Strana infezione

[AMIGASYSTEM]

Allora,ho un problema strano su numerosi PC in Rete,con a bordo WinXP Pro SP2 e Win2000 SP4,altri invece,compresi i miei ne sono immuni.
In pratica se su questi PC devo raggiungere un PC in rete con \\nome Computer\Condivisa oppure \\nomeserver\unità di rete condivisa,non viene ritrovato niente,la ricerca rimane in attesa per un bel pò,per poi dare esito negativo,cosa strana invece se al posto del \\nome Computer\,metto l'IP della macchina da raggiungere esempio \\192.xxx.xxx.xxx\condivisa,tutto funziona tranquillamente.
Cosa strana che alcuni PC sono immuni,ad altri risolvo con una passata di avira,però dopo un po di tempo torna il problema senza che l'antivirus si accorga della nuova infezione.
Certamente si ratta di infezione,perchè la macchina che fà da server,che ha delle unità di rete condivise con questi PC,ha sempre il NOD32 in allarme per dei file temporanei (alcuni di essi immagini .png,.jpg)che cercano di infettare la macchina.
Se avete qualche info come blocare questa infezione,dovuta sicuramente a virus delle pennine,infatti l'infezione non arriva da internet,visto la restrizione molto forte del nostro proxy.

[wjmat]

ciao amiga

dovresti seguira la guida alla disinfezione in rilievo e caricarci i log secondo le regole di sezione

[Chill-Out]

Se possibile sarebbe opportuno vedere i log di Avira e Nod32

[AMIGASYSTEM]

Originariamente inviato da Chill-Out

Se possibile sarebbe opportuno vedere i log di Avira e Nod32

Intanto i log saranno tutti differenti (comunque controllati e sfoltiti quasi a zero),sono decine le macchine interessate,poi l'infezione non è su tutti i PC,ma viene lanciata da un PC,che potrebbe non essere dell'amministrazione,ma privato,dove diventa difficile individuarlo,visto il numero e la sua mobilità,comunque il problema si presenta anche collegando in rete un nuovo PC,solo alcuni anche se obsoleti e mal protetti non hanno il problema,ed è questo che vorrei capirne il motivo.
Avevo già avuto un problema simile,avevo risolto staccando tutti i PC,controllandoli uno per uno,per acchiappare il colpevole.
Qui si tratta di un problema solo sui nomi dei PC in rete,il resto funziona tranquillamente,quindi volevo solo sapere se altri hanno mai avuto questo tipo di rompimento,purtroppo abbiamo un nostro portale interno che si raggiunge con nome,quindi ho dovuto cambiare con IP,adesso ho il problema per le sedi distaccate che al nome devono aggiungere un dominio,quindi diventa difficile fare la stessa operazione.

[Chill-Out]

Originariamente inviato da AMIGASYSTEM

Intanto i log saranno tutti differenti (comunque controllati e sfoltiti quasi a zero)

Indipendentemente da ciò i log degli AV sono un'ottima base di partenza sulla quale fare un ragionamento, in quanto i problemi che riscontri sono comuni a "enne" tipologie di infezioni

[AMIGASYSTEM]

Potrebbe trattarsi del worm Conficker,i sintomi sono quelli,probabilmente metterò sotto Linux quel server adibito ad unità di rete multiple.

[Chill-Out]

Originariamente inviato da AMIGASYSTEM

Potrebbe trattarsi del worm Conficker,i sintomi sono quelli,probabilmente metterò sotto Linux quel server adibito ad unità di rete multiple.

E' una ipotesi fattibile

[AMIGASYSTEM]

Pare sia tutto finito,effettivamente si trattava del Conficker AE,solo alcune macchine erano infette,ma bastava per far ballare tutti gli antivirus delle macchine più protette,ho sistemato aggiornando i sistemi con la patch della Microsoft che dovrebbe chiudere la solita porta lasciata aperta,con il Malicious Software Removal Tool,per togliere la rogna nel sistema,che infettava le pennine,in questo caso era il contrario,era il PC che infettava le pendriver,me ne sono accorto,perchè si infettavano le pendriver nuove uscite dalla confezione,stessa cosa per le unità di rete che essendo volumi venivano automaticamente infettati,gli altri PC che avevano le stesse unità di rete montate automaticamente,venivano bombardate da messaggi per tentata infezione.