т.е только известные разработчикам, а если троян не известен.. то не обнаружит?

Не в обнаружении дело, а в том, что он не просто обнаруживает, но и удаляет. Автоматически. Без всяких перезагрузок.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
тогда мои рекомендации в силе и я могу их дополнить, и указать конкретные утилиты.

Было бы замечательно :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

ситуация.

Новый троян-качалка, попадая в сеть, начинает заражать комп, туда подает хлам, с хламом приходят пара новых червей (работающих).

Черви начинают заражать сеть.

Ваша утилита молчит.

Действия защиты:

1. Определить метод заражения и метод размножения

2. Изолировать не заражённые компы.

3. Изобрести лекарство.

4. Начать лечение и вакцинацию.

5. Оценить уровень разрушений, начать восстановление.

Если it sec выделил вредоносный код, послал в тренд микро, через сколько времени утилита будет готова к использованию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
ситуация.

Новый троян-качалка, попадая в сеть, начинает заражать комп, туда подает хлам, с хламом приходят пара новых червей (работающих).

Черви начинают заражать сеть.

Ваша утилита молчит.

Замечу, что отлов в Real-time, это не задача DCS. Для Real-time есть антивирусный монитор, что разуеется не исключает ситуации, описанной вами.

Действия защиты:

1. Определить метод заражения и метод размножения

2. Изолировать не заражённые компы.

3. Изобрести лекарство.

4. Начать лечение и вакцинацию.

5. Оценить уровень разрушений, начать восстановление.

Я не понял, что за список вы привели.

Если it sec выделил вредоносный код, послал в тренд микро, через сколько времени утилита будет готова к использованию.

Разработка обновления к DCS занимает различное время, в зависимости от типа заразы. Кроме определения ее функциональности (определить, что она меняет в системе, качает из Интернета, ...) нужно протестирвоать корректность работы (на всех версиях Windows!), а это требует огромного количества ресурсов. Для экстренных случаев, это занимает 2-4 часа.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Я привёл список действий направленных на локализацию вирусной эпидемии внутри локальной сети.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Я привёл список действий направленных на локализацию вирусной эпидемии внутри локальной сети.

Действий кого? Людей? Автоматики?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
VladB
Лечились такие зловреджные вещи только сканирвоанием из под DOS.

Особенно на разделах NTFS :lol:

Простите, на разделах NTFS можно не только читать но и писать :) Просто запускать при этом нужно сканер (без монитора, памяти не хватит). А дрйвер для писания (чтения) - NTFSDOS Pro (нужен конечно ключ, но это не большая проблема).

А вообще-то большинство дисков спасения - из под Linux или Win Lite (соответствующий образ ХР, работающий с CD делал еще года два назад. Ставил на него DrWeb или UNA), а базы для UNA - писал прямо на зараженный комп.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

совместных.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
Лечились такие зловреджные вещи только сканирвоанием из под DOS.

Особенно на разделах NTFS :lol:

Простите, на разделах NTFS можно не только читать но и писать :) Просто запускать при этом нужно сканер (без монитора, памяти не хватит). А дрйвер для писания (чтения) - NTFSDOS Pro (нужен конечно ключ, но это не большая проблема).

А вообще-то большинство дисков спасения - из под Linux или Win Lite (соответствующий образ ХР, работающий с CD делал еще года два назад. Ставил на него DrWeb или UNA), а базы для UNA - писал прямо на зараженный комп.

В чём проблема диск снять и подключить к "здоровому" компьютеру такой же ОС, с обновлённым антивирусом?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
VladB

Иногда вообще-то компьютеры гарантийные опечатывают для соблюдения гарантии

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

Дк тогда везите в сервисный центр, если он запломбирован или пусть специалист оттуда приезжает.. или гарантия только на железо?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
VladB
Дк тогда везите в сервисный центр, если он запломбирован или пусть специалист оттуда приезжает.. или гарантия только на железо?

На железо естественно

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ANTISIMIT
В случае уже имеющего заражения, по какому принципу будет работать этот сервис?

Смотря в каком виде его использовать

1. Скачать с сайта DCE/DCT (Damage Cleanup Engine и Damage Cleanup Template --- фактически два файла tsc.exe и tsc.ptn). Скопировать в какой-нибудь каталог на зараженной машине и запустить tsc.exe

2. Из Damage Cleanup Server или Control Manager. Указать в продукте имя и пароь администратора для зараженной машины (Windows NT/2000/XP/2003) и создать задачу (task) очистки для данной машины (или группы машин). Кликнуть "Run task now".

3. Поставить OfficeScan и активировать в нем DCS. В этом случае ничего дополнительно делать не нужно --- DCS запустится автоматически.

где скачать се утиль?, и еще почему не кто не говорит про россиские утилиты и антивирусы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×