Virus estranho no XP

Trabalho em um provedor de internet, e seguido um cliente liga que esta sem internet. ai levo o notebook junto plugo no cabo do cliente e a net esta normal,
pluco no pc do cliente e nada, mas porem executando o comando> cmd> Ping www.terra.com.br, por quatro ou cinco vezes a internet volta a funcionar
ate q seja reiniciada a maquina. tambem percebi que se iniciar o pc com a conexao local desativada e depois de ligado o pc ativa-la a net vai funcionar normalmente.
gostaria de saber se alguem ja viu esse tipo de virus, e que tipo de virus é esse e se tem como elimina-lo sem a formataçao,por que ja teve mais de 15 casos desses aki que eu tive q resolver e todos so consegui formatando.
vlw espero q possam me ajudar! :D

isto ai e uma oportunidade de negocio fala que não tem jeito e formata a maquina ai tu ganha um por fora ,aqui eu não fico quebrando a cabeça com maquina do cliente formatação quem deveria saber fazer e o cliente isto e a nivel usuario se ele não sabe paciencia e dinheiro no bolso ....

Se ja teve mais de 15 casos desses
nao vejo como oportunidade de negocio, mas sim como um grande problema.
Te aconselho a tentar encontrar algo em comum entre esses clientes, na qual esteja infectando-os.

Como é sua rede? seu cenario?
usas Radio nos clientes ou USN/Placa PCI.

Bom, eu peguei um cliente certa vez com problema parecido.
a net nao funcionava de jeito nenhum, o ping funcionava.
Se reiniciava a maquina, a net funcionava por um tempo.
dei um torch no cliente e vi que sem ele abrir nenhum site, software.. ele estava a gastar banda e muita banda.
estava a pingar um site...
percebi tbm que a cada dia era um site diferente.
nao consegui encontrar esse virus, tive que formata-lo.
mas foi o unico caso (ate onde eu sei) na minha rede.

A melhor solução é:
Encontrar o virus: (feche todos os programas que conseguir, execute o comando netstat -b e veja se encontra algo suspeito:
Após ter feito isso a formatação na maquina do cliente é inevitável! (ganhe seus 50,00, é justo)
Pegue a porta que esse virus utiliza e simplesmente feche-a no seu mikrotik...
Aqui no meu provedor o consultor kebrou um galhão pra mim e fechou todos os bullets das omnis das repetidoras e da central (gates de entrada dos clientes)
Detalhe: ele entrou via ssh nos bullets e alterou o firmware dos mesmos...Show d bola! Virus nunca mais!

voce ja pensou em cada cliente que chega para o provedor e fala que não esta navegando e voce vai verificar e ve que o problema e na maquina do cliente tu formatar de graça ,nem a pau juvenal to fora se eu falar para os clientes da rede que a formatação vai sair de graça para ele faz uma fila aqui na frente igual final de ano todo mundo indo para praia se afeta a rede toda e obrigação do provedor achar o problema e resolver agora se afetou algumas maquinas e formatando resolve eu so cobraria a formatação e falaria para os clientes que e um viruz novo de internet que esta acabando com as maquinas e ponto final .
o que tem de email spam que chega para todo mundo do tipo clique aqui que voce foi o ganhador não esta escrito e por incrivel que pareça os usuario sempre clicam ali .

mas ninguem aqui comentou sobre formatar de graça, e se comentou... acho que nao li direito.. ueshues

de qualquer forma, dependendo do cenario dele... o virus pode estar sendo transmitido sobre a rede.
dai a importancia de indentificar como os clientes estao pegando esse virus.

