señores tengo problemas en varios equipos de mi red corporativa, con este mensaje:

"10/12/2008 13:41:34 Intrusion.Win.NETAPI.buffer-overflow.exploit! Dirección IP del atacante: 10.0.1.109. Protocolo/servicio: TCP en puerto local 445. Hora: 10/12/2008 13:41:34"

en la red tengo como 15 equipos con windows Xp con diferentes caracteristicas que van desde service pack 2 y service pack 3 y tengo un servidor windows server 2003 standar edition, este equipo manda ataques a varios equipos, reintale todo el sitema operativo y antes de meterlo a red local lo actualize con todas las actualiaciones de microsoft y actualize el kaspersky.

en la empresa contamos con el siguiente software de antivirus:

Kaspersky Administration Kit 6.0.1710
Kaspersky Anti-Virus 6.0 for Windows File Servers 6.0.3.837
Kaspersky Anti-Virus 6.0 for Windows Workstations 6.0.3.837

IAITELEINFORMATICA,
S.A. DE C.V.
23 DE NOVIEMBRE NO. 581, COL. ZARAGOZA,
VERACRUZ, VERACRUZ, 91910, Mexico

codigo del producto es: KL4853NASFS

http://www.microsoft.com/technet/security/...n/MS08-067.mspx

http://forum.kaspersky.com/index.php?s=&am...st&p=819027

Saludos.

Revisate la informacion que te han posteado, comprueba que tengas tus S.O. actualizados, postea el avz log y el getsysteminfo de los equipos que sospeches esten infectados para revisarlos, tal y como te indican las normas del foro.

Realiza un escaneo completo en modo seguro de cada sistema con kaspersky actualizado, las opciones y heuristica al maximo.

Saludos

Tengo este mismo problema... ya le pase el kaspersky en modo normal y no encontro nada en la PC, probare en modo seguro, le he pasado malwarebyte, avira, y nod32 2.5.

Click to view attachment

En cuanto pueda subos los requisitos del foro.

Saludos..

Fijate en la ip del atacante es una ip interna.
Mira en tu red a quién corresponde esa ip. Aplica el parche y analizalo con el antivirus.

Con el KIS 7.0.1.325 en otra PC, pude ver cual PC era el atacante... el unico problema, es que no permite visitar las web site de los antivirus, ni entrar a la web site de malwarebyte, ni a la del GetSystemInfo, ni al foro, estoy comentando esto desde otra PC.

Con una USB pase el KIS a dicha PC, se instalo, pero no se puede actualizar, igual me pasa con el Malwarebyte. Solo me dejo entrar a la web site de AVIRA, lo descargue y se actualizo sin ningun problema. Realice un scan y solo detecto 5 amenaza, pero al reiniciar vuelven los ataques. En estos momentos estoy pasando el avira en modo seguro pero ya casi termina y no ha encontrado nada. Despues le pasare el malwarebyte asi sin actualizase a ver si detecta algo.

Cuando suceden los ataques, los procesos de las PC se vuelven lentos, el volumen de las PC que no esten usando audio, es desactivado. El acceso a la red local desaparece, aparecen las PCs, pero no se tiene acceso a ellas, tampoco se puede imprimir desde ninguna PC.

Saludos...

Aqui esta el informe del GetSystemInfo:

Click to view attachment

El informe del AVZ:

Click to view attachment

Captura de pantalla del KIS 7.0.1.325:

Click to view attachment

RadarpSP, que parche hay que aplicar...???

Saludos...

Tienes soft incompatible:
Avira AntiVir Personal - Free Antivirus => Windows Live OneCare safety scanner
El parche depende de tu sistema. Mira en esta página http://www.microsoft.com/technet/security/...n/MS08-067.mspx
En tu caso xp sp2 y español: http://www.microsoft.com/downloads/details...76-2067b73d6a03

Ok gracias... revisare y cualquier cosa lo expongo...

Aclaro que dicha Pc infectada, no tenia ningun antivirus instalado, ya que se lo desinstalaron antes de ser infectada.

Saludos...

Qué locura. El tiempo medio para infectarse es de 5 minutos (sin medios de protección:actualizacones, antivirus, firewall...)
http://www.nytimes.com/2008/10/21/technolo...otnet.html?_r=1

Pues si una autentica locura.

Lo que pasa es que esa PC es de la dueña de casa para su uso personal, pero no se quien le desinstalo el antivirus. ya que en una oportunidad yo le instale uno. como esa PC esta en la misma red, entonces por esos los ataques de red.

