Virus estranho no XP

[GilneiD]

Trabalho em um provedor de internet, e seguido um cliente liga que esta sem internet. ai levo o notebook junto plugo no cabo do cliente e a net esta normal,
pluco no pc do cliente e nada, mas porem executando o comando> cmd> Ping www.terra.com.br, por quatro ou cinco vezes a internet volta a funcionar
ate q seja reiniciada a maquina. tambem percebi que se iniciar o pc com a conexao local desativada e depois de ligado o pc ativa-la a net vai funcionar normalmente.
gostaria de saber se alguem ja viu esse tipo de virus, e que tipo de virus é esse e se tem como elimina-lo sem a formataçao,por que ja teve mais de 15 casos desses aki que eu tive q resolver e todos so consegui formatando.
vlw espero q possam me ajudar!

[naldo864]

isto ai e uma oportunidade de negocio fala que não tem jeito e formata a maquina ai tu ganha um por fora ,aqui eu não fico quebrando a cabeça com maquina do cliente formatação quem deveria saber fazer e o cliente isto e a nivel usuario se ele não sabe paciencia e dinheiro no bolso ....

[AndrioPJ]

Se ja teve mais de 15 casos desses
nao vejo como oportunidade de negocio, mas sim como um grande problema.
Te aconselho a tentar encontrar algo em comum entre esses clientes, na qual esteja infectando-os.

Como é sua rede? seu cenario?
usas Radio nos clientes ou USN/Placa PCI.

Bom, eu peguei um cliente certa vez com problema parecido.
a net nao funcionava de jeito nenhum, o ping funcionava.
Se reiniciava a maquina, a net funcionava por um tempo.
dei um torch no cliente e vi que sem ele abrir nenhum site, software.. ele estava a gastar banda e muita banda.
estava a pingar um site...
percebi tbm que a cada dia era um site diferente.
nao consegui encontrar esse virus, tive que formata-lo.
mas foi o unico caso (ate onde eu sei) na minha rede.

[PauloMassa]

A melhor solução é:
Encontrar o virus: (feche todos os programas que conseguir, execute o comando netstat -b e veja se encontra algo suspeito:
Após ter feito isso a formatação na maquina do cliente é inevitável! (ganhe seus 50,00, é justo)
Pegue a porta que esse virus utiliza e simplesmente feche-a no seu mikrotik...
Aqui no meu provedor o consultor kebrou um galhão pra mim e fechou todos os bullets das omnis das repetidoras e da central (gates de entrada dos clientes)
Detalhe: ele entrou via ssh nos bullets e alterou o firmware dos mesmos...Show d bola! Virus nunca mais!

[naldo864]

voce ja pensou em cada cliente que chega para o provedor e fala que não esta navegando e voce vai verificar e ve que o problema e na maquina do cliente tu formatar de graça ,nem a pau juvenal to fora se eu falar para os clientes da rede que a formatação vai sair de graça para ele faz uma fila aqui na frente igual final de ano todo mundo indo para praia se afeta a rede toda e obrigação do provedor achar o problema e resolver agora se afetou algumas maquinas e formatando resolve eu so cobraria a formatação e falaria para os clientes que e um viruz novo de internet que esta acabando com as maquinas e ponto final .
o que tem de email spam que chega para todo mundo do tipo clique aqui que voce foi o ganhador não esta escrito e por incrivel que pareça os usuario sempre clicam ali .

[AndrioPJ]

mas ninguem aqui comentou sobre formatar de graça, e se comentou... acho que nao li direito.. ueshues

de qualquer forma, dependendo do cenario dele... o virus pode estar sendo transmitido sobre a rede.
dai a importancia de indentificar como os clientes estao pegando esse virus.

[naldo864]

então mas tambem o provedor não pode criar panico falando que sua rede esta infectada ,retira as maquinas dos clientes ganha sua formatação que e justo de graça nem injeção na testa e formta quantas aparecerem e vai investigando ate achar aonde e o problema se esta na rede mesmo ou se foi um monte de cliente que pegou viruz mesmo o que eu não acho impossivel teve uma epoca que eu nem trabalhava e nem sonhava em trabalhar com provedor ,nesta epoca formatei 2 maquinas e não coloquei antiviruz por que eu acho que isso era problema do cliente ,mas tive de mudar de ideia por que eu entregava a maquina e falava para o cliente entrar na internet e baixa o antiviruz que ele quisesse mas para que no outro dia a maquina voltava .
motivo tinha um viruz que era so conectar na rede do speedy aqui em são paulo que lasco pegava um viruz que a maquina ligava e em 1 minuto ja desligava era uma praga ,ai la vai o besta formatar de graça e desta vez eu colocava o antiviruz kkkkkk aprendi tomando na cabeça

[Teco2010]

desabilite seu antivirus e utilizer o combofix ele vai eliminar todo os virus de seu computador assim que ele terminar habilite seu antivirus novamente e verefique se a internet esta funcionando normal.

