Неизвестные файлы через локалку попали в Ubuntu

[demkov]

Ололо, я что-то поймал.

Записи — хз откуда это взято, у меня таких папок давно не было. Записи.pif — какая-то фигота, очень похожая на вирус. Вирустотал гарантирует это.
И это никак не может быть связано с Wine, так как не запускал его недели две-три последних, а файлик обнаружил сегодня внезапно днём. Так как каждый день набираю лекции в этой папке, вижу её каждый день. Нетбук кроме как интернет/офис не использую.

Хоть вирус и для винды и аж 2008 года, это большое достижение очень хорошее!
Откуда он мог взяться, проследить можно?
Пользователь решил продолжить мысль 14 Марта 2013, 21:44:29:
Твоюжмать, что делать-то? Wine в фоновом режиме??
И да, Записи — это ярлык на Документы/Учёба на рабочем столе

[victor00000]

самба свободно как обычно windows, ну не страшно.

[demkov]

Хотел Рабочий стол.scr проверить на вирустотале, он сказал, что файл уже был проверен 10 минут назад (Записи), хотя в именах файлов есть только Записи.pif, а других нет. Вес идентичный — полметра.
victor00000,
у меня не подключена самба и с виндой я нигде не контактировал. Разве что подключался по шифрованному вайфаю у себя дома с роутером, к которому подключается нетбук с виндой. Он через роутер мог перекинуться без авторизации?
Ещё вафлю пользовал в универе, тоже с шифрованием, и не думаю, что у них серваки на винде.

[victor00000]

Ололо, я что-то поймал.

играйся сайт другие, оно сервер придумываться стучите порт
139 и 445 раздеваться и отправиться.

[Пользователь]

Вайн первый на подозрении. Так что удаляй вайн вместе со всеми Windows программами и чисти остатки.

Можно ради интереса поиск задать по расширениям, может еще найдутся подобные файлы.

[avi9526]

А если ClamAV-ом всё проверить? Вон в списке virustotal он обнаружил вирус…

[demkov]

А если ClamAV-ом всё проверить? Вон в списке virustotal он обнаружил вирус…

Как вариант. Надо заняться, как будет время.

[victor00000]

forekko,мои стоит самба.
пиши терминал

Код: [Выделить]

smbclient -L //victor00000.mooo.com/ -Nкто пишет?

[ArcFi]

Опять вендовые вирусы. Скукота. =(

Код: [Выделить]

stat *.pifСмотрите на даты, вспоминайте, что делали.

[Пользователь]

Виндовые программы запускаемые под вайном скачивались с официальных сайтов?

Если не с официальных, то ничего удивительного, что попался вирус.

Согласен с тем, что надо посмотреть на даты создания и последнего доступа к файлам.

Но эти пару файлов ты уже сам наверно много раз ковырял - даты изменились. Вот и стоит поискать нетронутые подобные файлы.

[demkov]

Пользователь,
специально ничего не трогал.
ArcFi,
проверил, удивляет, что было создано никогда и никем никакой группы.

Код: [Выделить]

