Трояны. Как бороться ?

← →
QuestionX (2004-08-12 15:13) [0]

Уже второй раз нарываюсь на такую ситуацию - сижу в интернете, вдруг файрвол сообщает, что процесс net1.exe хочет в интернет. Смотрю в список процессов - действительно есть такой net1.exe (10 минут назад не было) - завершить из TaskManagera не удается, смотрю, а оно прописано в сервисах !!!.
А теперь собственно вопрос, а как ему это удалось ? Стоит NAV2003 с ежедневными обновлениями, Norton Personal Firewall Prof Edition 2003. Система Win2000 SP4 со всеми обновлениями. Кто-нибудь знает что это за дырка, через которую оно пролезает ? И как ее закрыть ...

← →
Ega23 © (2004-08-12 15:26) [1]

Отключить интернет, и никаких половых контактов!

← →
Kerk © (2004-08-12 15:26) [2]

Ставь касперского... нортон - не серьезно...
или McAfee или Каспера...

← →
Holy (2004-08-12 15:27) [3]

Если завершаешь незнакомый процесс, то лучше ФАРом, т.к. он хватает отладочные привелегии при завершении процесса. Ищи левые открытые порты на машинах (фаирвол показывает)... А вообще-то, если не знаешь что это лезет - запрещай и не парься... А потом ручками систему подчищай..

← →
Рамиль © (2004-08-12 15:27) [4]

А ты уверен, что это троян? такой файл присутствует в Windows.

← →
Holy (2004-08-12 15:28) [5]

Рамиль © (12.08.04 15:27) [4]

Это не принципиально... Сколько сидел в инете ни разу он у меня в этот инет не просился (защитная связка KAV+OutPost)

← →
Anatoly Podgoretsky © (2004-08-12 15:29) [6]

Рамиль © (12.08.04 15:27) [4]
net1.exe ?

← →
Рамиль © (2004-08-12 15:32) [7]

> [6] Anatoly Podgoretsky © (12.08.04 15:29)

Да.

← →
Кириешки © (2004-08-12 15:33) [8]

Kerk © (12.08.04 15:26) [2]

"Ставь касперского... нортон - не серьезно...
или McAfee или Каспера..."

Кашперовский обновляется раз в тысячу лет!

← →
Prohodil Mimo © (2004-08-12 15:44) [9]

Кашперовский - polnoje G.
to obnovlenija gljuchat, to nifiga ne lechit, hot" i vkljucheni opcii udaljat" zaraznije fajli - krichit tipa udalil... zahodish v katalog, a oni tam kak lezhali, tak i lezhat. S NAVom takih problem nikogda ne bilo. Da i ruchnik etot AVP polnejshij. Nado bit" mazohostom, chto bi jego ispol"zovat". Hotja uveren, chto jego storonniki popitajutsja menja porvat", pitajas" ubedit", chto ja ne tak nastroil. Vsjo bilo nastrojeno kak polozheno. Na odnoj mashine rabotajet, na drugoj net, a za NAVom ja takogo ne zamechal.

← →
QuestionX (2004-08-12 15:45) [10]

> Kerk © (12.08.04 15:26) [2]
> Ставь касперского... нортон - не серьезно...
> или McAfee или Каспера...

ИМХО, Касперский - вот это не серьезно. Поясню, почему я так считаю - стоял у меня на работе Касперский - пришел как-то ко мне младший брат - "в инете полазить", ну я ему сдуру комп оставил, а сам обедать ушел - так вот он налазил на порносайтах кучу троянов и ушел спокойный, а мне потом друзья начали жаловаться, что от меня на их почту сыпется какая-то дрянь. Ну я Касперским проверяю - чисто все. (за обновлениями я каждый день тыкался). Админ наш посоветовал NAV - поставил, проверил, нашел 17 (!!!) вирусов. С тех пор Касперскому НЕ ДОВЕРЯЮ.