[GilneiD]

Bom como disse o nosso amigo mascaraapj estou vendo isso como um problema, pois desconfio q o virus estaja na rede. a gente usa nanostation nos cliente como router, tendo o nat habilitado e o cliente recebe um protocolo dhcp na maioria dos casos. o controle de banda etc, é feito pelo Mikrotik e em casa ponto de distribuiçao temos um mikrotik com pelo menos 4 cartoes, e em cada mikrotik tem no minimo 1000 portas bloqueadas que resolve um monte de virus. mas esse caso é novo aki, desconfio que seja um virus que envia ao cliente um falso pacote de dhcp e infecta a maquina, mas nao tenho certeza, pq ja vi clientes aki que estao em bridge ou seja o ip deles fixo no pc e estao infectados. Mas o estranho é que só vi isso no Xp, sao nao notei se é no sp2 ou sp3 vo dar uma olhada melhor.
vou tentar dar un netstat que nem falo o amigo e vamos ver no que da.

[JHEYDSON]

Trabalho em um provedor de internet, e seguido um cliente liga que esta sem internet. ai levo o notebook junto plugo no cabo do cliente e a net esta normal,
pluco no pc do cliente e nada, mas porem executando o comando> cmd> Ping www.terra.com.br, por quatro ou cinco vezes a internet volta a funcionar
ate q seja reiniciada a maquina. tambem percebi que se iniciar o pc com a conexao local desativada e depois de ligado o pc ativa-la a net vai funcionar normalmente.
gostaria de saber se alguem ja viu esse tipo de virus, e que tipo de virus é esse e se tem como elimina-lo sem a formataçao,por que ja teve mais de 15 casos desses aki que eu tive q resolver e todos so consegui formatando.
vlw espero q possam me ajudar!

Bom amigo! existe muitas posibilidade de ser virus, primcipalmente quando o sistema operacional, é o xp muitas vezes a net fica lenta, porque o virus ta comsumindo toda a banda, o pc fica lento e travando, e por ai vai!
teve uma epoca que tive um problema parecido com os clientes,
formatei o pc de uns clientes com o mesmo problema(existe milhares de virus na net, nao é coincidência 3 a 6 clientes pegarem o mesmo virus) é mais provavel que fosse um worms que tava inpestando a rede,

EU RECOMENDO instala o windows 7 com antivirus avast internet security e firewall comodo ou de sua preferencia, e nas maquinas com memoria abaixo de 1gb bota o xp mas com o mesmo arsenal comtra as pragas, porque só tive mais problemas com o xp.

[AndrioPJ]

Estao em bridge? o Radio cliente nao esta fazendo NAT?
possivelmente o problema esta ai.

Bom como disse o nosso amigo mascaraapj estou vendo isso como um problema, pois desconfio q o virus estaja na rede. a gente usa nanostation nos cliente como router, tendo o nat habilitado e o cliente recebe um protocolo dhcp na maioria dos casos. o controle de banda etc, é feito pelo Mikrotik e em casa ponto de distribuiçao temos um mikrotik com pelo menos 4 cartoes, e em cada mikrotik tem no minimo 1000 portas bloqueadas que resolve um monte de virus. mas esse caso é novo aki, desconfio que seja um virus que envia ao cliente um falso pacote de dhcp e infecta a maquina, mas nao tenho certeza, pq ja vi clientes aki que estao em bridge ou seja o ip deles fixo no pc e estao infectados. Mas o estranho é que só vi isso no Xp, sao nao notei se é no sp2 ou sp3 vo dar uma olhada melhor.
vou tentar dar un netstat que nem falo o amigo e vamos ver no que da.

[GilneiD]

com certeza o problema nao esta ai, não é obrigatorio estar em router e habilitar o nat, isso so serve quando a antena nano for individual, no caso dos condominios, que se coloca apenas uma nanostation 5, ela tem de estar em bridge, pois cada cliente tem o seu ip e sua banda, e estando em modo bridge o mac dos clientes passam pela rede, ja em router e o nat habilitado apenas pega o mac do nano, um detalhe, a gente nao trabalha com autenticaçao ppoe, trabalhamos com ip amarrado ao mac e cliptografia nos pontos.

[AndrioPJ]

Exatamente isso
se nao esta fazendo NAT...
entao esta em bridge, todos podem se enchergar.
Se um pega um virus, pode facilmente passar para outro cliente, pois a rede que um esta conectado a mesma que o outro esta conectado.

algumas vezes, o uso de ip /30 em cada cliente pode diminuir o problema.

com certeza o problema nao esta ai, não é obrigatorio estar em router e habilitar o nat, isso so serve quando a antena nano for individual, no caso dos condominios, que se coloca apenas uma nanostation 5, ela tem de estar em bridge, pois cada cliente tem o seu ip e sua banda, e estando em modo bridge o mac dos clientes passam pela rede, ja em router e o nat habilitado apenas pega o mac do nano, um detalhe, a gente nao trabalha com autenticaçao ppoe, trabalhamos com ip amarrado ao mac e cliptografia nos pontos.

