» Symantec Antivirus Corporate Edition (часть 3)

NegoroX
Скачал, сегодня опробую.
А чтож это за гадость такая что антивирусом не трется?

Agul

Цитата:

Симантек 10,1,0,396 послдение обновления. Никак не может устранить найденую им угрозу, перезагружал раз 10, нивкакую.
http://img5.imageshost.ru/imgs/090309/4a1475110ba7a2e7883e25947be9901d/cd0819ce603eca5944387660c34aab79.jpg

Перезагрузка не поможет. Судя по скриншоту этот троян подгружает себя из интернета. Нужно в "безопасном режиме" удалить все временные файлы, почистить реестр (возможно там в автозагрузке сидит твой вредитель), и проверить систему любой утилитой по поиску-удалению троянов. Некоторые трояны загружает *.dll из папки system32.

Не нашел простой болванки чтобы загрузочный диск сделать.
SergeyMarkСпасибо за совет, но я уже так и сделал. Почему то при сканировании симантек не нашел еще 2 таких же файла с немного отличающимися в цифрах именами, директория таже, размеры файлов одинаковые.
Просмотрел автозагрузку через твикер, ничего лишнего нет.

Цитата:

и проверить систему любой утилитой по поиску-удалению троянов

В паре с симантеком стоит Ad-Aware se, вот лог. Почему то еще экзешник Art money ему не понравился, да и автокликер тоже.
После внесения этих обьектов в карантин, винда предложила восстановить ее файлы, скорее всего из пункта COOLWEBSEARCH в логе.


Цитата:

ArchiveData(auto-quarantine- 2009-03-10 19-35-01.bckp)
Referencefile : SE1R340 02.03.2009
======================================================

WIN32.TROJANDOWNLOADER.AGENT
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[0]=RegValue : software\microsoft\windows nt\currentversion\network "uid"

TRACKING COOKIE
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[1]=IECache Entry : C:\Documents and Settings\Rustam\Local Settings\Temp\Cookies\rustam@hotlog[1].txt
obj[2]=IECache Entry : C:\Documents and Settings\Rustam\Local Settings\Temp\Cookies\rustam@rambler[1].txt

COOLWEBSEARCH
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[3]=File : C:\WINDOWS\system32\dllcache\fixmapi.exe
obj[4]=File : C:\WINDOWS\system32\fixmapi.exe

CARPEDIEM
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[5]=File : D:\+INSTALL+\Интернет\Flash\Autoclicker_V3.exe
obj[6]=File : D:\Архив закачек\Downloads2\Флеш\Autoclicker_V3.exe

OTHER
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[7]=File : C:\WINDOWS\prefetch\KEYGEN.EXE-2E56FC29.pf

http://forum.ru-board.com/topic.cgi?forum=8&topic=2901&start=1100#15
Эту проблему решили? а то читать почти 270 страниц как-то не охота... Спасибо

Alaija

Цитата:

http://forum.ru-board.com/topic.cgi?forum=8&topic=2901&start=1100#15
Эту проблему решили? а то читать почти 270 страниц как-то не охота... Спасибо

Да, давно решили. Ответы есть в соответствующем топике http://forum.ru-board.com/topic.cgi?forum=8&topic=27989&start=700 полистать все же прийдется, или открой "версию для печати".

Agul

Цитата:

В паре с симантеком стоит Ad-Aware se

Утилиту по поиску-удалению троянов эта программа не заменит.
Попробуй это _http://www.freedrweb.com/cureit/?lng=ru

Всем доброго времени суток! Имеется машина с клиентом SAV 10.1.7.7000 за брандмауэром, подскажите пожалуйста, какие порты необходимо открыть, чтобы клиент забирал обновления вирусных описаний с родительского сервера?