← →
QuestionX (2004-08-12 15:49) [11]

Но давайте не будем HOLY WAR устраивать. Вопрос-то в чем - Как это вообще возможно дистанционно установить сервис ???!!! Что за дырки в Винде со всеми апдейтами ?

p.s. Не знаю, как у вас но у меня net1.exe - это был файл в 300Кб, написанный скорее всего на Delphi5 (По значку exe судя) Так что врядли это компонент Winodws :))

← →
Кириешки © (2004-08-12 15:50) [12]

QuestionX

Prohodil Mimo © (12.08.04 15:44) [9]
Vot vidite, ya ne odin tak dumayu. (BoT BuguTe, 9| He oguH TaK guMa|-O).

Нортон обновлят кждые сутки, и безплатно ГОД БЕЗ РЕГИСТРАЦИИ!!!!

← →
Рамиль © (2004-08-12 15:50) [13]

Не надо холивар насчет антивирусов. Каждый может пропустить. У меня NAV трояна и диалер пропустил, месяца два назад назад и до сих пор их не распознает. А онлайн проверка KAV их нашла. Так что раз на раз не приходится. Ни один антивирус не может дать стопроцентной гарантии.

← →
Кириешки © (2004-08-12 15:54) [14]

Рамиль © (12.08.04 15:50) [13]

Стопудово.

← →
Kerk © (2004-08-12 15:55) [15]

> QuestionX (12.08.04 15:45) [10]

Просто поставить каспера недостаточно... нужно еще ежедневно обновлять базы. Видимо ты поставил NAV с более новыми базами. Все. Вот так и рождаются легенды о непробиваемости NAV.

← →
Prohodil Mimo © (2004-08-12 15:59) [16]

[12] Кириешки
> Нортон обновлят кждые сутки, и безплатно ГОД БЕЗ РЕГИСТРАЦИИ!!!!

В установках нортона - обновляться каждые 4 часа.
Однажды сидел весь день у компа и мне дважда за день выдалось сообщение об обновлении базы.
Ещё радует тот факт, что процесс обновления не только не виден, но и не сказывается на скорости работы машины, даже очень слабой, тогда как АВП превращает мой 1.7 Атлон в 0.5 или что то близкое к тому.

← →
QuestionX (2004-08-12 16:01) [17]

> Kerk © (12.08.04 15:55) [15]
>
> > QuestionX (12.08.04 15:45) [10]
>
> Просто поставить каспера недостаточно... нужно еще ежедневно
> обновлять базы.

Обновление KAV я скачал перед началом сканирования. NAV был какой был на CD - LiveUpdate не запускал - он при инстале начал систему проверять - тогда и нашел эти 17 вирей. А про непробиваемость NAV"а я не говорил - иначе откуда у меня взялся бы net1.exe ? :))

← →
Рамиль © (2004-08-12 16:04) [18]

странный какой то у тебя троян все таки, с иконкой... может ты сам себе его закачал?
Проверь на KAV он лайн, что скажет?

← →
Prohodil Mimo © (2004-08-12 16:07) [19]

[17] QuestionX, а вышли мне ентого нет1.ехе на мыло
bl_king scabaka navigator t lv, посмотреть как НАВ отреагирует

← →
Кириешки © (2004-08-12 16:20) [20]

Разошли вообше всем! (Мне ненадо, у меня своих хватает).

← →
Kerk © (2004-08-12 16:22) [21]

И мне скинь... вдруг правда троян... посмотрю..

← →
Mim1 © (2004-08-12 16:34) [22]

Вирус может с легкостью проникнуть по вполне законным по мнению ОС проходам. Например угадав ваш пароль, или заразив удаленную машину, в которой активен пользователь имеющий права на вашей машине и т.п.

← →
Anatoly Podgoretsky © (2004-08-12 16:39) [23]

Рамиль © (12.08.04 15:32) [7]
Тогда проверяйся на вирусы.

← →
Рамиль © (2004-08-12 16:52) [24]

> [23] Anatoly Podgoretsky © (12.08.04 16:39)

Да я даже в дистрибутиве виндов посмотрел. Присутствует в XP SP1 и в 2К Server, по крайней мере. Нормальный файл, только пока не понял, чем он от net.exe отличается, вроде параметры один в один, только размер больше.

