Атака на сетевой диск

Доброго дня. След. ситуация след. На сетевом диске исчезло несколько папок! не все и появился ярлык ссылающийся
на I:\DeviceConfigManager.vbs (у пользователя диск I как раз и является сетевым). При просмотре (изменить) содержимое след.

dim zwkvezwblcit (в инете не коррелируют в поиске)
dim ...

и т.д.
Что за природа вируса удалил или зашифровал в какую сторону хоть искать.
Спасибо.

0

Здравствуйте!

Если нужна помощь в поиске и возможном лечении, выполните правила:
Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему

Если только "поговорить", перенесем в подходящую для этого тему.

0

Сообщение от Sandor Если только "поговорить", перенесем в подходящую для этого тему.

Разобрались, но пока ничего не трогали. Вирус создаёт папку "_", делает её скрытой и перемещает всё туда (кроме двух трёх, названия папок мед. на русском), инфа вроде цела, на сервере нашли один файл RTF просмотрели - читабельный, офисные разумеется читать нечем.
Непонятен смысл деятельности вируса или вредительского кода, вроде всё на месте, но спрятано. И потом зачем сразу лезть на сетевой диск, возможно за этим стоит человек. Решили выявить пользователя у которого одновременно подключены три сетевых диска, поскольку заразились три отдела. Касперский к стати больше года не обновляется. На файловом его вообще не было, но он похоже и не обнаружил бы.

p.s. сигнатуры пока не могу поскольку от сервера отключена сеть.

0

Сообщение от SDRVPN поскольку заразились три отдела. Касперский к стати больше года не обновляется

Кто-то принес флешку с червяком, подключил и поехало.
Для чего нужен антивирь, который год не обновлял антивирусные базы???
Как-то было подобное в одной конторе, там закрытая ЛВС на 4 ПК, без доступа в инет и кто подключил флешку с подобным вирем. Пришлось все ПК выводить из сети и сканить все компы АВЗ, а потом писать скрипт удаления червя, благо все компы были одинаковой конфигурации и скрипт сработал на всех одинаково.

1

Вот информация которую я осознать не могу. Всего было четыре атаки. Первые две при мне, сразу после удаления файлов с вирусом, новый комп произвел те же действия с перемещением файлов в папку "_". Третью атаку устранял мой напарник я был на даче. И всё обошлось. А вот в этот понедельник файлы были удалены вместе с папкой "_" и снова появилась эта папка, но уже пустая. Сейчас просканировал ActiveFileRecovery там три папки "_" две удаленные, и разумеется все файлы в одной из них. Вирус я удалять не стал, дабы если он снова активируется, знал, что уже заражен. Мысли наводят на появление человеческих ручек. Три атаки без фатального исхода, как то странно всё это. Резервное копирование не делалось, разговор был, места нету. Странно вирус удалил сам себя вместе с папками и файлами и снова создал "_" оставив там только себя.

Добавлено через 23 часа 40 минут
Сегодня интересная инфа. Детальный разбор показал, в понедельник "вирус" проявил себя вначале без агрессии создав "_" и спрятав туда все файлы и папки, затем удалил себя по сети и воспроизвел себя по новой но, за волшебной черточкой нет файлов разумеется кроме самого. Еще непонятно почему в папке "нормативная документация" просто удалены (не перемещены, а в той же папке с атрибутом d все файлы до буква р (русская). Кроме того изменился размер исполняемого скрипта. А это значит, что не мог появиться вирус с другой природой, за этим скорее всего стоит человек. За выходные подправил. Интересно Ваше мнение.

0

Сам вирь, если экзешник положить в сетевую шару распространяться не сможет. Ему нужна команда для запуска, это либо зараженный комп в сети, либо удаленный доступ, либо юзверь, который лично запускает виря в сети.
Проверьте на всех компах планировщик задач.
По удаленке, если есть доступ по RDP, то смените все пароли и просмотрите на сервере, кто мог подключаться, так же необходимо выяснить с ПО для удаленки, возможно кто-то юзает ПО типа радмина, аммиадмин и т.п.
По юзерам, я бы в первую очередь начал с тех у кого есть права админа.
И да версию установленного касперского огласите.

0