He instalado el parche de microsoft y ahora la pc se queda cargando en la barra de inicio y ahi se queda, solo puedo utilizar el escritorio, pero la barra de tarea no: Inicio, ver fecha y hora, activar el antivirus, conectar la red inalambrica, etc.

Saludos....

Tras la entrada de virus me temo que te va a tocar formatear.

Genera de nuevo el AVZ log y el GSI, pero de forma correcta, el anterior sólo era un .txt cuando debe ser un .html y un .xml comprimidos.

Saludos.

Por el comentario que me dijeron los duenos: no creen que esa PC esta infectada, aplique el parche he hice un escaneo con el AVIRA, ya que la amenaza no me permite ni activar el Kaspersky.... lo malo que el avira no me detecto nada y eso que esta actualizado. La PC aun tiene el problema de que no se puede conectar via internet con las paginas web de kaspersky o cualquier otro antivirus. Lo que le sugeri, es que la conectaran con el otro proveedor de internet que tenemos, para que los ataques no prosigan. Asi que comparto tu misma opinion RadarpSP.




Lamentablemente ya no tengo acceso a esa PC para realizar de nuevo el AVZ LOG y el GSI.

Gracias a todos por su ayuda.

Saludos...

Hoy volvieron a conectar la bendita PC a la misma red, y note que el AVIRA FREE detiene perfectamente los ataques sin consecuencias, pero el KAV 7.0.1.325 NO, pues los ataques dejan sin volumen a las PC que lo sufren y que tienen instalado el KAV 7.0.1.325, mientras las PC que tienen el Avira Free no sufren ninguna secuela...

Le solicite a la dueña del PC infectado que la apagase, y he desactivado el KAV 7.0.1.325 en una de las maquinas, y he instalado el Avira Free, luego le pedi a la dueña que volviese a encender la PC y espere el ataque, y efectivamente, el avira freno por completo el ataque....!!!

¿¿¿¿ por que pasa eso, si el Avira free no tiene Firewall con el KAV 7.1.325...?????

Saludos...

Ese tipo ataque es exterior, y suele pasarle a sistemas Windows que no están totalmente actualizados.

Por otro lado, el problema con Kaspersky es que cuando K. detecta ese tipo de ataques y son muchos, dependiendo de cómo lo tienes configurado, lo que hace es bloquear el acceso quizás total al sistema, para no comprometerlo.

¿Cuando dices que el Avira detiene los ataques, a qué te refieres? ¿detecta algún virus? ¿detecta algún intento de acceso por red al sistema? el Avira no tiene FireWall, así que creo que realmente no es que detenga el ataque, es que quizás se lo está tragando doblado, pero es muy difícil especular desde aquí sin tener más datos etc...

Si como comentas no deja visitar navegando páginas de antivirus tiene toda la pinta de estar infectado con algún virus de tipo DNS y además tendrá infectado/modificado el archivo host.

Saludos.

Has probado con una versión actual de Kaspersky v8.0.0454 para Xp o v8.0.0.506 para Vista, ya se ha comentado que las v7 son bastante antiguas.

El equipo tiene todos los servicepacks y actualizaciones de windows.

Estas seguro que Avira detiene los ataques?

Postea el gsi y el avz log del equipo en cuestión para revisarlo. Postea imagenes, logs, etc...

Saludos

Gracias Caos por contestar...

Con todo gusto me gustaria pasar la informacion pertinente, pero como dije anteriormente, ya no me dan acceso a esa PC, pues tienen informacion vital para ellos, y no dejan que nadie la toque.

El Windows no tiene todas la actualizaciones, creo desde Enero o Febrero del 2008.

Avira detiene todos los ataques... al comienzo, cuando comenze a seguir el hilo del topic, el Avira no detenia todos los ataques, pues me desconectaba el audio y el Cyber Cliente, las PC seguian teniendo Internet, pero en el Cyber Control Aparecian desconectadas, luego al tiempo se actualizo el AVIRA y solo detenia el ataque al Audio, y no los de red del cyber control, al tiempo se volvio actualizar el AVIRA y ya pudo detener todos los ataques...!!!

Pero las dos PC que tenia el KAV 7.0.1.325 seguian mostrando indicio de un desperfecto de ataques, ya que las PC estan protegidas con el deep freezer, tenia que reinciar para que el audio volviera a restaurarse... Cuando pasaban los ataques los clientes me llamaban porque no tenia audio las PC, entonces hacia doble clic sobre el icono de volumen, a la par del reloj del sistema, y me salia una ventana: Windows a detectado que no hay ningun dispositivo de audio instalado....bla, bla, bla.