então mas tambem o provedor não pode criar panico falando que sua rede esta infectada ,retira as maquinas dos clientes ganha sua formatação que e justo de graça nem injeção na testa e formta quantas aparecerem e vai investigando ate achar aonde e o problema se esta na rede mesmo ou se foi um monte de cliente que pegou viruz mesmo o que eu não acho impossivel teve uma epoca que eu nem trabalhava e nem sonhava em trabalhar com provedor ,nesta epoca formatei 2 maquinas e não coloquei antiviruz por que eu acho que isso era problema do cliente ,mas tive de mudar de ideia por que eu entregava a maquina e falava para o cliente entrar na internet e baixa o antiviruz que ele quisesse mas para que no outro dia a maquina voltava .
motivo tinha um viruz que era so conectar na rede do speedy aqui em são paulo que lasco pegava um viruz que a maquina ligava e em 1 minuto ja desligava era uma praga ,ai la vai o besta formatar de graça e desta vez eu colocava o antiviruz kkkkkk aprendi tomando na cabeça

desabilite seu antivirus e utilizer o combofix ele vai eliminar todo os virus de seu computador assim que ele terminar habilite seu antivirus novamente e verefique se a internet esta funcionando normal.

Bom como disse o nosso amigo mascaraapj estou vendo isso como um problema, pois desconfio q o virus estaja na rede. a gente usa nanostation nos cliente como router, tendo o nat habilitado e o cliente recebe um protocolo dhcp na maioria dos casos. o controle de banda etc, é feito pelo Mikrotik e em casa ponto de distribuiçao temos um mikrotik com pelo menos 4 cartoes, e em cada mikrotik tem no minimo 1000 portas bloqueadas que resolve um monte de virus. mas esse caso é novo aki, desconfio que seja um virus que envia ao cliente um falso pacote de dhcp e infecta a maquina, mas nao tenho certeza, pq ja vi clientes aki que estao em bridge ou seja o ip deles fixo no pc e estao infectados. Mas o estranho é que só vi isso no Xp, sao nao notei se é no sp2 ou sp3 vo dar uma olhada melhor.
vou tentar dar un netstat que nem falo o amigo e vamos ver no que da.

Citação:

---

Postado originalmente por GilneiD

Trabalho em um provedor de internet, e seguido um cliente liga que esta sem internet. ai levo o notebook junto plugo no cabo do cliente e a net esta normal,
pluco no pc do cliente e nada, mas porem executando o comando> cmd> Ping www.terra.com.br, por quatro ou cinco vezes a internet volta a funcionar
ate q seja reiniciada a maquina. tambem percebi que se iniciar o pc com a conexao local desativada e depois de ligado o pc ativa-la a net vai funcionar normalmente.
gostaria de saber se alguem ja viu esse tipo de virus, e que tipo de virus é esse e se tem como elimina-lo sem a formataçao,por que ja teve mais de 15 casos desses aki que eu tive q resolver e todos so consegui formatando.
vlw espero q possam me ajudar! :D

---

Bom amigo! existe muitas posibilidade de ser virus, primcipalmente quando o sistema operacional, é o xp muitas vezes a net fica lenta, porque o virus ta comsumindo toda a banda, o pc fica lento e travando, e por ai vai!
teve uma epoca que tive um problema parecido com os clientes,
formatei o pc de uns clientes com o mesmo problema(existe milhares de virus na net, nao é coincidência 3 a 6 clientes pegarem o mesmo virus) é mais provavel que fosse um worms que tava inpestando a rede,

EU RECOMENDO instala o windows 7 com antivirus avast internet security e firewall comodo ou de sua preferencia, e nas maquinas com memoria abaixo de 1gb bota o xp mas com o mesmo arsenal comtra as pragas, porque só tive mais problemas com o xp.

Estao em bridge? o Radio cliente nao esta fazendo NAT?
possivelmente o problema esta ai.

