| Безопасность в сети |
Net-Worm.Win32.Kido HELP MI (а то - хана!)
,Вирусная эпидемия.
Дата публикации:
KLUCHICK, 16.02.2009 - 22:53
Плз. Поделитесь кто уже нашёл способ борьбы с полиморфным червяком Net-Worm.Win32.Kido. Уже два выходных - коту под хвост. Пытаюсь убить - ничто не помогает, прописался очень крепко на рабочих станциях. На сервере удалось прижать хвост (подменой генерируемой DLL одноимённым "чучелом" из перименованного текстового документа, но само тело вируса не смог убить. Судя по многочисленным обсуждениям не я один влетел (по слухам более 9 миллионов компов в мире уже заражены этой дрянью), Мелкомягкие выпустили патчи - но ни фига они меня не спасли, 2003 сервер с 2 сервиспаком залатанный заплатками всё равно схватил вирянь. Млин, ситуация критическая, сетка работает практически круглосуточно, на живую лечить тяжко. Поделитесь опытом, коллеги...Только что прочёл, что написали его братья украинцы (это версия такая), на одном из форумов:
Цитата | Quote
Всем привет
Мы тоже уже недели 2 гоняем єту гадость.
по NOD32 сеть заражена CONFIKER.AA и CONFIKER.AE
Перечитали немеренное количество форумов.Нифига ничего не помогает.
и тут на одном из форумов наткнулись на инфу,что нужно добавить украинскую расскладку клавиатуры. Так вот,ради частоты єксперимента я на свой комп 1.5 недели назад поставил украинскую расскладку,просканил комп и удалил антивирус,удалил фаервол.
Периодически прогоняю прогой GMER,посторонних процессов нет.
Также ради єксперимента поставили укр. раскладку на сервер.Ждем результатов.
P.S. на одной из ссылок на єтом форуме прочитал, что угроза была расспростронена с украины.
Если кто будет использовать данный метод,прошу тут отписаться о результатах.
Мы тоже уже недели 2 гоняем єту гадость.
по NOD32 сеть заражена CONFIKER.AA и CONFIKER.AE
Перечитали немеренное количество форумов.Нифига ничего не помогает.
и тут на одном из форумов наткнулись на инфу,что нужно добавить украинскую расскладку клавиатуры. Так вот,ради частоты єксперимента я на свой комп 1.5 недели назад поставил украинскую расскладку,просканил комп и удалил антивирус,удалил фаервол.
Периодически прогоняю прогой GMER,посторонних процессов нет.
Также ради єксперимента поставили укр. раскладку на сервер.Ждем результатов.
P.S. на одной из ссылок на єтом форуме прочитал, что угроза была расспростронена с украины.
Если кто будет использовать данный метод,прошу тут отписаться о результатах.
Завтра попробую, но толку то - дрянь всё равно останется... и жить с ней совершенно не хочется.
Что эта гадость делает:
» Нажмите, для открытия спойлера | Press to open the spoiler «
Вот такие пирожки с котятами... хоть плачь... Хорошо, что в сети токо 50 машин и два сервера... А у кого больше 500? Брать мыло душистое и верёвку пушистую?
mish-kok, 16.02.2009 - 23:01
Вадим,почитай что пишут на сайте Касперского09.02.2009 14:03
Как бороться с сетевым червем Net-Worm.Win32.Kido
http://support.kasper...?qid=208636215
KLUCHICK, 16.02.2009 - 23:20
Миша. Я этим Киллером Касперским токо и спасаюсь, но, вот беда - червяк полиморфный. Киллер прибивает только процесс и подбирает "дерьмо" DLL-ное, что он производит, правит реестр покорёженный... только это помогает до перезапуска... На сервере прибил токо размножение и создание процессов путём подмена производимой им DLL одноимённым текстовым фантомом... Хвост оторвал - а голова живая... и лапками шевелит. Тупят рабочие станции теперь, виснут - эта тварь флудит и DNS пакостит... беда. Главное - что ядро модифицировано, порты не закрыть - иначе терминалка упадёт, шары не снимешь - 1С зараза сдохнет... Ситуёвина очень неприятная...mish-kok, 16.02.2009 - 23:41
А эту от каспера не пробовалhttp://support.kasper...?qid=180593202
Утилита для борьбы с вирусами klwk.com
Утилита предназначена для борьбы со следующими вредоносными программами:
********
Worm.Win32.Pinit.gen
Net-Worm.Win32.Kido.bw
