Обьясните подробнее что делать с вирусом если он проберётся в компьютер? как предостеречся? может вообще на время кабель вытащить? уж больно не хочется виндовс сносить

А антивирус ставить не пробовал?

стоит, всёравно опасно, может новый какой, а обновления на него не сделали ещё

почему нет варианта ответа "йа креведко"?

Почему нет варианта - никакого вируса нет?

Поставить антивирус с последними базами, фаерволл, антируткит, отключить в браузере JavaScript и Java, проверить автозагрузку на наличие подозрительных программ и сервисов, проверить память на наличие подозрительных процессов (Ctrl+Alt+Del) и т.д.
Есть ещё более параноидальные советы, правда я думаю их врядли кто-то будет выполнять.

Перестать пользоваться IE как вариант, опасность заражения снизится.

Выкинуть комп и пойти кататься на санках/лыжах/коньках и больше не думать о подобной чепухе!

заметил такую особенность, если на сайты красно.ру заходил через IE, то выскакивало иногда окно антивируса с предупреждением, через мазилу ни разу не выскочило.

Больше я ничего не обнаруживал.

Просто на IE у Вас включена поддержка Java, а на мозиле выключена.
Больной комп ставит себе адрес шлюза. К нему от вас летит пакет с запросом на открытие форума. А он в ответ отправляет джавного трояна. Троян приплывает в IE, и втаскивает из Инета вируса и передает управление. (Есть в IE эта дыра) И Вы уже спидоносец.

Shef, залез в настройки мозилы, стоят галочки напротив Использовать JavaScript и Использовать Java.

Я пока все выводы делаю по косвенным признакам. (что админы скажут, что в форумах понапишут, как пинги проходят и трассировки; живьем вируса не видел....наверное к счастью)
Значит вирус рассылает трояна только на IE. А узнает о типе эксплоера из запроса. Умный, гад. Совет Трейса в силе - не пользоваться IE.

Признаки появились только что в 15ч19мин местного времени в злополучном доме №1. Засечена попытка (успешная) подмены адреса.

1 - 15:19:40: Mapping changed: 172.18.50.254 changed from 00-19-5B-12-56-82 to 00-80-48-1A-53-AB
2 - 15:21:33: Mapping changed: 172.18.50.254 changed from 00-80-48-1A-53-AB to 00-19-5B-12-56-82
3 - 15:21:39: Mapping changed: 172.18.50.254 changed from 00-19-5B-12-56-82 to 00-80-48-1A-53-AB
4 - 15:21:40: Mapping changed: 172.18.50.254 changed from 00-80-48-1A-53-AB to 00-19-5B-12-56-82
5 - 15:21:43: Mapping changed: 172.18.50.254 changed from 00-19-5B-12-56-82 to 00-80-48-1A-53-AB
6 - 15:21:45: Mapping changed: 172.18.50.254 changed from 00-80-48-1A-53-AB to 00-19-5B-12-56-82
7 - 15:21:46: Mapping changed: 172.18.50.254 changed from 00-19-5B-12-56-82 to 00-80-48-1A-53-AB

и так 27 пунктов.

При попытке войти на данный портал через IE-подобный эксплорер (умышленно) антивирус блокировал попытку проникновения трояна. Указанный файл пытался разместиться во временных файлах интернета.



Ну и самое интересное :

Ka3us
Опишите для пользователей каким ПО ловите ARP запросы.
Пользователям, у кого сеть падает - такое описание проблемы, как у Ka3us, позволяет нам быстро принять меры по изоляции вирусоносителя.

Эта дыра есть на старых версиях IE. Обновляйтесь друзья.

Программа называется XArp, выложил на 172.18.50.50 в папку Soft/Lan_Arp под названием XArp_0.1.5_win2000_winxp.zip
Установки не требует, после запуска надо минимизировать окно - оно свернется в трей и ждать При попытке смены физического адреса всплывет окно. Из меню сохранить в текстовый файл содержимое двух окон и файлы выслать провайдеру. Всё.

Прикольная программка. Вот ещё:
1 - 16:25:25: Mapping changed: 172.18.50.254 changed from 00-E0-4C-51-63-B0 to 00-19-5B-12-56-82

2 - 16:25:28: Mapping changed: 172.18.50.254 changed from 00-19-5B-12-56-82 to 00-E0-4C-51-63-B0

выключили

Я не Ка3us, но
Возможно использование отечественного продукта....
ВОТ: http://mdprograms.narod.ru/ MDArp

что должна показать MDArp когда произошла подмена адреса?

Вы там осторожнее выключайте .. не 37 год, я тоже вон в субботу настучал (по телефону) на какого -то пострадавшего.. за это же, как - то неудобно, просил не отключать , а позвонить ему сначала.
А то начнется взял из кэша чей-нибудь адрес и..
Вообще , ставьте постоянный МАС на шлюз и дорогие вам адреса из вашей подсети и проблем намного меньше будет, я об этом вспомнил только когда после первода сети забыл это снова сделать

заносите MAC шлюза в образцы (в принципе она сама заносит- вы проверьте что он правильный), и на каждую смену : окно сообщений (МАС и адрес) + лог ведется (100кб всего лишь мониторится ваш arp кэш)

спасибо.
я так понял MDArp запускать надо при включении компьютера и сворачивать? о подмене надеюсь MDArp даст знать?

Да, поставьте шлюз статическим, запускайте программу и ловите врагов. народа (список в логе будет)

(поставьте шлюз статическим)

я наверно надоел? ))
как это сделать

А если бездействовать, то будет 33-й. Если мне не изменяет память, то похожий вирус гулял в сети лет 5-6 назад. Правда сеть была проще и в основном страдали пользовательские машины. И на этот лекарство найдут.

Вот здесь в конце это обсуждали viewtopic.php?t=1833&start=810
В общем Пуск- Выполнить-cmd - arp -s 172.18.ХX.254 00-хх-хх-хх-хх-хх 172.18.ХX.ХХ
т.е arp -s {адрес шлюза в вашей подсети} {МАС шлюза} {ваш адрес}
МАС шлюза смотрите в той же MDarp когда все работает норм

А что там было-то?
Сетьв целом не падает( из-за данной проблемы) (пока arp трафик все не забьет ), просто у юзеров пропадает шлюз и, соответственно, хосты из других подсетей становятся недоступны (Дима тут писал : "странно krasno.ru пропадает, а на 50.50 могу зайти"- это ж в одной подсети - ничего странного)

http://www.krasno.ru/arp-gw.php

скриптик прописывает статическую запись в системе и в реестре в автозагрузке.
Советую запустить всем, должны уменьшиться потери связи.

1 - 20:30:01: Mapping changed: 172.18.0.254 changed from 00-14-5E-6B-52-96 to 00-80-48-3A-A2-BF

2 - 20:30:03: Mapping changed: 172.18.0.254 changed from 00-80-48-3A-A2-BF to 00-14-5E-6B-52-96

3 - 20:30:09: Mapping changed: 172.18.0.254 changed from 00-14-5E-6B-52-96 to 00-80-48-3A-A2-BF

4 - 20:30:10: Mapping changed: 172.18.0.254 changed from 00-80-48-3A-A2-BF to 00-14-5E-6B-52-96

5 - 20:30:27: Mapping changed: 172.18.0.254 changed from 00-14-5E-6B-52-96 to 00-80-48-3A-A2-BF

Вот етот цикл раз 10-15 повторился.
Сеть естественно еле дышит.