Security Tool

[Verwijderd]

Goedenavond allen,

Om maar gelijk met de deur in huis te vallen. Binnen ons kantoor bestaande uit ongeveer 300/350 werkplekken met daarnaast 10 servers hebben we last van een virus/malware. Wij gebruiken Symantec Anti-Virus in combinatie met nog paar andere applicaties van Symantec. Toch blijft dit virus/malware genaamd Security Tool rond zweven op ons netwerk wat tot grote frustraties van de gebruikers oplevert en ook zeer zeker vanuit mij kant. Daarom hoop ik met jullie kennis een stap dichter bij de oplossing te komen.

Virus / Malware naam: Security tool
Wat geeft Google mij als informatie: Voldoende maar dit gaat allemaal om individuele plekken en niet om een grotere omvang met clients en servers

Symantec Anti Virus:
Tot mijn ongenoegen herkent symantec dit virus niet als een daad werkelijk virus hierdoor worden de profielen op onze server keer op keer besmet uit een onbekende hoek. De server wordt iedere dag automatisch geupdate en dit controleer ik ongeveer 1 a 2 keer in de week of dit ook het geval is. Hieraan mag het feitelijke niet liggen.

Malwarebytes:
Zou gauw het virus / malware op een pc geactiveerd wordt kan malwarebytes hem met een quickscan verwijderen. Waarna de computer het weer doet.

In eerste instantie dachten we dit virus / malware verwijderd te hebben met malwarebytes. De profielen werden correct geladen zonder dat het Security Tool issue naar voren komt. Maar nu opeens uit het niks duikt het weer overal op wat ongelooflijk veel tijd in beslag neemt omdat ik bij elke gebruiker apart langs moet.
Het inloggen bij elkaar kan ook maar dit virus / malware blokkeert je taskmanager waardoor je heel snel moet zijn met het beëindigen van dit proces. Het lijkt dan toch ook niet van onze servers / computers verdwenen te zijn maar ik kan het probleem dus niet oplossen. Als ik de servers scan met malwarebytes en antivirus lijkt alles in orde te zijn. Ook wanneer ik al onze clients met Symantec laat scannen is er ook geen spoor te bekennen van het virus. Maar telkens komt het toch terug.

Heeft iemand voor mij een idee of een oplossing in welke richting ik moet zoeken?
Heb je er eventueel zelf ervaring mee? Zo ja wat heb je gedaan om het op te lossen.
Het virus op een individuele plek verwijderen is niet het probleem mocht je daarbij komen want me kennis is voldoende om zo'n probleem te tackelen maar nu gaat het me petje te boven.

Met vriendelijke groet,
Martijn

[LuckY]

Wat zijn je patchlevels van je updates?
Heb je alles geupdate naar de laatste updates?
Heb je een mogelijk schone bron voor de clients die je kan uitrollen.
Wat je kan proberen, wat wel veel tijd kost zijn bootable cd's maken met bijvoorbeeld kaspserky. Ik zou even een link zoeken.

http://devbuilds.kaspersky-labs.com/devbuilds/RescueDisk/ die is al wel een beetje outdated .

http://www.softpedia.com/...spersky-Rescue-Disk.shtml deze is eind 2009

Het is wel mogelijk dat het dus van computer naar computer verspreid , heb je trouwens al contact opgenomen met Symantec.. die zijn vaak bekend met dit soort situaties.

Het is dus wel belangrijk, dat je de systemen uitlaat als je ze fixed. liefst direct updaten.

[ Voor 46% gewijzigd door LuckY op 16-03-2010 22:48 ]

[Verwijderd]

Beste Lucky,

Bedankt voor je reply.
Op je eerste vraag: Wat de patch levels van mijn updates zijn.
Ik kon deze vraag helaas niet plaatsen en een kleine google zoek actie gaf me niet de directe oplossing.

Betreft de updates op de clients en de servers zijn allemaal update to date. Onze anti virus server is de parent over onze cleints en server. Wanneer de parent updates download en installeert wordt dit automatisch door gevoerd naar de clients en de servers.
We zijn bezig met een schone uitrol maar omdat we niet zeker weten vanuit welke hoe dit komt zijn onze gedachten hierover niet positief. Mochten alle clients voorzien van een volledige nieuwe uitrol dan bestaat nog steeds de kans dat het vanaf een server komt.

