🚀 go-pugleaf

On 8 Lip, 15:42, jureq <ju...@Xusun.to.z.adresu.Xop.pl> wrote:

> Już po raz drugi zdarzyło się, że któryś z komputerów w sieci zaczął
> rozsyłać spam. Przeskanowanie dostępnymi antywirusami itp nic nie wykrywa.
>
> Firewall loguje wszystkie pakiety zablokowane i połączenia z portem 25.
> Przed wysyłkom spamu w logach firewalla pojawia się powtórzone kilka
> identycznych sekwencji:
>
> SRC=192.168.0.13 DST=159.50.169.77 [...]
> TCP SPT=1230 DPT=25
> [...]

> a za drugim razem
>
> SRC=192.168.0.32 DST=65.55.103.55
> TCP SPT=4733 DPT=25
[...]
> adres 192.168.0.13 i 32 to te komputery spamujące (Windows XP, wszystkie
> poprawki itp)
>
> Czy komuś może to coś przypomina?

ehem ... rozsylanie spamu ? ;)

> Jak to zlikwidować

odnalezc trojany (zazwyczaj) i usunac z komputera
pomocny moze byc gmer i/lub ComboFix i/lub SdFix
lub tez skan anty-wirusem z Linux-a z heurystyka na max

jesli to cos nowego (pisales ze antywirus nie widzi)
to nie kasuj tylko zgraj na CD-R lub pen-drive
i podeslij do producenta anty-wirusa
(mozesz zahaslowac archiwum zeby przeszlo przez bramki smtp)

> i zabezpieczyć się na przyszłość?

to duzo trudniejsze,
trzeba odnalezc droga jaka trojan dostal sie do komputera
moze to byc pen-drive przyniesiony z domowego zainfekowanego komputera
lub strona www z exploit-ami, lub tez dokument uzywajacy exploit-a
(w e-mail-u lub przez gg)

generalnie wypytujesz uzytkownika co robil i czy cos podejrzanego
zauwazyl
(np. spowolnienie lub chwilowa blokade komputera _po_ otwarciu strony
www)
sprawdzasz logi na komputerze uzytkownika i logi na firewall-u

pozdrawiam,
Kamil Konieczny