Πρόβλημα με ιο στα windows 7

[dhmm]

Καλημέρα σας.

Κολλήσαμε έναν ιο και κόλλησε σε όλα τα Win 7. Αρκετά απο αυτά άρχισαν να κάνουν restarts , blue screens κ.τ.λ. Μετα απο προσπάθεια κατάφερα να σταματήσω τα restart.

Τώρα όμως έχω ένα άλλο θεμα. Παρόλου τα μηχανήματα απαντάνε σε ping σε κανένα μηχάνημα Win7 δεν μπορώ να δω τα shared folders.

Έκανα αρκετές δοκιμές με sfc , με smb αλλά τίποτα.

Είναι κάποιος/α που του έχει συμβεί ; Τι προτείνεται ;

[Invader]

Κατέβασε κάποιο rescue disk , Kaspersky θα πρότεινα εγω.Επέλεξε να κάνει scan όλα τα αρχεία.

[snbblp]

Ποιος ιός ήταν αυτός;

[dhmm]

4 λεπτά πριν, Invader είπε

Κατέβασε κάποιο rescue disk , Kaspersky θα πρότεινα εγω.Επέλεξε να κάνει scan όλα τα αρχεία.

Το έκανα και με Kaspersky και με 3 anti-rootkit και με ESET. Έχω και Panda Adaptive Defense 360. Το πρόβλημα είναι νομίζω πως έκανε ζημιά στο σύστημα και συγκεκριμένα στο προτόκολλο για folder sharing

[snbblp]

1 λεπτό πριν, dhmm είπε

Το έκανα και με Kaspersky και με 3 anti-rootkit και με ESET. Έχω και Panda Adaptive Defense 360. Το πρόβλημα είναι νομίζω πως έκανε ζημιά στο σύστημα και συγκεκριμένα στο προτόκολλο για folder sharing

Φίλε, το Panda είναι αρκουδάκι, κι όχι antivirus.
Δεν μας είπες όμως, ποιος ιος ήταν αυτός. Μόνο έτσι μπορούμε να δούμε τα τεχνικά στη βάση και να σε καθοδηγήσουμε.

[dhmm]

10 λεπτά πριν, snbblp είπε

Ποιος ιός ήταν αυτός;

Panda Antivirus -> Win32/Exploit.Gen

Kaspersky -> Perkiller ( δεν θυμάμε ακριβώς )

ESET -> RootKit ( δεν θυμάμε ακριβώς )

Τα καθαρίζουν υποτίθεται αλλά δεν μπορώ να μπω στα folders

 

1 λεπτό πριν, snbblp είπε

Φίλε, το Panda είναι αρκουδάκι, κι όχι antivirus.
Δεν μας είπες όμως, ποιος ιος ήταν αυτός. Μόνο έτσι μπορούμε να δούμε τα τεχνικά στη βάση και να σε καθοδηγήσουμε.

Έγραψα φίλε μου

 

ΕΠΙΣΗΣ : Έκανα ένα pc format δούλεψε την επόμενη μέρα ξαναβρίκε τον ιο η Panda και πάει πάλι..

 

2 λεπτά πριν, snbblp είπε

Φίλε, το Panda είναι αρκουδάκι, κι όχι antivirus.
Δεν μας είπες όμως, ποιος ιος ήταν αυτός. Μόνο έτσι μπορούμε να δούμε τα τεχνικά στη βάση και να σε καθοδηγήσουμε.

Εσυ ποιο θα πρότινες ; ( Αυτό που έχω είναι το Adaptive Defense 360 )

Επεξ/σία 14 Σεπτεμβρίου 2020 από dhmm

[snbblp]

6 λεπτά πριν, dhmm είπε

Panda Antivirus -> Win32/Exploit.Gen

Kaspersky -> Perkiller ( δεν θυμάμε ακριβώς )

ESET -> RootKit ( δεν θυμάμε ακριβώς )

Τα καθαρίζουν υποτίθεται αλλά δεν μπορώ να μπω στα folders

Έγραψα φίλε μου

ΕΠΙΣΗΣ : Έκανα ένα pc format δούλεψε την επόμενη μέρα ξαναβρίκε τον ιο η Panda και πάει πάλι..

Εσυ ποιο θα πρότινες ; ( Αυτό που έχω είναι το Adaptive Defense 360 )

Εχεις "EternalBlue" SMB attack, που παραμένει στο δίκτυό σου και "μπουσουλάει" επαναπροσβάλλοντας ότι καθαρίζεις.
https://www.sentinelone.com/blog/eternalblue-nsa-developed-exploit-just-wont-die/

Κατέβασε το δίκτυο (ξεβυσμάτωσε ή power off το switch) και κάνε το καθάρισμα ΣΕ ΚΑΘΕ ΕΝΑ ΞΕΧΩΡΙΣΤΑ.
ΜΗΝ ΑΝΕΒΑΣΕΙΣ το δίκτυο αν δεν έχεις βεβαιωθεί ότι ΟΛΑ είναι καθαρά. Εστω ΕΝΑ να είναι μολυσμένο, θα περπατήσει σε όλο το δίκτυο και θα τα ξανακολλήσει όλα.

