Dom@Net и вирусы

[grinch]

Если у меня в DNS шлюзе был всего 1 адрес, вместо обычных 2, это значит что я заражен?? зы я щас на новой винде, глюки были в старой, хотя могу в нее загрузиться и глянуть

Нет конечно Смотря какой адрес. Если 195.138.80.33 то все нормально. Если нет, то скажи какой

[troppus]

_

Прикольно, это значит любая локадка не защищена от такой атаки?
Любая.

Например в Соборке можно такое сделать?
хз как настроено у соборки!

Его бы талант да в полезных целях, скажем сайт webmoney перехватить, а то какое то мелкое хулигаство
Это вирус делает, а не человек.

Но все таки непонятно, то речь шла о фиктивном dchp, но это уровень ip, причем тут тогда arp и mac? Это все совершенно разные вещи. А от arp спуфинга вроде как уже много лет научились защищаться. Я б на его месте лучше бы не шлюз подделал, а dns сервер, тогда можно было бы создавать зеркала любых сайтов
Увы, но ты не на его месте. Хотя можешь написать свой собственный вирус. Да и в сети нигде не описано что именно этот вирус делает, кроме заражения компа и распространения себя таким оригинальным образом. Может действительно собирает логин/пароли и отсылает аффтару, может ждет комманды, чтобы устроить атаку на какой-то сервер.

И еще не понятно, каким же образом вирус через подделаные странички поражал компы юзеров?
Судя по некоторым данным, это троян-даунлоадер. То есть в страничку доабавлялся кусок скрипта, цель которого через какую-то дырку скачать недостающие части вируса для дальнейшего самораспротраниения и не только.

[troppus]

Если у меня в DNS шлюзе был всего 1 адрес, вместо обычных 2, это значит что я заражен?? зы я щас на новой винде, глюки были в старой, хотя могу в нее загрузиться и глянуть

Когда включается компьютер, он получает среди прочих данных и ИП ДНС-сервера 195.138.80.33. Когда устанавливается ПППОЕ соединение, комп получает второй ДНС - 195.138.80.56

[Diar]

У кого-то при сообщении о вирусе было еще сообщение вида:
"Для этого веб-узла требуется следующая надстройка: Microsoft Data Access - Remote Data Servises Dat..."? Просто до этого оно у меня никогда не появлялось. После того, как ТП исправила адреса (или что-то другое, во всяком случае, о вирусе НОД не кричит) - это сообщение исчезло...

Кстати, еще вопрос. Если я правильно поняла, то в момент, когда антивирус сообщает о вирусе, это означает, что МАС-адрес шлюза у меня уже не правильный, левый, так? Тогда почему после исправления, этот адрес остался тем же?

[MI8_DeLtA]

19:41:59 Сканирование портов 10.0.71.63 UDP (137), TCP (445, 139)
Как это понять, это уже не первый раз.
Когда сканят ЛанСкоуп, еще пол беды появляется такая запись
17:52:09 Сканирование сети 10.0.71.29 00-17-9A-38-C1-B5
Какая разница между этими атаками?

[fatman]

19:41:59 Сканирование портов 10.0.71.63 UDP (137), TCP (445, 139)

кто-то в твоей локалке ищет у всех подряд общие ресурсы. Открыл себе сетевое окружение и сидит-ждет, когда винда ему список компов расскажет с шарами.

17:52:09 Сканирование сети 10.0.71.29 00-17-9A-38-C1-B5

собсно сабж.. сидит и сканит.. думает - умный.

Какая разница между этими атаками?

да не атаки это по сути.

[MI8_DeLtA]

2 fatman
Спасибо за доходчивое объяснение.

[troppus]

Кстати, еще вопрос. Если я правильно поняла, то в момент, когда антивирус сообщает о вирусе, это означает, что МАС-адрес шлюза у меня уже не правильный, левый, так? Тогда почему после исправления, этот адрес остался тем же?

Варианта два:
1. Либо исправления не было
2. В момент, когда ты запоминала МАК, он как раз был правильный

Кроме этого не стоит забывать, что АРП таблица обновляется не мгновенно (без дополнительных вмешательств). Поэтому в какой-то момент данные там могут быть устаревшими.

[Diar]

Понятно. Спасибо. Тогда, скорее всего, еще не успели исправить или АРП не обновилась, потому, что в МАС-адресе последние пары не были "97:46:3F", зато о вирусе уже не кричал.

[klon]

Веселая подсеть Терешковой. Шлюз подменяется быстрее чем успевают блокировать абонетов(позвонил - заблокировали, через 5 мин новый абонент "стал шлюзом"). Вообщем решения пока нет. Точнее есть - это антивирусы. Нивкоем случае не отключайте свои антивирусы, особенно если идете на локальные ресурсы. Вирус вроди обновился теперь это Вредоносный HTTP-объект <http://g.asdafdgfgf.com/ads.js>: обнаружено: троянская программа 'Trojan-Downloader.JS.Small.js'.

[grinch]

up

[MistiC]

Ничего не изменилось...Ни капли...Посылай логи или нет-а поф...

[iDobry]

Ничего не изменилось...Ни капли...Посылай логи или нет-а поф...

Не изменилось или не менялось? Если не изменилось - ИМХО сомнительно, бо AFAIK на такие жалобы реагируют быстро.
Если не менялось - то может быть сразу грохнули одного, а затем появился другой, о котором пока не знают. Тогда нужно отправить новые логи.

[grinch]

Епт, я просто тему поднял, чтоб не забыли про нее и больше людей увидело. Я не жалуюсь здесь ни на что.

[MistiC]

Не изменилось или не менялось? Если не изменилось - ИМХО сомнительно, бо AFAIK на такие жалобы реагируют быстро.
Если не менялось - то может быть сразу грохнули одного, а затем появился другой, о котором пока не знают. Тогда нужно отправить новые логи.

Чесно,я устал этих новых отлавливать...По 3 чела в день...Мог бы сам их поиметь-с удовольствием и не пипикал) А так...Как не заходил на страницы,так и не заходит...

[fatman]

Up 2.0

[nighthunter]

может не в тему, но...посмотрел я скриптик ads.js, что лежит на asdafdgfgf.com и увидел что тело вируса берется с хоста 222360.com, сам скрипт использует уязвимость при обработке анимированного курсора в Microsoft Windows.

В связи с этим вопрос - можно ли блокировать доступ на эти хосты средствами провайдера? Я так понимаю что это по крайней мере приостановит распространение вируса.

[-=TigeR=-]

... это по крайней мере приостановит распространение вируса.

распространение вирусов может остановить только высокая сознательность пользователей... а также установленное ими и правильно используемое антивирусное обеспечение...
а также внимательность в прочтении данного топика и всяческое способствование техперсоналу тенета в искоренение несознательного элемента среди пользователей...

[MistiC]

Уважаемый,как раз правильная настройка и ведет к блокировке доступа на оф.сайты...
Насчет содействия уже говорилось-по 3 новых мака в день,это ж можно грохнутся!

[-=TigeR=-]

это следствие незнанием пользователями особенности построения сети и тотальное нежелание пользоваться антивирусами...

я у себя на работе наблюдал одного весьма неглупого паренька который отрицал вирусы и антивирусы... мол только проверенные ресурсы... и т.д. и т.п.
а вот когда пришел админ.... и произвели проверку... вот где был восторг...

внимательно читаем тему... применяем.. и забываем про это...