Csütörtökön (2010.08.26) megérdemelt szabadságomat töltöttem. Pontosabban taknyom-nyálam egybefolyt és a tüdőmet köptem ki, mert kaptam valami nyavalyát a gyerekektől. Olyan délután kettő magasságában épp kenyeret próbáltam volna lőni a helyi boltban, amikor csörgött a telefon.
Az informatikus kolléganőm volt, hogy nagy gáz van bent. Hullnak a gépeink. A gépek fele már halott. Valami vírust kaptunk.
Kenyeret hazavittem. Lőttek a délutáni pihenésnek, helyette kocsiba be, irány az iroda.
Teljes tanácstalanság. Jelenség a következő: nem lehet elindítani a végrehajtható állományok jó részét. Nem indul az ipconfig, a task manager, a regedit, az office jó része. Megy ugyanakkor az Internet Explorer.
Csúnyán vírusnak tűnik. Miután más jelenség nincs, nem tudom kideríteni, hogy vajon mi lehet.
1. kísérlet:
A gépen telepített f-prot vírusirtó. Nem talál semmit.
2. kísérlet:
Eset online vírusirtó. Talál valamit, ráadásul minden profilban. Hurrá!!!
Ellenpróba, másik halott gép: nincs semmi.
Akkor nem ez volt.
3. kísérlet:
Találok valami RRT nevű izét a neten, ami kajabál, hogy gáz van, de hogy ő csak demo és vegyem meg. Ez gyanús, lehet, hogy nem is lát semmit. Ráadásul nem is hallottam még róla, inkább hagyjuk.
4. kísérlet:
Egyik halott gép radír, újratelepít a szokásos hálózati csomagból.
Egy órát élt, ez is benyelte a cuccot. Ez már óriási gáz. Nézem a szervereket, azok teljesen egészségesnek tűnnek.
5. kísérlet:
Vinyó gépből kikap, MS Security Essentials, f-prot végigkerget, semmi.
6. kísérlet:
Avast!, Dr. Web live cd. Egyik sem talál semmi értékelhetőt.
7. kísérlet:
ProcessExplorer, Autoruns. Egyikben sem látok semmi gyanúsat.
Telefonálgatás különböző szakértőknek. Hátha valaki mond valami okosat. Semmi olyan értékelhető, amit ne tudnék magamtól.
Kezdek gyanakodni, hogy nem vírus.
- Valaki felnyomta a rendszert és garázdálkodik
- Született valami csúnya software restriction policy a szerveren
- Felraktam valami print management alkalmazást az egyik szerverre előző nap és az csinálja
- Update-eltem a Flash-t policyból, szintén előző nap és az új verzió szar
Lecserélem a tűzfalat a félkész virtuális izére. Erről, majd később (másik cikk).
8. kísérlet:
Print management leszed. Semmi
9. kísérlet:
Utána nézek a Flashnek. A hibátlan gépeken (csoda, van még néhány) fent van az új, tehát ez sem.
Feladom, hazamegyek, majd holnap.
Péntek:
Elkezdek nulláról, CD-ről gépeket telepíteni. Nem épp új a géppark, ezzel elleszünk egy ideig.
Hívok olyan embert aki idejön és megcsinálja. Senki sem ér rá hétfő előtt. Mindenki értetlenkedik, és nincs jó ötlet.
Ekkor már az internetünk is elmegy. Invitel pattogtatása. Végignézik, szerintük nem náluk van a gond. Én meg innen nem tudom pingetni.
Végül kiderül, hogy nekik van igazuk. Ez a virtuális tűzfal mégsem gömbölyű. Dögölget. Kidobom, vissza a régi.
10. kísérlet:
Tegnapról maradt a policy kérdés. RSOP nem megy a gépeken, a szerveren nincs olyan beállítás ami gyanús lenne. Local Policy megfelelő ága üres.
Lassan elkezdenek hazaszállingózni az emberek. Ebből ma már nem lesz semmi. Főnököm közli, hogy majd telefonáljak utána, ha van valami.
Nézegetem a gépeket. Körvonalazódik valami. A desktopok mind döglöttek, a notebookok mind élnek.
Policy szempontból a két kör között egyetlen különbség van. Az, hogy hogyan frissül a vírusirtó. A notebook netről, a desktop lanról. Kolléganő közli, hogy nem tudta az f-prot kulcsot így a notebookokra felrakott más vírusirtót az f-prot meg csak ott van és malmozik.
Fasza. Hogy az a jó büdös...
Leülök az egyik halott desktop elé. f-prot letilt. ipconfig elindul.
Gratulálok f-protéknak. Mennek a levesbe.
Na, nem azért, mert volt egy rossz, vagy sérült frissítés, hanem, mert:
- Ha rossz a frissítés és ezért a vírusirtó azt érzékeli, hogy le kell tiltania az exe-imet akkor talán nyissa ki a pofáját.
- Ha pedig sérült, akkor némi kriptográfiai ellenőrzéssel ezt legyen szíves észrevenni