Lo mas curioso que miro ahora, es que Avira, no necesita que el S.O. este actualizado para detener los ataques...!!!!
Otra cosa que me sorprende del avira es que no necesita reiniciar la PC despues de su instalacion, funciona a la perfeccion, incluso solicita permiso al usuario para actualizarce inmediatamente, solo conozco 2 amenazas que son capaces de deshabilitar su normal funcionamiento...!!! Solo utilizamos el Avira, proque el problemas de la key de kaspersky... aunque creo que eso le esta dando mucho terreno al avira.

Saludos...

Como te he comentado, prueba con una versión actual de Kaspersky v8.0.0454 para Xp o v8.0.0.506 para Vista, ya se ha comentado que las v7 son bastante antiguas, y no tienen todas las mejoras que tienen las ultimas versiones.

Ya se ha comentado muchas veces que la versión 7.0.1.325 de KIS/KAV es una versión bastante anticuada con tecnología de hace 2 años o más, no dispone de las nuevas funciones de desinfección/protección de las versiones 8, ni tampoco de su motor heurístico, entre otras cosas.

No entiendo eso que comentas del problema de la key de Kaspersky, si no te explicas mejor ...

La primera defensa para tener el sistema sin infecciones es tener actualizado con todos los parches de seguridad el Windows, a partir de ahí, usar un software de protección actualizado, moderno y bien configurado, y me temo que ninguna de las 2 cosas se están cumpliendo en este caso, así que además este es un foro de Kaspersky no de Avira, no viene a cuento comparar una versión moderna (aunque sea freeware) de Avira con una versión de Kaspersky de hace 2 años que aunque aún sigue manteniendo soporte por parte de K. en forma de actualizaciones, es una tecnología anticuada y seguramente pronto K. dejará de dar soporte a a las series 7.x, como ya ha pasado con las 6.x, se recomienda siempre actualizar a la últimas versiones.

Saludos.

Señores hace como 3 meses hice este post para la solucion Intrusion.Win.NETAPI.buffer-overflow.exploit de este ataque despues de leer mucho, de muchos protocolos que me piden ya veo que muchas personas pusieron todas las piezas al rompe cabezas yo encontre una solucion para eliminar este problema es pasar el antivirus en modo a prueba de fallos en la carpeta C:\windows\System32 en esa ruta se aloja dicho virus de hecho es un archivo dll, que en modo normal no lo detecta solo se detecta a prueba de fallos, los equipos tienen todas las actualizaciones de windows, la pregunta ahora es como se le puede hacer para que no se me infecte el equipo en un futuro por que desde entonces sigo con el mismo problema con algunos equipos los eliminos y solamente no se extermina alguien me puede dar una solucion a esto

Me puede enviar un mensaje privado con enlace de descarga a dicho fichero comprimido con winrar y protegido con contraseña "infected" para su revisión. Que S.O., service pack, versión y build de Kaspersky, fecha de las firmas, etc... tenía el equipo en cuestión?

Que S.O. hay en tu red?
Todos los equipos de la red tiene sus S.O. con los ultimos Service Pack, y actualizaciones de windows instaladas?
Todos los equipos de la red tienen instalado la ultima versión de Kaspersky Workstation v6.0.3.837 o la ultima versión de Kaspersky Antivirus para windows server con las firmas actualizadas?
No hay ningún equipo en la red sin antivirus?
Postea imagenes de las configuraciones de Kaspersky?

Te recomiendo que contactes con tu partner/reseller de Kaspersky, y que abras un ticket de soporte con ellos. Si lo compraste directamente a Kaspersky abre un ticket de soporte en el helpdesk de Kaspersky.

Podrias darme el nombre de ese DLL...???
En una oportunidad cuando tuve acceso a esa PC, le pase el combo fix y al 80% reinicio la PC...

Saludos...

Kido detectado con el AVPTOOL 7 en modo seguro:



Manual de como desinfectar la PC de esa amenaza:

http://support.kaspersky.com/faq?chapter=2...p;qid=208279973

Traducida por San Google:

http://translate.google.com.ni/translate?u...es&ie=UTF-8

Saludos...

hoy fui atacado con este mismo virus en mi red corportativa...!!

es posible que me bloquee las cuentas de AD??? tuve mas de 190maquinas atacadas..pero KAV bloqueo el acceso igualmente...pero si tuve este problema de bloqueo de cuentas de red!!