Σε μικρά (δομημένα) δίκτυα (άνω των 5-10 pc) έως και 35 (με domain) που έχω στήσει, εγώ συνιστώ το Symantec SEP.

[imvrios]

1. Στα 7αρια τα shared folders παραμένουν shared; Έλεγξες αν έχουν αλλάξει οι ρυθμίσεις;

2. Αν σου ξαναβρίσκει ιό και δεν είναι false positive, ή έχεις κάποια τρύπα στο δίκτυο σου ή κάποιο μηχάνημα μολυσμένο που δε το έχεις βρει και μολύνει ξανά όλα τα μηχανήματα.

3. Τα μολυσμένα μηχανήματα έχουν λογισμικό προστασίας, σωστά; Μήπως αυτό μπλοκάρει την πρόσβαση για να εμποδίσει τη διασπορα; Αν απενεργοποιήσεις το real time protection σε 7αρι μηχάνημα, υπάρχει πρόσβαση στα shares;

Τέλος, οφείλω να είμαι ευθύς μαζί σου, αν είσαι ο διαχειριστής του δικτύου είναι απαράδεκτο που ακόμα έχετε windows 7 σε εταιρικό περιβάλλον. Χωρίς δικαιολογίες πρέπει να αναβαθμίσετε. Όσο περνάει ο καιρός η κατάσταση θα γίνεται χιερότερη από άποψη ασφαλείας.

[snbblp]

7 λεπτά πριν, imvrios είπε

1. Στα 7αρια τα shared folders παραμένουν shared; Έλεγξες αν έχουν αλλάξει οι ρυθμίσεις;

2. Αν σου ξαναβρίσκει ιό και δεν είναι false positive, ή έχεις κάποια τρύπα στο δίκτυο σου ή κάποιο μηχάνημα μολυσμένο που δε το έχεις βρει και μολύνει ξανά όλα τα μηχανήματα.

3. Τα μολυσμένα μηχανήματα έχουν λογισμικό προστασίας, σωστά; Μήπως αυτό μπλοκάρει την πρόσβαση για να εμποδίσει τη διασπορα; Αν απενεργοποιήσεις το real time protection σε 7αρι μηχάνημα, υπάρχει πρόσβαση στα shares;

Τέλος, οφείλω να είμαι ευθύς μαζί σου, αν είσαι ο διαχειριστής του δικτύου είναι απαράδεκτο που ακόμα έχετε windows 7 σε εταιρικό περιβάλλον. Χωρίς δικαιολογίες πρέπει να αναβαθμίσετε. Όσο περνάει ο καιρός η κατάσταση θα γίνεται χιερότερη από άποψη ασφαλείας.

1. https://www.kaspersky.com/about/press-releases/2019_kaspersky-lab-uncovers-critical-vulnerability-in-windows-os-exploited-by-an-unknown-criminal-group

2. https://threats.kaspersky.com/en/threat/Exploit.Win32.MS17-010/

3. https://www.rapid7.com/db/modules/exploit/windows/smb/ms17_010_eternalblue

 

Επεξ/σία 14 Σεπτεμβρίου 2020 από snbblp

[dhmm]

10 λεπτά πριν, snbblp είπε

Εχεις "EternalBlue" SMB attack, που παραμένει στο δίκτυό σου και "μπουσουλάει" επαναπροσβάλλοντας ότι καθαρίζεις.
https://www.sentinelone.com/blog/eternalblue-nsa-developed-exploit-just-wont-die/

Κατέβασε το δίκτυο (ξεβυσμάτωσε ή power off το switch) και κάνε το καθάρισμα ΣΕ ΚΑΘΕ ΕΝΑ ΞΕΧΩΡΙΣΤΑ.
ΜΗΝ ΑΝΕΒΑΣΕΙΣ το δίκτυο αν δεν έχεις βεβαιωθεί ότι ΟΛΑ είναι καθαρά. Εστω ΕΝΑ να είναι μολυσμένο, θα περπατήσει σε όλο το δίκτυο και θα τα ξανακολλήσει όλα.

Σε μικρά (δομημένα) δίκτυα (άνω των 5-10 pc) έως και 35 (με domain) που έχω στήσει, εγώ συνιστώ το Symantec SEP.

Αυτό που δεν καταλαβαίνω είναι ότι τώρα σταμάτησαν τα restarts και το AV δεν βρίσκει τίποτα ( Λέει ότι είναι clean ). Μάλλον θα κάνω αυτό που λές.

[snbblp]

3 λεπτά πριν, dhmm είπε

Αυτό που δεν καταλαβαίνω είναι ότι τώρα σταμάτησαν τα restarts και το AV δεν βρίσκει τίποτα ( Λέει ότι είναι clean ). Μάλλον θα κάνω αυτό που λές.