Citação:

---

Postado originalmente por GilneiD

Bom como disse o nosso amigo mascaraapj estou vendo isso como um problema, pois desconfio q o virus estaja na rede. a gente usa nanostation nos cliente como router, tendo o nat habilitado e o cliente recebe um protocolo dhcp na maioria dos casos. o controle de banda etc, é feito pelo Mikrotik e em casa ponto de distribuiçao temos um mikrotik com pelo menos 4 cartoes, e em cada mikrotik tem no minimo 1000 portas bloqueadas que resolve um monte de virus. mas esse caso é novo aki, desconfio que seja um virus que envia ao cliente um falso pacote de dhcp e infecta a maquina, mas nao tenho certeza, pq ja vi clientes aki que estao em bridge ou seja o ip deles fixo no pc e estao infectados. Mas o estranho é que só vi isso no Xp, sao nao notei se é no sp2 ou sp3 vo dar uma olhada melhor.
vou tentar dar un netstat que nem falo o amigo e vamos ver no que da.

---

com certeza o problema nao esta ai, não é obrigatorio estar em router e habilitar o nat, isso so serve quando a antena nano for individual, no caso dos condominios, que se coloca apenas uma nanostation 5, ela tem de estar em bridge, pois cada cliente tem o seu ip e sua banda, e estando em modo bridge o mac dos clientes passam pela rede, ja em router e o nat habilitado apenas pega o mac do nano, um detalhe, a gente nao trabalha com autenticaçao ppoe, trabalhamos com ip amarrado ao mac e cliptografia nos pontos.

Exatamente isso
se nao esta fazendo NAT...
entao esta em bridge, todos podem se enchergar.
Se um pega um virus, pode facilmente passar para outro cliente, pois a rede que um esta conectado a mesma que o outro esta conectado.

algumas vezes, o uso de ip /30 em cada cliente pode diminuir o problema.

Citação:

---

Postado originalmente por GilneiD

com certeza o problema nao esta ai, não é obrigatorio estar em router e habilitar o nat, isso so serve quando a antena nano for individual, no caso dos condominios, que se coloca apenas uma nanostation 5, ela tem de estar em bridge, pois cada cliente tem o seu ip e sua banda, e estando em modo bridge o mac dos clientes passam pela rede, ja em router e o nat habilitado apenas pega o mac do nano, um detalhe, a gente nao trabalha com autenticaçao ppoe, trabalhamos com ip amarrado ao mac e cliptografia nos pontos.

---

concordo com vc que em modo bridge fica mais vuneravel a virus, mas os clientes nao se enchergam, pq as portas estao bloqueadas. mas se fosse esse o problema, por que o problema aparece nos clientes que estao em modo router e nat habilitado? e aqui a gente usa /29 na classe 192 e /24 na classe 10 oque da no total de 8 ip para a 192 e 254 para a 10, mas o estranho é q o virus "se é q é um virus" se apresentou nas duas classes e, somente em pcs com windows xp, e mesmo tendo avast instalado nao segurou a ameaça. to ai na luta para tentar decobrir a causa, mas o mais estranho de tudo é q apos 4 pings para algum site a net funciona, ou mesmo se iniciar o pc com a comexao desativada e depois de ligado o pc ativa-la.

vc disse que os clientes que o ap esta em bridge
apos a bridge, tem um SW que manda para cada 1 dos clientes, nao?
se sim, entao eles se enchergam sim.

talvez possa ser algum virus novo no orkut
que é onde os clientes mais acessam.

Citação:

---

Postado originalmente por GilneiD

concordo com vc que em modo bridge fica mais vuneravel a virus, mas os clientes nao se enchergam, pq as portas estao bloqueadas. mas se fosse esse o problema, por que o problema aparece nos clientes que estao em modo router e nat habilitado? e aqui a gente usa /29 na classe 192 e /24 na classe 10 oque da no total de 8 ip para a 192 e 254 para a 10, mas o estranho é q o virus "se é q é um virus" se apresentou nas duas classes e, somente em pcs com windows xp, e mesmo tendo avast instalado nao segurou a ameaça. to ai na luta para tentar decobrir a causa, mas o mais estranho de tudo é q apos 4 pings para algum site a net funciona, ou mesmo se iniciar o pc com a comexao desativada e depois de ligado o pc ativa-la.