[GilneiD]

concordo com vc que em modo bridge fica mais vuneravel a virus, mas os clientes nao se enchergam, pq as portas estao bloqueadas. mas se fosse esse o problema, por que o problema aparece nos clientes que estao em modo router e nat habilitado? e aqui a gente usa /29 na classe 192 e /24 na classe 10 oque da no total de 8 ip para a 192 e 254 para a 10, mas o estranho é q o virus "se é q é um virus" se apresentou nas duas classes e, somente em pcs com windows xp, e mesmo tendo avast instalado nao segurou a ameaça. to ai na luta para tentar decobrir a causa, mas o mais estranho de tudo é q apos 4 pings para algum site a net funciona, ou mesmo se iniciar o pc com a comexao desativada e depois de ligado o pc ativa-la.

[AndrioPJ]

vc disse que os clientes que o ap esta em bridge
apos a bridge, tem um SW que manda para cada 1 dos clientes, nao?
se sim, entao eles se enchergam sim.

talvez possa ser algum virus novo no orkut
que é onde os clientes mais acessam.

concordo com vc que em modo bridge fica mais vuneravel a virus, mas os clientes nao se enchergam, pq as portas estao bloqueadas. mas se fosse esse o problema, por que o problema aparece nos clientes que estao em modo router e nat habilitado? e aqui a gente usa /29 na classe 192 e /24 na classe 10 oque da no total de 8 ip para a 192 e 254 para a 10, mas o estranho é q o virus "se é q é um virus" se apresentou nas duas classes e, somente em pcs com windows xp, e mesmo tendo avast instalado nao segurou a ameaça. to ai na luta para tentar decobrir a causa, mas o mais estranho de tudo é q apos 4 pings para algum site a net funciona, ou mesmo se iniciar o pc com a comexao desativada e depois de ligado o pc ativa-la.

[GilneiD]

nao sei bem te dizer que porta e que recurso que foi utilizado, mas nenhum cliente encherga o outro, antigamente enchergavam e dava muito problema, ai foi bloqueado no mikrotik, a base pra isso é que cada cliente tem seu ip e ele autentica no servidor, ou seja a requisiçao tem que ir ate o servidor e voltar para o cliente, por exemplo se um cliente que esta no mesmo nano com outro com ip 10.1.2.2 quiser acessar o pc do outro cliente com o ip 10.1.3.2 ele envia a requisiçao para o servidor e ele identifica e ja bloqueia essa requisçao e se el por um dicovery ele nao vai encontrar nada, pois todas as portas estao bloqueadas, deu um trabalhão, mas conseguimos fazer tudo isso, ja q o mikrotik permite temos que usufruir

[AndrioPJ]

Parceiro
Na realidade, se existir um SW antes do servidor mikrotik, a requisicao nao é bloqueada pelo servidor
ja que nao precisa dele para chegar ao destino.

nao sei bem te dizer que porta e que recurso que foi utilizado, mas nenhum cliente encherga o outro, antigamente enchergavam e dava muito problema, ai foi bloqueado no mikrotik, a base pra isso é que cada cliente tem seu ip e ele autentica no servidor, ou seja a requisiçao tem que ir ate o servidor e voltar para o cliente, por exemplo se um cliente que esta no mesmo nano com outro com ip 10.1.2.2 quiser acessar o pc do outro cliente com o ip 10.1.3.2 ele envia a requisiçao para o servidor e ele identifica e ja bloqueia essa requisçao e se el por um dicovery ele nao vai encontrar nada, pois todas as portas estao bloqueadas, deu um trabalhão, mas conseguimos fazer tudo isso, ja q o mikrotik permite temos que usufruir

[GilneiD]

oque vem a ser um sw, na nossa rede oque temos é mikrotik como servidor central com 2 placas de rede e mikrotik nas tores com pelo menos 4 cartoes em cada e em caso dos 5.8 temos torres com 4 a 8 cartoes todos os pontos em bridge para fazer todo o controle de banda, mac, blooquei/desbloqueio de ip no servidor central, ou seja tudo tem q passar por esse servidor central.

[AndrioPJ]

SW = Switch
vc disse que tem na torre RB+ cartao? estao em bridge correto? se estao em bridge, entao esta fazendo o papel parecido de um SW
agora, nessa bridge tem firewall? se tiver, ai sim da para bloquear

[GilneiD]

bem colocado.
todas as Rbs tem regras de firewalls, inclusive as mesmas regras q tem no mk central, se nao nao adiantaria de nada.