שאלה על וירוס lovgate

[shy72]

שאלה על וירוס lovgate

נורטון מודיע לי כל הזמן שיש במחשב וירוס lovgate (קופצת הודעה אדומה virus alert) הרצתי את הכלי של נורטון שמוריד את הוירוס והוא אכן דיווח שיש וירוס במחשב והוריד אותו. אחרי כמה שעות של עבודה ההודעה שיש וירוס חזרה. הפעם התכנית של נורטון לא מצאה אותו שוב. מרוב יאוש פירמטתי את כל המחשב. ואחרי שהתקנתי חלונות אנטיוירוס ואינטרנט... חזרה ההודעה... והתכנית הנפרדת של נורטון לא מוצאת וירוס. אני רוצה לציין שהתופעה התחילה אחרי שהתקנתי מודם כבלים... למישהו יש רעיון מאיזה כיוון הוירוס הזה תוקף...? ומה אפשר לעשות עם זה? תודה.

 

[uzi2]

יכול להיות שיש נסיון דרך

שיתוף תיקיות לשמור את הקובץ על המחשב שלך והנורטון חוסם את השמירה ומשום כך הוא גם לא מוצא. האם המחשב שלך מחובר ברשת ביתית לעוד מחשב בבית? מערכת הפעלה? מה ההודעה? האם היא שהאנטיוירוס חסם את הוירוס? האם זה קורה כאשר אתה עושה משהו ספציפי במחשב? הוירוס תוקף דרך דואר אלקטרוני ודרך שיתוף קבצים.

 

[shy72]

ההודעה שמופיעה לי...

היא כמו זו שבתמונה. המערכת הפעלה היא 2000. המחשב לא מחובר לרשת ביתית זה מחשב אחד שמחובר למודם כבלים של מוטורולה. אני לא מצליח לקשר את זה למשהו ספציפי שאני עושה זה די רנדומלי... מה שכן בפעם הראשונה שהכלי סרק את המחשב הוא מצא וירוס בכל הקבצים כמו שמופיע בפירוט של נורטון : http://securityresponse.symantec.com/avcenter/venc/data/[email protected] בשאר המקרים התכנה הרגילה של האנטיוירוס מראה רק על הקובץ netservices.exe כנגוע והכלי הנפרד לא מראה כלום... ההודעה עדיין מופיעה. תודה.

 

[metallica14]

תולעת....

יכול להיות שזה תולעת שמשכפלת את עצמה לכל התיקיות במחשב ככה זה מודיע לך שזה הגיע שוב כי זה "נמחק"

 

[bizman1]

עד כמה שזה לא הגיוני יכול להיות שזה

וירוס שהתיישב בbaios . לכן זה מתרין אותו על מחשב שפורמט... שאלה נוספת- מה הip שלך - אם הוא ip פנימי (מקובצת ה 10.0.0.0 ) אז יכול להיות שמישהו עושה לך את זה בכוונה (ברשת הכבלים יש מצב שהIP שלך לא חוקי ) אם כל מה שכתבתי לא הגיוני- אז רוב הסיכויים שזה אכן תולעת שהתיישבה לך על המחשב, והפתרון הוא לעשות format על כל sector , ולא למחוק רק את הMBR- .

 

[uzi2]

עדיין לא קיים וירוס שיושב ב- BIOS.

יש וירוסים שמוחקים את טבלאות ה- CMOS, יש וירוסים שמנסים למחוק את ה- BIOS, אבל עדיין לא התגלו וירוסים שיכולים לרוץ מה- BIOS וזו גם משימה מאוד קשה בהתחשב בכך שתוכנות הביוס נכתבות לכל לוח אם בנפרד, ולכן וירוס כזה חייב להכיל קוד ספציפי עבור כל דגם של לוח אם. אנחנו גם מדברים על וירוס ספציפי, שהאנטיוירוס זיהה ולכן אלא אם מדובר בואריאנט חדש לחלוטין, אנחנו יודעים איך הוא חודר למחשב. יתכן שיש שיתוף תיקיות במחשב, ויתכן הקובץ הניקוי לא מנקה את הכל ולכן יש שאריות שמדביקות מחדש

 

[myofer]

יש וירוסים שיושבים ב MBR

ופירמוט לא מוחק אותם. כדי למחוק את ה MBR אתה יכול להשתמש ב delpart. אבל יש סכנה שהיא תדפוק לך את הHD. אני השתמשתי בה פעם וHD שלי הפך מ 20M ל 10M (לא בטוח שזה התוכנה אולי עשיתי עוד משהו חוץ מזה או שלא פירמטתי כמו שצריך)

 

[uzi2]

אכן כן.

שיושבים ב- MBR ופירמוט לא יעזור. לפעמים אפשר לבנות את ה- MBR מחדש למשל ע"י הפקודה FDISK/MBR, שבונה MBR סטנדרטי (מתאים למערכות הפעלה 98/ME) אבל הבעיה היא שחלקם מצפינים או מזיזים את ה FAT, ואזבניה מחדש של ה- MBR דופקת את ה- FAT וגורמת לאיבוד כל מה שהיה בדיסק. אפשר לעשות זאת אם ממילא מוחקים הכל, ובונים הכל בעזרת FDISK.

 

[shy72]

אחרי שפירמטתי את הדיסק...

(אני לא בטוח שאני מבין למה אתה מתכוון כל סקטור... בכל מקרה מחקתי את כל הpartitions הגדרתי אותם מחדש ואחר כך השתמשתי בפקודה פורמט...) בכל מקרה אחרי הפירמוט התקנתי את שלושת הדברים הבאים בסדר הבא... חלונות 2000 נורטון אנטיוירוס התכנה של המודם כבלים וישר התחלתי לקבל התראות על וירוס. חשדתי בדיסק של המודם שאולי הוא נגוע אבל סרקתי אותו ולא היה בו כלום. מעניין האם ישנה אפשרות שהוירוס התישב לו במודם עצמו על התכנה הפנימית של המודם כמו בBIOS בתהליך היצור - כלומר מודם דפוק... ומנסה לתקוף משם. וכן הכתובת IP היא בטווח 10.0.0.0... מה זה אומר שמישהו מנסה לעשות לי את זה בכוונה? איך אני עוצר את זה? אגב מלבד קובץ הניקוי עברתי ידנית על כל הדברים שהוירוס הזה אמור לעשות לפי הרשומות של נורטון וגם של mcafee בדקתי שכל הקבצים שהוא 'מתנפל' עליהם מחוקים וגם הרשומות ברגיסטרי וכו'... ובכל זאת הוא ממשיך 'לתקוף'. תודה!

 

[Theherod]

בקשר לשיתופיות

גם אתה בלי רשת ביתית אבל רק התקנת את זה ואתה משתף תיקיות גם בלי רשת זה יכול להיות, עם או בלי רשת כשאתה משתף תיקיות מאוד קל לפרוץ למחשב ולהדביק למחוק ולהעתיק קבצים

 

[כוון אחר]

כנראה מדובר בשיירים של הוירוס

בפעם הראשונה היה וירוס אמיתי שנכנס איכשהו וההסרה היתה כנראה לא מוצלחת במיוחד והשאירה חלקים שלו שעדיין מזוהים ע"י התוכנה שמותקנת אצלך. התוכנה היחודית לא מוצאת כי היא כנראה יותר מדוייקת ולכן מתעלמת משיירים. תנסה להחליף את הקובץ הבעיתי בקובץ מקורי. בכל מקרה זה אומר שכנראה הוירוס לא במצב פעיל. יכול להיות גם שמלכתחילה הזיהוי מוטעה של אחד הקבצים שקשורים למודם.