---

nao sei bem te dizer que porta e que recurso que foi utilizado, mas nenhum cliente encherga o outro, antigamente enchergavam e dava muito problema, ai foi bloqueado no mikrotik, a base pra isso é que cada cliente tem seu ip e ele autentica no servidor, ou seja a requisiçao tem que ir ate o servidor e voltar para o cliente, por exemplo se um cliente que esta no mesmo nano com outro com ip 10.1.2.2 quiser acessar o pc do outro cliente com o ip 10.1.3.2 ele envia a requisiçao para o servidor e ele identifica e ja bloqueia essa requisçao e se el por um dicovery ele nao vai encontrar nada, pois todas as portas estao bloqueadas, deu um trabalhão, mas conseguimos fazer tudo isso, ja q o mikrotik permite temos que usufruir :D

Parceiro
Na realidade, se existir um SW antes do servidor mikrotik, a requisicao nao é bloqueada pelo servidor
ja que nao precisa dele para chegar ao destino.

Citação:

---

Postado originalmente por GilneiD

nao sei bem te dizer que porta e que recurso que foi utilizado, mas nenhum cliente encherga o outro, antigamente enchergavam e dava muito problema, ai foi bloqueado no mikrotik, a base pra isso é que cada cliente tem seu ip e ele autentica no servidor, ou seja a requisiçao tem que ir ate o servidor e voltar para o cliente, por exemplo se um cliente que esta no mesmo nano com outro com ip 10.1.2.2 quiser acessar o pc do outro cliente com o ip 10.1.3.2 ele envia a requisiçao para o servidor e ele identifica e ja bloqueia essa requisçao e se el por um dicovery ele nao vai encontrar nada, pois todas as portas estao bloqueadas, deu um trabalhão, mas conseguimos fazer tudo isso, ja q o mikrotik permite temos que usufruir :D

---

oque vem a ser um sw, na nossa rede oque temos é mikrotik como servidor central com 2 placas de rede e mikrotik nas tores com pelo menos 4 cartoes em cada e em caso dos 5.8 temos torres com 4 a 8 cartoes todos os pontos em bridge para fazer todo o controle de banda, mac, blooquei/desbloqueio de ip no servidor central, ou seja tudo tem q passar por esse servidor central.

SW = Switch
vc disse que tem na torre RB+ cartao? estao em bridge correto? se estao em bridge, entao esta fazendo o papel parecido de um SW
agora, nessa bridge tem firewall? se tiver, ai sim da para bloquear

bem colocado.
todas as Rbs tem regras de firewalls, inclusive as mesmas regras q tem no mk central, se nao nao adiantaria de nada.

Pode ser o arquivo hosts do XP que está danificado, quando esse arquivo não funciona direita, a internet também não.

como colocar este firewall para funcionar

O firewall funciona o tempo todo você só tem que colocar as regras nele, mas regras dependem das suas necessidades.

pelo meu entender voce so pode bloquear o que voce sabe o que esta te atacando se for um inimigo invisiel fica complicado

Voltando a ativa nesse topico:
descobri que a unica açao do virus é bloquear o DNS da maquina, e apos alguns ping ele responde, OBS: ainda nao sei se é um virus um bug do windows, pois so notei isso no XP", se eu digitar no browser. 189.74.235.235 que é o ip do nosso site, ele vai abrir, mas se digitar www.atuanet.com.br ou qualquer utro site nem chanse ate nao pingar algumas vezes para algum site.

caros amigos sou analista de sistema, administrador em de redes em mikrotik e fora outras coisa q não vou sair colocando, estou afirmando q tenho experiencia e profissiolanismo para responder> Bom a questão de como resolver seu problema quanto ao vírus, só verificando mesmo, para poder indetificar, enfim, essa coisa de tá formatando máquina é fato de pessoas q s dizem técnicos, formatar só em último caso, acaba como o hd, sempre falta algum arquivo do cliente, o certo é encontrar o problema e resolver, sempre a surgir um problema e correr comedo, como vou encarar os problemas da vida