Версия 5.1.2600.1106 (xpsp1.020828-1920)
Net command

← →
Prohodil Mimo © (2004-08-12 16:56) [25]

[24] Рамиль, но тот что у тебя не в 300кб, как у автора.

← →
Рамиль © (2004-08-12 17:02) [26]

> Рамиль, но тот что у тебя не в 300кб, как у автора.

Не, 115200b и без иконки от пятого Delphi..
И это... Ни у кого больше нет что ли? :о)
Посмотрите у кого XP sp1 и 2000 sp3 (или выше), если не лень, в System32.

← →
Prohodil Mimo © (2004-08-12 17:08) [27]

Есть и в ХР и в 2000

← →
Holy (2004-08-12 17:10) [28]

Будете смеятся... W2K sp4. net1.exe 124,176 байтов в 1 файле

У меня тоже есть.

← →
QuestionX (2004-08-12 17:46) [30]

> Рамиль © (12.08.04 16:04) [18]
> странный какой то у тебя троян все таки, с иконкой... может
> ты сам себе его закачал?

Точно, как же я забыл, конечно сам закачал и запустил :)) Шутим-с ?

> Проверь на KAV он лайн, что скажет?

> И мне скинь... вдруг правда троян... посмотрю..

Поздно..., я его уже под горячую руку того... удалил. :)

> Holy (12.08.04 17:10) [28]
> Будете смеятся... W2K sp4. net1.exe 124,176 байтов в 1 файле

Я бы посмеялся, но я этот "компонент системы" уже во второй раз удаляю. Неделю его нет, через неделю оно опять :)

XP SP1 115,200 KB и никуда оно в инет не лезет, в процессах не висит и иконки дельфовой не имеет.

← →
QuestionX (2004-08-12 17:56) [32]

Судя по результатам голосования, этот net1.exe присутствует у всех, вот только размер у него ~120Кб и иконка не дельфийская.
Видимо какая-то троянская сволочь его переписывает - маскируясь под компонент системы.

[32] QuestionX, так оно и есть. Сталкивался с ним, правда пару лет назад.
А ты из кеша не забыл его удалить?

как появится, вышли мне, протестю НАВа :о)

← →
QuestionX (2004-08-13 00:43) [34]

Люди !!! Так на мой вопрос-то никто толком и не высказался - ГДЕ ДЫРУ В ЗАЩИТЕ ИСКАТЬ ???

>[12] Кириешки © (12.08.04 15:50)
>Нортон обновлят кждые сутки, и безплатно ГОД БЕЗ РЕГИСТРАЦИИ!!!!

Чет я ненашел такой халявы.. 15 дней триала везде..
Ответь за базар ссылкой?

>>Holy (12.08.04 17:10) [28]

Аналогично.

>>Гарри Поттер © (13.08.04 01:17) [35]

Это он наверное NAV 2002 имеет в виду.

Кстати насчет года без регистрации. Несколько дней NAV культурненько так сказал, что год прошел, пора что-то решать и попросился в инет. Я согласился. Он проапдейтил бинарники и разрешил поюзать себя еще до августа 2005 :)

Гарри Поттер © (13.08.04 01:17) [35]

Ответить ссылкой куда? На диск с NAV 2003? Я на его сайты не лазю, он когда запускается, то сам качает обновления и транице мн не открывает, так что за базар я не могу ответить ссылкой. =)

А кто-нить пробовал запускать тест на секюрити с сайта НАВа?

QuestionX, попробуй запусти, мож покажет где какие дыры имеются.

>ГДЕ ДЫРУ В ЗАЩИТЕ ИСКАТЬ ???
фаервол точно все входящие запрещает? кстати, даже это не гарантия защищенности атаки из вне. когда была эпидемия msblast - я только прикалывался читая жалобы здесь на форуме, поскольку считал, что Outpost защитит. до тех пор, пока не словил его из локальной сети, атака произошла, пока Outpost запуститься не успел - я только включил компьютер, логин не успел сделать, а он мне - RPC error. версия была Free, в Pro вроде писали про улучшение на эту тему.

каким браузером пользуешься, какая почтовая программа?

Трояны. Как бороться ? Найти похожие ветки