Het uitzetten van de servers is geen optie. Dit zou enkel in het weekend kunnen omdat er door de weeks continue bestanden worden weggeschreven en worden opgevraagd. Als we een server uitzetten zullen de gebruikers niet kunnen werken.

Symantec zelf heb ik nog niet gebeld dit kan ik inderdaad nog doen.
Die boot cd van Kaspersky zou inderdaad een uitkomst bieden maar dan moet alles in één keer gebeuren en dat is voor ons nogal lastig.

Ik hoop eigenlijk dat er nog iemand is met dit probleem op een netwerk maar ook alle andere hulpmiddelen en adviezen zijn welkom! Mijn dank is al groot

[ Voor 24% gewijzigd door Verwijderd op 16-03-2010 23:02 ]

[LuckY]

Dat patchlevel is gewoon een andere naam voor of het up to date is
Je zou kunnen kijken met software firewalls, met het kunnen limitten van mogelijke connecties.

Je moet ook even in de host file kijken, vaak zet dit soort malware daar ook zijn sporen.

[Verwijderd]

Lucky,

Onze host files op onze servers zijn schoon maar ik moet wel bekennen wij werken met user acces level. En de gebruikers die gewoon weg compleet beperkt zijn en dus minimale rechten hebben enkel voor de websites die wij hebben open gezet op onze ISA server ondervinden geen problemen vinden met dit virus.

De gebruikers die vrije rechten hebben op internet die ondervinden wel dit probleem. En zou gauw wij dus hun profiel schoon maken is het probleem niet weg. Want het kan de volgende dag gewoon weer terug zijn bij de gebruiker. Wij hebben dus al handmatig op alle computers in het bedrijf de USB poorten uitgeschakeld. Maar dit virus kan ook gemakkelijk binnen zijn gekomen door een website. Onze emails worden voor binnenkomst gecontroleerd door Symantec Mail Security. Ook de email is volledig voorzien van updates

[ Voor 21% gewijzigd door Verwijderd op 16-03-2010 23:31 ]

[j0rDy]

Verwijderd schreef op dinsdag 16 maart 2010 @ 23:21:
Lucky,

Onze host files op onze servers zijn schoon maar ik moet wel bekennen wij werken met user acces level. En de gebruikers die gewoon weg compleet beperkt zijn en dus minimale rechten hebben enkel voor de websites die wij hebben open gezet op onze ISA server ondervinden geen problemen vinden met dit virus.

De gebruikers die vrije rechten hebben op internet die ondervinden wel dit probleem. En zou gauw wij dus hun profiel schoon maken is het probleem niet weg. Want het kan de volgende dag gewoon weer terug zijn bij de gebruiker. Wij hebben dus al handmatig op alle computers in het bedrijf de USB poorten uitgeschakeld. Maar dit virus kan ook gemakkelijk binnen zijn gekomen door een website. Onze emails worden voor binnenkomst gecontroleerd door Symantec Mail Security. Ook de email is volledig voorzien van updates

ik denk dat je het probleem op de verkeerde plek zoekt. je weet hoe je de malware moet verwijderen, maar de vraag is hoe komt het binnen? om deze vraag beantwoord te krijgen zie bovenstaande vragen van lucky. stel vast waar de infectie start en hoe, en zorg ervoor dat alle updates aanwezig zijn om dit in de toekomst te voorkomen.

[Verwijderd]

Indien mogelijk local admin rechten van gebruikers intrekken. Als dat niet kan kijken hoe de terugkomende mallware technische inelkaar zet en kijken of je op andere manieren blokkades kan opwerpen. (Bijv. NTFS rechten terugtrekken op plekken waar de mallware statische bestanden wegschrijft)

Als structurele oplossing zoals ik zei lokale user rechten zoveel mogelijk beperken en zoeken naar een goede antivirus / mallware scanner.

Je zou er ook voor kunnen kiezen om mallware voordat het gedownload word al te blokkeren door bijv. een content filter.