Power off switch,  shut down ALL pcs και servers.

Power on ΕΝΑ pc και καθάρισμα ΕΝΑ-ΕΝΑ τη φορά. Power off το καθαρό πριν κάνεις on το επόμενο ύποπτο.

Επεξ/σία 14 Σεπτεμβρίου 2020 από snbblp

[imvrios]

6 λεπτά πριν, snbblp είπε

1. https://www.kaspersky.com/about/press-releases/2019_kaspersky-lab-uncovers-critical-vulnerability-in-windows-os-exploited-by-an-unknown-criminal-group

2. https://threats.kaspersky.com/en/threat/Exploit.Win32.MS17-010/

3. https://www.rapid7.com/db/modules/exploit/windows/smb/ms17_010_eternalblue

Τα συγκεκριμένα βέβαια έχουν γίνει patched. Είναι standard διαδικασία να δημοσιεύονται αφού ο developer έχει αναπτύξει patch. Μικρή μειοψηφία είναι να αδιαφορεί ο developer και να τα δημσιεύουν χωρίς να έχει διαθέσει patch.

Και όλα τα παραπάνω είναι σε περίοδο που τα 7άρια έπαιρναν ακόμα updates. Οπότε αν η αιτία είναι αυτή, μιλάμε και για unpatched μηχανήματα.

[dhmm]

10 λεπτά πριν, imvrios είπε

1. Στα 7αρια τα shared folders παραμένουν shared; Έλεγξες αν έχουν αλλάξει οι ρυθμίσεις;

2. Αν σου ξαναβρίσκει ιό και δεν είναι false positive, ή έχεις κάποια τρύπα στο δίκτυο σου ή κάποιο μηχάνημα μολυσμένο που δε το έχεις βρει και μολύνει ξανά όλα τα μηχανήματα.

3. Τα μολυσμένα μηχανήματα έχουν λογισμικό προστασίας, σωστά; Μήπως αυτό μπλοκάρει την πρόσβαση για να εμποδίσει τη διασπορα; Αν απενεργοποιήσεις το real time protection σε 7αρι μηχάνημα, υπάρχει πρόσβαση στα shares;

Τέλος, οφείλω να είμαι ευθύς μαζί σου, αν είσαι ο διαχειριστής του δικτύου είναι απαράδεκτο που ακόμα έχετε windows 7 σε εταιρικό περιβάλλον. Χωρίς δικαιολογίες πρέπει να αναβαθμίσετε. Όσο περνάει ο καιρός η κατάσταση θα γίνεται χιερότερη από άποψη ασφαλείας.

1. Ναι έλεξα δεν έχουν αλλάξει

2. Βρίσκει και λέει ότι το έκανα "Neutralize" 5-10 φορές. Συγκεκριμένα πάει να το γράψει στο C:\Windows\Temp. Μάλλον θα κάνω όλα scan κάνοντας down το δίκτυο

3. Έχουν όλα εκτός απο μερικά που δεν μπορώ να βάλω. Μπλκάρει κάποια πράγματα σε ιδιαίτερα λογισμικά.

Έχεις δίκαιο σε αυτό που λές και καλά κάνεις και το λές φίλες. Αλλά έχει μηχανήματα που έχουν 7άρια και σε τα προγράμματα δεν παίζουν σε Win10 έχω λόγω δηλαδή αλλιώς 10 εννοείται...

2 λεπτά πριν, snbblp είπε

Power off switch,  shut down ALL pcs και servers.

Power on ΕΝΑ pc και καθάρισμα ΕΝΑ-ΕΝΑ τη φορά. Power off το καθαρό πριν κάνεις on το επόμενο ύποπτο.

Υπάρχει περίπτωση να έχει επιρεάσει κάποιο προτόκολλό και να μην σώσει ούτε αυτό ;

[snbblp]

1 λεπτό πριν, imvrios είπε

Τα συγκεκριμένα βέβαια έχουν γίνει patched. Είναι standard διαδικασία να δημοσιεύονται αφού ο developer έχει αναπτύξει patch. Μικρή μειοψηφία είναι να αδιαφορεί ο developer και να τα δημσιεύουν χωρίς να έχει διαθέσει patch.

Και όλα τα παραπάνω είναι σε περίοδο που τα 7άρια έπαιρναν ακόμα updates. Οπότε αν η αιτία είναι αυτή, μιλάμε και για unpatched μηχανήματα.

Φοβάμαι πως ναι, είναι unpatched. Και δυστυχώς το σκουλήκι περπατάει και βαράει όλα τα kernel pools.

[dhmm]

Κάνω scan με rescue disc κάτι βρίσκει και καθαρίζει.

Με το που κάνει εκκίνηση το μηχάνημα δεν ανοίγουν τα folders.

Τόσο γρήγορα κολλάει αυτό ; Η λέτε να μην καθαρίζει το AV..