RayW

Цитата:

SAV 10.1.7.7000 за брандмауэром, подскажите пожалуйста, какие порты необходимо открыть

Помоему правильней ливапдейт в брандмауэре в исключения добавить

Добавлено:
Agul

Цитата:

После внесения этих обьектов в карантин, винда предложила восстановить ее файлы, скорее всего из пункта COOLWEBSEARCH в логе

В адаваре что то с базами намудрили.

NegoroX
RayW

Порты 53, 21, 80. Jetico именно их спрашивает. Открыты, настроено - всё работает на автоматике. Что ещё надо?

RayW
NegoroX

Цитата:

какие порты необходимо открыть, чтобы клиент забирал обновления вирусных описаний с родительского сервера?

Все подробно расписано в файле savinst.pdf, который лежит в папке Docs на диске с Symantec.
нужно открыть следующие порты(в терминологии MS ISA):
TCP 38293 Out
UDP 38293 SendReceive
UDP 38037 SendReceive
TCP 1024-5000 Out
TCP 2967 Out
UDP 1024-5000 SendReceive
NetBios Sessions (139 port)
TCP 38037-38292 (можно по-отдельности для 38037 и 38292) Out
UDP 2967 SendReceive.

SergeyMark, спасибо, 436 страниц... ну может найду...

SergeyMark

Чой-то многовато он просит. На рабочей станции ставим Jetico Personal Firewall Pro V2, добавляем LiveUpdate в группу Web Browser. И всё работает на стандартных правилах брандмауэра. Иное дело, что настроить JPFP уметь надо, это факт. Зато всё под контролем.

Народ, а вот вам и клоунада. Читал - смеялся от души. Давно такого не встречалось.

Кто нибудь ставил сервер отчетов?
опишите пожалуйста процедуру установки и настройки

Цитата:

Victor_VG

>Попытка разработчиков из компании Symantec распространить диагностический пакет..

Есть своё мнение?
Сорри за оффтоп, но частично он касается семантека. В связи с подобной ситуацией хотелось бы узнать подробнее о принципе распространение обновления баз. Я имею ввиду не через лив - апдейт, а через связку navup8.exe + *.xdb. Откуда они берутся, чем отличаются от например 20090312-019-x86.exe или самого лив - апдейта? Я как о надежности, так актуальности. По трафику обновление по лив апдейту в разы меньше чем раз в неделю через файл *.xdb. Почему?
Что это за базы в *.xdb?

Кстати, там упоминается NAV/NIS 2006/2007, а SAV 10.1.XXXX имеет такие же обновления?

создаю сервер отчетов с SQL SERVER 2005
при установки пишет не удается подключится к базе данных

Проблема такая - есть сервер Symantec (на Win2003 x86), клиенты Win2003 и WinXp из SSC устанавливаются аж на ура. Но вот появился сервер Win2003 x64- при попытке установки клиента на него - выдает ошибку:Server (....) is nott hosting any compatible Symantec Antivirus (SAV) 64 bit installers for 64 bit client (....). В \VPHOME\CLT-INST папка с инсталлером x64 есть-WIN64 - содержимое взято с диска с установкой Symantec Corp Ed.. В чем проблема? Спасибо

gin1976

Цитата:

В \VPHOME\CLT-INST папка с инсталлером x64 есть-WIN64 - содержимое взято с диска с установкой Symantec Corp Ed.. В чем проблема? Спасибо

Ты просто скопировал с CD содержиме папки SAVWin64 ? Так ничего работать не будет.
Сравни содержимое этой папки с содежимым \vphome\CLT-INST\WIN32 и поймешь в чем дело.

gin1976
Еще хочу предупредить, что твой сервер Symantec не сможет обновлять антивирусные базы x64 клиента, надо использовать LiveUpdate Admin.

qrdl
А как тогда тогда сделать что бы можно было инсталлить клиента из SSC если не просто скопировать?

gin1976
Ну я переписал в папку с x64 инсталлятором папку pki и файлы Grc.dat, vpremote.dat и vpremote.exe из папки \\vphome\CLT-INST\WIN32, предварительно сравнив содержимое этих папок, как и советовал товарищ SergeyMark.