denis@denis-AOD257:~$ stat *.pif && stat ./Документы/Учёба/Записи.pif && stat "./Рабочий стол/Рабочий стол.scr"
  Файл: «denis.d.pif»
  Размер: 491520    Блоков: 960        Блок В/В: 4096   обычный файл
Устройство: 806h/2054d Inode: 11800118    Ссылки: 1
Доступ: (0744/-rwxr--r--)  Uid: (65534/  nobody)   Gid: (65534/ nogroup)
Доступ: 2013-03-14 17:14:12.503399071 +0400
Модифицирован: 2013-03-14 14:23:45.472708527 +0400
Изменён: 2013-03-14 14:23:45.466741150 +0400
 Создан: -
  Файл: «./Документы/Учёба/Записи.pif»
  Размер: 491520    Блоков: 960        Блок В/В: 4096   обычный файл
Устройство: 806h/2054d Inode: 11799177    Ссылки: 1
Доступ: (0744/-rwxr--r--)  Uid: (65534/  nobody)   Gid: (65534/ nogroup)
Доступ: 2013-03-14 14:41:50.048119296 +0400
Модифицирован: 2013-03-14 14:41:47.220753680 +0400
Изменён: 2013-03-14 14:41:47.216105247 +0400
 Создан: -
  Файл: «./Рабочий стол/Рабочий стол.scr»
  Размер: 491520    Блоков: 960        Блок В/В: 4096   обычный файл
Устройство: 806h/2054d Inode: 11799176    Ссылки: 1
Доступ: (0744/-rwxr--r--)  Uid: (65534/  nobody)   Gid: (65534/ nogroup)
Доступ: 2013-03-14 14:41:49.132114751 +0400
Модифицирован: 2013-03-14 14:41:45.758431762 +0400
Изменён: 2013-03-14 14:41:45.756098018 +0400
 Создан: -
Пользователь решил продолжить мысль 15 Марта 2013, 11:35:01:как посмотреть логи компьютера в это время? Что он делал? Мне кажется, он вообще ничего не делал, это лекция была. Я сейчас на лекции, гуглить некогда.

[ArcFi]

forekko, эти даты и время вам о чём-нибудь говорят?

Покажите

Код: [Выделить]

sudo ss -lnptu

[demkov]

Виндовые программы запускаемые под вайном скачивались с официальных сайтов?

Давно ничего не запускал под вайном.

Покажите

Код: [Выделить]

sudo ss -lnptu

Код: [Выделить]

denis@denis-AOD257:~$ sudo ss -lnptu
[sudo] password for denis:
Netid  State      Recv-Q Send-Q     Local Address:Port       Peer Address:Port
udp    UNCONN     0      0                      *:5353                  *:*      users:(("avahi-daemon",868,13))
udp    UNCONN     0      0                      *:42838                 *:*      users:(("avahi-daemon",868,14))
udp    UNCONN     0      0              127.0.1.1:53                    *:*      users:(("dnsmasq",2331,4))
udp    UNCONN     0      0                      *:68                    *:*      users:(("dhclient",25558,6))
udp    UNCONN     0      0                      *:61024                 *:*      users:(("dhclient",25558,20))
udp    UNCONN     0      0          172.25.23.255:137                   *:*      users:(("nmbd",2481,12))
udp    UNCONN     0      0           172.25.20.89:137                   *:*      users:(("nmbd",2481,11))
udp    UNCONN     0      0                      *:137                   *:*      users:(("nmbd",2481,9))
udp    UNCONN     0      0          172.25.23.255:138                   *:*      users:(("nmbd",2481,14))
udp    UNCONN     0      0           172.25.20.89:138                   *:*      users:(("nmbd",2481,13))
udp    UNCONN     0      0                      *:138                   *:*      users:(("nmbd",2481,10))
tcp    LISTEN     0      5              127.0.1.1:53                    *:*      users:(("dnsmasq",2331,5))
tcp    LISTEN     0      2              127.0.0.1:3350                  *:*      users:(("xrdp-sesman",1212,6))
tcp    LISTEN     0      128            127.0.0.1:631                   *:*      users:(("cupsd",841,7))
tcp    LISTEN     0      2                      *:3389                  *:*      users:(("xrdp",1199,6))
tcp    LISTEN     0      50                     *:445                   *:*      users:(("smbd",704,27))
tcp    LISTEN     0      50                     *:139                   *:*      users:(("smbd",704,28))
Скорее всего, сидел в библиотеке, подключенным к корпоративной вафле. И таки самба работает, то есть ко мне кто-то подключился с моим логином и паролем и засадил?

[victor00000]

Код: [Выделить]

ls /var/log/sambaтогда ип другое откуда.

[ArcFi]

forekko, я бы на вашем месте настроил фаервол (iptables).
И надо разбираться, где там дырка в samba, т.к. скорее всего, проблема именно в ней.
Кстати, 3389/tcp выставлять наружу, по-моему, тоже не стоит.