Ilmoittaa kaikissa XP koneissa: Backdoor.Win32.VB.awg
Onko tuo nyt ihan varmaa ettei se ole virheellinen indikaatio? Osassa
koneita ei ole käyttäjiä ja niissä on Windowssin oma palomuuri myös
päällä. En keksi mitään tapaa miten tuollainen backdoor olisi päässyt
livahtamaan sisään.
Eli lähteitä on kaksi:
F-Secure
Microsoft update
Kummasta on kyse?
Onko tuo nyt ihan varmaa ettei se ole virheellinen indikaatio? Osassa
koneita ei ole käyttäjiä ja niissä on Windowssin oma palomuuri myös
päällä. En keksi mitään tapaa miten tuollainen backdoor olisi päässyt
livahtamaan sisään.
Eli lähteitä on kaksi:
F-Secure
Microsoft update
Kummasta on kyse?
Vastaukset 11
Vanhimmat
>Onko tuo nyt ihan varmaa ettei se ole virheellinen indikaatio? <
-On varmaa!
>En keksi mitään tapaa miten tuollainen backdoor olisi päässyt livahtamaan sisään.
Eli lähteitä on kaksi:
F-Secure Microsoft update Kummasta on kyse?<
-Takuuvarmasti ei kummastakaan!!!!
Jopas sinulla on vilkas mielikuvitus.
Backdoor.Win32.VB.awg on mato.
Tuo mato käyttää tämmöisiä tiedostonimiä.
Drunk_lol.pif
Webcam_004.pif
sexy_bedroom.pif
naked_party.pif
love_me.pif
Ko.mato leviää yleensä MSN:n kautta F-secure tunnistaa ja pystyy sen tuhoamaan, jos f-securessasi on päivitykset asennettuna.
http://www.f-secure.com/v-descs/bropia_a.shtml
Yhdessäkään koneesssa ei ole MSN käytössä. Yhdessäkään koneessa ei ole tuon nimisiä tiedostoja. Koneissa ei käytetä sähköpostia. Koneissa on oma palomuuri päällä. Koneilla ei surffata.
Jos tunniste on kerran NOIN vanha, eikö virustorjunnan olisi pitänyt tunnistaa se jo aikaisemmin?
Nyt ilmoittaa että winsock.dll on saastunut. Miten se voi olla saastunut jos realtime virustorjunta hoitaa virusket pois ennen kuin ne aktivoituvat.
F-Secure ei pysty sitä tuhoamaan. Se vain nimeää uudelleen winsock:in jossa ongelma ilmenee.
Mitäs sanot näihin kohtiin?
Edelleen mielestäni todennäköisempää on väärä indikaatio kuin että virus olisi päässyt yli 200 koneeseen.
Koneille ei ole tehty mitään keskitettyjä tai aktiivisia ylläpito-toimia. Poislukien windowssin automaattiset updatet ja f-securen updatet.
>F-Secure ei pysty sitä tuhoamaan. Se vain nimeää uudelleen winsock:in jossa ongelma ilmenee.<
- Jos F-Securen tuotteen asetuksia et itse muuta, toimii F-secure näin:
- F-secure yrittää puhdistaa pöpön
- Jos pöpö on virus, niin se puhdistetaan
- Jos pöpö on takaovi, mato tai troijalainen, siinä ei onnistuta. Sitä ei yksinkertaisesti voida puhdistaa. Mahdotonta. Piste.
- Tällöin pöpö uudelleennimetään jotta se ei leviä
Näin yksinkertaista se on.
Ja miksiko ei voida puhdistaa sitten Matoa, Takaovea tai Troijalaista?
No siksi että ne eivät liitä koodiaan mihinkään toiseen objektiin josta ne voitaisiin puhdistaa. Näin ollen mitään puhdistettavaa ei ole vaan ne uudelleennimetään.
No miksikö uudelleennimetään?
No siksi että skannerit tekevät joskus virhearvioita eikä F-Secure ole halunnut poistaa tiedostoja koneelta automaattisesti juuri sen takia että jos skanneri tekisikin väärän hälytyksen niin ettei lähde tärkeä tiedosto taivaan tuuliin.
Kyllä tämä on tarkkaan harkittu toiminnallisuus.
Jotkut virukset osaa mennä myös Restore eli Järjestelmän palautus tiedostoihin sieltäkin saat virukset pois tällä ohjeella:
http://support.f-secure.fi/fin/home/virusproblem/howtoclean/cleansystemrestore.shtml
Kaikki jonka kerroit on kyllä varsin hyvin tiedossa. Joskus 80-90 luvulla tuli kaiken näköisiä ohjelmistoja kirjoitettua itse.