Net-Worm.Win32.Kido.db
Net-Worm.Win32.Kido.fk
Net-Worm.Win32.Kido.fx
Net-Worm.Win32.Kido.fo
Net-Worm.Win32.Kido.s
Net-Worm.Win32.Kido.dh
Net-Worm.Win32.Kido.ee
Net-Worm.Win32.Kido.gh
Net-Worm.Win32.Kido.fa
Net-Worm.Win32.Kido.gy
Net-Worm.Win32.Kido.ca
Net-Worm.Win32.Kido.by
Net-Worm.Win32.Kido.if
Net-Worm.Win32.Kido.eo
Net-Worm.Win32.Kido.bx
Net-Worm.Win32.Kido.bh
Net-Worm.Win32.Kido.bg
Net-Worm.Win32.Kido.ha
Net-Worm.Win32.Kido.hr
Net-Worm.Win32.Kido.da
Net-Worm.Win32.Kido.dz
Net-Worm.Win32.Kido.cg
Net-Worm.Win32.Kido.eg
Net-Worm.Win32.Kido.eq
Net-Worm.Win32.Kido.bz
Net-Worm.Win32.Kido.do
Net-Worm.Win32.Kido.fw
Net-Worm.Win32.Kido.du
Net-Worm.Win32.Kido.cv
Net-Worm.Win32.Kido.dv
Net-Worm.Win32.Kido.dq
Net-Worm.Win32.Kido.ed
Net-Worm.Win32.Kido.em
Net-Worm.Win32.Kido.bo
Net-Worm.Win32.Kido.bk
Net-Worm.Win32.Kido.bm
Net-Worm.Win32.Kido.cs
Net-Worm.Win32.Kido.ia
Net-Worm.Win32.Kido.gg
KLUCHICK, 17.02.2009 - 0:07
Спасибо, Миша за поддержку и помощь. Попробую завтра, отпишусь о результате.djand, 17.02.2009 - 14:07
Поставь KB958644KLUCHICK, 17.02.2009 - 18:29
Все три пакета заплаток от Мелкософта поставил... Результат нулевой.Сегодня начали отваливаться сетевые принтеры. Ещё та зараза
Anthony, 17.02.2009 - 19:58
Dr.Web Enterprise Suite на сервак и Агенты на раб. станции.Сидя дома можно компы лечить.
Но это на будущее.
KLUCHICK, 17.02.2009 - 20:14
Цитата | Quote
Если вы внезапно обнаружили, что у вас не открывается kaspersky.ru, nod32.ru, microsoft.com или др., то вы попали в число тех 9 млн. зараженных компьютеров, про которые недавно объявила компания f-secure. Эпидемия распространяется с огромной скоростью, ведь 14 января насчитывалось всего 3,5 млн зараженных ПК. В тройку «лидеров» в этом списке вошла Россия.
Виновник – сетевой червь Net-Worm.Win32.Kido.bt. Распространяется через локальную сеть или при помощи съемных носителей информации. Программа является динамической библиотекой Windows (PE DLL-файл). Размер компонентов варьируется в пределах от 155 до 165 КБ. Упакован при помощи UPX.
Виновник – сетевой червь Net-Worm.Win32.Kido.bt. Распространяется через локальную сеть или при помощи съемных носителей информации. Программа является динамической библиотекой Windows (PE DLL-файл). Размер компонентов варьируется в пределах от 155 до 165 КБ. Упакован при помощи UPX.
То, что я попал к тем 9 миллионам - совсем не греет, и, согласитесь - эта цифра бы не имела места, если бы установкой антивиров или патчей можно было бы справиться с бедой. Никакой внятной инфы о борьбе с этой дрянью в нете нету, в основном - пляски с бубном вокруг серверов и сетки. Хотелось бы услышать конструктивные советы от тех КТО СМОГ СПРАВИТСЯ С ЗАРАЗОЙ. Всем остальным, заранее респект за отсутствие неконструктивных советов.
scorpio, 19.02.2009 - 0:10
Как удалить Net-Worm.Win32.Kido* Отключить компьютер от интернета и локальной сети.
* Обязательно установить все 3 патча от MS:
http://www.microsoft..../MS08-067.mspx
http://www.microsoft..../ms08-068.mspx
http://www.microsoft..../ms09-001.mspx
* Установить надежные пароли для всех локальных учетных записей.
* Отключить автозапуск с помощью утилиты:
http://forum.kaspersk...t&id=52212
* Запустить утилиту KidoKiller
3 патча, отключалка А/З и KidoKiller:
THORVALD, 19.02.2009 - 1:55
kidokiller Не берет.... проверено....HugoBo-SS, 19.02.2009 - 3:10
если при загрузке работает, то , возможно поможет: UnHackMe. Если перед выключением-перезагрузкой, то AVZ Зайцева в гвардейском режиме не пробовал, после того как хвост откусил или даже все медитации производить из под Зайцевcкого гварда со включенным AVZPM?vasa68, 19.02.2009 - 19:57
Народ. У меня на работе вся сеть слетела. Полиморфный, гад ползучий...У меня стоит Лонер ХР 9.2, в нём украинская раскладка - по умолчанию добавлена, т.е. 3 языка в системе. У меня самого всё работает нормально, думал Аваст про помог... Наивный.