Установил 3 клиента, появились в консоли, но 1 работает нормально, а у 2-х стрелочка вниз, типо они отключены, хотя на самом деле они работают. В чем может быть проблема?

Добавлено:
Теперь 1 не работает 2 работают. на 1 работающий можно загрузить обновления и настроить что-то. второй выдает ошибки. который не работает так же выдает ошибки, вообще не понимаю что может быть

Как мне на родительском сервере который Win server 2008 сделать так что бы там лежали и клиент под висту и по хрюшу ????

На сервере win 2008 симантек говорит:

Risk Found!Risk: Trojan Horse in File: C:\Users\username\AppData\Local\Temp\DWHFFC5.tmp by: Auto-Protect scan. Action: Quarantine succeeded : Access denied. Action Description: The file was quarantined successfully.

как дать ему права? сервис запустить от имени другого пользователя, который умеет читать эти папки? Вроде менять права на папки профилей пользователей не очень хорошо.

klimusu

Цитата:

как дать ему права? сервис запустить от имени другого пользователя, который умеет читать эти папки? Вроде менять права на папки профилей пользователей не очень хорошо.

А что тебя не устраивает? Файл успешно помещен в карантин, доступ к нему запрещен.

доброго дня всем.
возникла такая проблема:
есть некоторое количество машин, на которых уже были установлены предидущие версии. некоторые 9 некоторые 10. при удалённой установке клиента с нового сервера, большая часть клиентов так и не пришла на новый сервер. какие варианты лечение этой проблемы.

SAA

Цитата:

какие варианты лечение этой проблемы

1. Например вариант из шапки
Цитата:

Q:Как подцепить на сервер клиента, если до этого он был установлен как неуправляемая станция?

2. Вариант из инмтрукции "Копирование файлов настройки с сервера управления".
3. Вариант из инструкции "Изменение первичного сервера управления" (CD\Docs\savcadmn.pdf стр.58)

Для сброса пароля консоли на сервере можно


Цитата:

Reset the Symantec System Center admin user password
You can use the Password Reset Utility to reset any user's password. You must have Administrator access to the primary server of the server group.

To reset the Symantec System Center admin user password
On the computer running Symantec System Center, start Windows Explorer.
Go to \Program Files\Symantec\Symantec System Center\Tools.
In the right pane, double-click the IFORGOT.exe file.
In the Primary server field, type the name of the server group's primary server.
In the user field, type admin
In the New Password and Confirm New Password fields, type the new password.
Click Reset Password.
You may be prompted for a Windows user name and password if you specify a remote server.

http://service1.symantec.com/SUPPORT/ent-security.nsf/docid/2005041217010148?Open&docid=2003022010143248&nsf=ent-security.nsf&view=0

Может в шапку?

Кто ни будь знает как удалить пароль на удаление Symantec?

macromedia23
HKLM\SOFTWARE\Intel\LANDesk\VirusProtect6\CurrentVersion\AdministratorOnly\Security
UseVPUninstallPassword=0
удалить параметр VPUninstallPassword

Verwolk
Большое спасибо помогло!

Уважаемые коллеги!
Просьба дать пояснение, возможно такие штучки не у меня одного.
Обновляю сервер SAV 10.1.6000 через navup8.exe + vdХХХХХ.xdb. Скачиваю пятый файл *.xdb, закидываю на сервер. На сервере и SSC обновление как и раньше от 22.03.09.
В чем дело?
До этого такая же ситуация было в начале января этого года. Обновляю таким образом уже года три.

Добавлено:
Появилась ещё непонятность.
Ставлю клиента, соединяю с серваком 10.1.1.6000. Подхватывает обновления 2007г или 2008г. Последние обновление которое показывает сам сервер от 22.03.09.
Почему?