Worm - W32.Downadup

Ralf23

Ralf23

Power Member
Trabalho numa rede com domínio e existem cerca de 60 máquinas infectadas com este worm.
Como antívirus utilizamos o Symantec Endpoint.

Depois de instalar o patch da Microsoft e correr a ferramenta de remoção do worm fornecida pela Symantec, verificou-se que os utilizadores das máquinas, todos no grupo de "Utilizadores Avançados" (Power Users), deixaram de ter os documentos e programas associados aos icones.

Ou seja, o documento está lá (doc, pdf, xls, etc), mas os programas ao abrirem os documentos, estes não são abertos correctamente, e o ícone do documento não é o correcto.
E, no Internet Explorer, agora quando se abre dá sempre uma mensagem de que o ficheiro swflash.cab não foi autorizado, coisa que no antecedente não acontecia, mesmo instalando novamente o FlashPlayer.

Mas tal não acontece no perfil de Administrador da máquina, onde aparece tudo como deve de ser.
Solução mais rápida: promover os utilizadores a Administradores, entrar no perfil de cada um, abrir os documentos e passar os utilizadores novamente a Utilizadores Avançados.

Isto só resolve parte dos problemas, pois os documentos contidos em anexos do Outlook continuam a dar problemas, assim como os sites contendo flash.

Já se tentou copiar o perfil de Administrador para os perfis dos utilizadores mas não funcionou.

Alguém já passou por situação semelhante?
Como resolveram?
Há alguma forma de repôr as definições originais dos utilizadores rapidamente sem andar com artimanhas manhosas?
 
Última edição:
Boas, para prevenir situações como essa, aconselho o Malwarebytes.

Como são muitas máquinas, vai ser mais complicado, mas se tiverem um ponto de restauro criado antes de terem aparecido os problemas, pode resolver. Se não funcionar, tenta fazer a Reparação pelo CD do Windows, e em último caso, formatar e fazer um clean install..

Cumps
 
Pois, só que o restauro foi desactivado em todas elas mesmo por essa razão, não ser aproveitador pelos vírus.
Um clean install é o que já se está a ponderar, mas prevê-se trabalho para quase um mês.
 
Ralf23 disse:
Pois, só que o restauro foi desactivado em todas elas mesmo por essa razão, não ser aproveitador pelos vírus.
Um clean install é o que já se está a ponderar, mas prevê-se trabalho para quase um mês.
Clicar para expandir...
O restauro do sistema não é nem pode ser aproveitado pelos vírus.

É uma falácia tão velha como o Windows Millennium (o primeiro S.O. com restauro do sistema).

Não há nenhuma razão válida para desactivar o restauro do sistema.

Quanto ao problema em discussão, as alternativas estão já apresentadas.

Zee
 
Então vou tentar a reparação através do CD.
Mas já agora, fazendo isso os utilizadores perdem as definições do respectivo perfil?
 
Em princípio isso pode ser um problema de permissões lixadas. Corre o Dial-a-Fix e verifica se ele se queixa disso. Após isso, no botão com o símbolo de um martelo tens lá uma opção para corrigir ícones ou algo do género. Experimenta que pode resultar.
 
Update à situação: corri o Malaware e não detectou nada.
Como tenho aqui umas máquinas novas, e como já tinha umas imagens feitas, experimentei instalar a imagem e fazer só o update ao AV, sem correr o patch da Microsoft.

Resultado: os utilizadores, todos como Power Users, já conseguem fazer tudo sem serem Administradores.
Portanto, chego à conclusão que o patch é que está a lixar isto tudo, retirando permissões e alterando configurações aos utilizadores enquanto Power Users.

Estado dos utilizadores em que foi aplicado o patch: ficheiros em Excel não abrem de forma correcta (conteúdo desconfigurado), conteúdo flash em páginas web não autorizado, sem acesso ao Outlook, Acrobat Reader dá erro após alguns segundos de estar aberto, icones de documentos desconfigurados, etc.

[UPDATE] Sem o patch a máquina dá vários erros. Já corri o Dial-a-Fix e não resolveu.
 
Última edição:
É possível que a MS tenha escangalhado algumas coisas com o patch, eles costumam ser peritos nisso :D O melhor é pedires suporte, eles que resolvam o problema. A pessoa paga o sistema operativo, é para ficar bem servido.
 
UPDATE: Afinal o problema é mesmo do Fix da Symantec (FixDownadup.exe).
Verifiquei que após instalar o patch da MS e sem correr o Fix, nada é alterado.
Basta correr o Fix, e mesmo que este não detecte nenhuma infecção, faz com que o IE deixe de aceitar conteúdo Flash em páginas web (swflash.cab não autorizado).
 
Lusitanius disse:
Serviu-te de exemplo. Nunca confiar em software da Symantec :p
Clicar para expandir...

Pois... mas quanto a isso nada posso fazer, não depende de mim a aquisição de software.
Essas decisões são tomadas a um nível superior, nas quais nós não temos influência.:mad:

Resta-me ir apagando uns fogos.

Obrigado pelas dicas
 
Inicie sessão ou registe-se para poder participar.
Back
Topo