Админ удалил у всех их антивиры (Каспера, НОД32, Аваст). Поставил Софос. Обещает всем делать обновления его раз в месяц.
"И случилось чудо" - сеть заработала сама. Я софосом никогда не пользовался ранее, ничего пока о нём сказать не могу, но в данном случае - помог.
oligarh, 19.02.2009 - 21:15
10.02 появилась новая версия средства удаления вредоносных программ от Microsoft:http://support.microsoft.com/kb/890830
в списке программ есть и Confiker
у меня получилось побороть в сети
PS. не прибивайтесь на фигню! украинская раскладка от этой беды не спасет
и на сколько я слышал червь из Японии, хотя первыми пострадали Китайцы, ну вобщем откуда-то из Азии!!!
scorpio, 19.02.2009 - 21:57
как двузначно звучит:Цитата | Quote(oligarh @ 19.02.2009 - 20:15)
появилась новая версия средства удаления вредоносных программ от Microsoft
"вредоносных программ от Microsoft"
ps это так... offtopic
KLUCHICK, 20.02.2009 - 21:32
Цитата | Quote
10.02 появилась новая версия средства удаления вредоносных программ от Microsoft:
Всё это фигня. Майкрософт в очередной раз доказал своё бессилие. Уроды они. За "голову" КИДОшника назначили уже четвертьлимона баксов. Талантливый перец, ему нуно в долине Microsoft памятник поставить. Есть такое мнение - что это выгнанный по сокращению мелкософтовец знающий эту уязвимость в "форточках".
А у меня результат... кхм... четыре выходных убитых в бесплодных попытках "вылечить" машинки и серверы, плюс бессонная ночь, плюс уже четыре убитых полновесных 15 часовых рабочих дня на нервах, так как народу в офисе нуно работать и клиентам фиолетово, ползают у нас червяки в сети или нет.
Технология исправления беды простая
. Все "соски" от свитча отрубил, на машинах формат С: переустановка винды, установка трёх патчей от мелкософта, установка антивиря (взял доктора Веба) на рабочие станции и серверы (потому как - удобно сетевое обновление сотворить). На серверах сервис пак 2 и три заплатки от Мелкософта. Обязательное отключение авторана на всех дисках. В общем, как в гимне пролетарском... "Разрушим до основанья - а затем... Да, наглухо закрыл DVDFLASH-локером все флэшководы на сетевых машинах, а руководство вывесило приказ о обязательном сканировании на виря всех принесённых в офис носителей, под страхом увольнения... угадайте, кому их сканить? Во-во... P/S Сегодня возили файлик на флэшке для перевода и юридического заверения... угадайте, что привезли назад? Правильно, догадливые вы ребятки... авторан + RECYCLER - вывод, зараза ползёт по городу... пипец, держитесь, админы... Ви шел овер кам, так скать, сам дей!
THORVALD, 21.02.2009 - 0:25
Цитата | Quote(KLUCHICK @ 20.02.2009 - 20:32)
Цитата | Quote
10.02 появилась новая версия средства удаления вредоносных программ от Microsoft:
а руководство вывесило приказ о обязательном сканировании на виря всех принесённых в офис носителей под страхом увольнения... угадайте, кому их сканить? Во-во...
у себя подобную систему еще до НГ ввел, но все равно тычу не спрашивая.
KLUCHICK, 22.02.2009 - 16:41
Сэнкс. Осталась одна машинка с недобитым "сифилисом"... Попробую на ней СимантекКидоКиллера... Токо нет у меня уверенности, что и он справится с этой дрянью, уж очень глубоко она в ядро форточное вползает...MIXAS7, 18.03.2009 - 1:21
А всё-таки, СимантекКидоКиллер помог ли справиться с этой заразой?KLUCHICK, 22.03.2009 - 11:14
Нет.Он добросовестно и очень долго сканил комп, нашёл всё ту же генерируемую DLL с произвольным "орпоеп" именем, попросил перезагрузиться. После перезагрузки процесс снова поднял голову. В общем и целом - умный перец написал эту дрянь. Его бы энергию - да на добрые дела!yah, 22.03.2009 - 20:02
Мне как-то тоже занесли эту заразу с флехи. Помог КидоКиллер от касперского и удаление папки RECYCLER с флешки. А вообще нужно курить virusinfo.info. Там много чего интересного насчет борьбы с kido.Teshka, 23.03.2009 - 11:25
На работе данный червь заразил много компов =( помог кидокиллер от Касперского + установка обновлений для Windows!!! (необходимо отключить восстановление системы)P.S. про этого червя писали в журнале Хакер (февральский выпуск) и было описано как удалить из системы в ручную.
HugoBo-SS, 5.04.2009 - 3:24