Siksi lähinnä halusinkin tarkennusta siihen arvioon, että usko näillä tiedoilla on aika vahva virheellisen tunnistuksen osalta. Tosin herää kysymyksi miski noin vanhan tunnisteen osalta. Koska sama kirjasto ja tuo tunniste molempien pitäisi olla ollut jo koneessa pitkään. Eli tämän olisi kaiken järjen mukaan pitänyt tapahtua aikaisemmin.
Katsellaan, pistettiin Äh, securelle noi kirjastot tarkistettavaksi. Kyllä tämä tästä selviää. Se vaan on nihkeetä kun on satoja työasemia pois käytöstä.
Mitä restore-hommaan tulee, se on enemmän kuin valitettavan tuttua. ;) Et usko kuinka paljon sontaa ihmiset saa ladattua koneisiin. Tässä on kuitenkin se vissi ero, että yleensä saatuminen tapahtuu tipoittain tai lani-kerrallaan. Ei niin että on useita satoja koneita eri verkoissa ympäri suomea muutamassa tunnissa saastuneena. Tietysti on vielä mahdollista että olisi joku back doori koneessa. Mutta noin nopea saastuminen ei tule edes satunnais ip:llä kysymykseen. Useimmat koneet kun on kuitenkin vähintään NAT:in takana. Monissa on myös F-securen tai Windowssin palomuuri käytössä.
Jos kaikissa koneissa olisi joku palvelu josta on löytynyt 0-day exploitti, silloin kyllä tällainen tilanne olisi valitettavasti mahdollinen. Mutta kun koneet on nyt suhtkoht hyvin suojassa tuntuu tilanne oudolta.
Viittaa siis mielestäni väärään positiiviseen.
Mutta mitä sitä turhaan enää spekuloimaan. Ihmetellään mitä F*ing-securen pojat sanoo.
Kerrothan tässä viestiketjussa kun asia aikanaan sinulle selviää.
Toki. Se on aina paha kun tulee kiire eikä voi tehdä huolellista mahdollisesti pitkäänkin kestävää äärimmäisen analyyttistä prosessia tilanteen selvittämiseksi. Samoin joskus on todella vaikeaa saada kerättyä asiaan liittyvät faktat kasaan.
Siksi nämä jääkin tällaiselle spekulointi tasolle kun ei ole mitään varmaa. Tietysti voisin pyytää kavereita ottamaan yhden koneen imagesta ja asentamaan siihen vain f-securen ja ajamaan updatet ja katsomaan tuleeko silti sama herja. Katotaan jos joku ehtisi tekemään tuon.
Jos koneessa on F-securen virustentojunta ohjelma kannattaa katsoa mitä f-secure on sille tehnyt.
>Käynnistä
>Etsi
>Kaikki tiedostot ja kansiot
>kirjoita, Tiedosto nimi tai nimen osa, kohtaan hakusanaksi: logfile.log
>Etsi
Kun sain ensimmäisen tietokoneviruksen joskus vuonna 1992 tms.
Warez purkista leechaamassani Indy500 pelissä oli Yankee Doodle virus.
Tuossa oli juuri se vinkeä juttu että se oli TSR virus. Tartutti vain sovellukset jotka käynnistettiin tuon jälkeen.
Virusta ei pystynyt poistamaan korruptoimatta sovellusta. Sovellus kuitenkin toimi ihan hyvin viruksen kanssa. Piti vaan muistaa bootata kone eikä lopettaa peliä. Niin virus ei levinnyt. ;)
Arvaa vaan ehtikö se levitä kavereille jne se ennen kuin tuon keksi. Silloin tuli Dos F-Protille kovasti käyttöä.
Kiva käydä kaikki paketit ja disketit läpi. Taisi mennä pari päivää tuon sotkun siivoamisessa pelkstään kotiympäristössä.
Nyt ongelma ei enää ilmene. Myös ne työasemat jotka oli rikki ovat nyt kunnossa.
Nyt työasemat saadaan kuntoon nimeämällä tiedosto takaisin. Enää ei tule ilmoitusta madosta.
Kiitos Äh-secure.
mene:
http://support.f-secure.fi/fin/home/virusproblem/
Kirjoita -Etsi virustunnisteita kohtaan-
Backdoor.Win32.VB.awg
klikkaa Search saat tuon örkin tiedot
http://support.f-secure.fi/fin/home/virusproblem/
"Kuittasivat, että sormenjäljissä oli vikaa ja että sormenjälkiversiosta 2006-07-19_05 alkaen asia on ollut kunnossa."