Плодятся вирусы на глазах на сервере Slackware! С чего начать???

28.10.2010 15:58 #92848

На сервере под управлением Slackware, на общем диске служащем для обмена файлами плодятся вирусы на глазах. Я их удаляю, но тут же появляются новые, всякие pif'ы, inf'ы, exe'ки.

На рабочих станциях сети стоит XP Pro SP2, установлен Антивирус Касперского 6.0 для Windows workstations, сеть настроена на SAMBA PDC.

Где корень зла??? С чего начать???

28.10.2010 16:37 #92858

Fuego написал:
На сервере под управлением Slackware, на общем диске служащем для обмена файлами плодятся вирусы на глазах. Я их удаляю, но тут же появляются новые, всякие pif'ы, inf'ы, exe'ки.

На рабочих станциях сети стоит XP Pro SP2, установлен Антивирус Касперского 6.0 для Windows workstations, сеть настроена на SAMBA PDC.

Где корень зла??? С чего начать???

корень зла выделен. проверьте клиентские машины. просмотр логов поможет найти конкретный компьютер.

28.10.2010 16:39 #92860

Fuego написал:
Где корень зла??? С чего начать???

1. Остановить smbd.
2. Просканировать ресурсы файлопомойки антивирусом, например, clamav.
3. Поднять самбу в режиме ReadOnly.
4. Поизучать регистрационные журналы.
5. Вычислить гадину.
6. Набить гадине морду.
7. Выпить пива.

28.10.2010 19:03 #92913

Без седьмого пункта ничего работать не будет smile Он обязателен

28.10.2010 19:51 #92922

xlin написал:
Без седьмого пункта ничего работать не будет smile Он обязателен

пункт обязателен, но допускает замену на другой напиток (алкогольный)

29.10.2010 15:36 #93225

если что я не совсем опытный в Unix

поэтому вопрос:
как остановить smbd

при подаче команд smbd status или smbd stop, система ничего не выдаёт!

и соответственно как запустить её потом в режиме ReadOnly?
и где взять регистрационные журналы?

29.10.2010 17:59 · отредактировано #93283

Fuego написал:
если что я не совсем опытный в Unix
как остановить smbd

smbd -- демон samba, можем остановить её целиком (что предпочтительно в данном случае):
# /etc/rc.d/rc.samba stop

либо смотрим в /etc/rc.d/rc.samba, видим классическую реакцию на stop:
killall smbd

и действуем по аналогии ;-)

Fuego написал:
и соответственно как запустить её потом в режиме ReadOnly?

Прочесть man smb.conf, обратить внимание на опцию "read only = yes". Сделать резервную копию файла /etc/samba/smb.conf, в шарах дописать "read only = yes". Запустить самбу:
/etc/rc.d/rc.samba restart

Fuego написал:
и где взять регистрационные журналы?

Тут тоже ничего экстраординарного -- журналы, как обычно, в /var/log, журналы samba -- в /var/log/samba.

По завершении отлова не забыть вернуть на место резервную копию smb.conf и перезапустить samba-у.

12.11.2010 11:15 #98261

Всё нормально, вылечились!
Мне дали Linux-LiveCD с DrWeb, нашлись вирусы на нескольких рабочих станциях.
К серваку ничего не прилипло.
Всем спасибо за участие!

12.11.2010 12:19 · отредактировано #98277

Fuego написал:
К серваку ничего не прилипло

эээээ.... а что? были подозрения что exe-шный файл вдруг заразит ядро Linux? таки прямо все ядро и насовсем? :lol:

12.11.2010 14:40 #98332

Denjs,
причем здесь ядро? Хоть одно найдите еще упоминание о ядре в этой теме