Вирус. Видимо, через wine

[Gadd]

Рискую вызвать холивар, но...
Давеча цеплялся через сетку к компу с вин7. Ко мне пришла зараза под названием Cool_GameSetup.exe. Оказалась в папке Общедоступные и на 160-гиговом разделе (тут она появилась не сразу), которые были открыты на доступ по сети (нужно было перекинуть много файлов туда-обратно). По простоте душевной (думал, что кто-то мне давно игру закинул, на посмотреть) перед удалением её запустил, ничего не увидел и, собственно, удалил. Потом увидел её папках, которые были открыты на доступ. Снова удалил. В общедоступных лежал еще один ехе-файл, название не помню, видимо имеющий прямое отношение к Cool_GameSetup.exe.

Этот файл теперь у меня появляется на 160G-разделе, непонятно по какому принципу, после запуска wine-приложений он появляется далеко не всегда. Папку ~/.wine удалял. Сам wine пока не удалял и не чистил. Перезагрузка не помогает.
Заметил такую вещь - эти папки не отмечены в наутилусе, как расшареные. Но зато они (и как оказалось и другие, отсутствующие папки, когда-то бывшие расшареными) присутствуют в smb://gadd-desktop/. Убрал их оттуда варварским способом: в наутилусе создал ресурсы с такими же именами (опубликовал папки), а потом закрыл эти ресурсы. В smb://gadd-desktop/ теперь чисто.
Для чего я это делал? В нете выяснил, что вирус распространяется по сетке и копирует этот файл в расшареные папки.

DrWeb CureIt запустить не удалось.... Раньше с этим проблем не было.

Как избавиться-то? Удалить wine, зачистить и поставить заново? Думаю ещё поставить ClamAV. Он того стоит?

[suslikk]

Это не вирус для вас Успакойтесь, меньше вино надо пользовать

[Gadd]

Это не вирус для вас Успакойтесь, меньше вино надо пользовать

Все-равно как-то неспокойно. Без моего ведома такие файлы создаваться не должны. Файл вроде как не запускается сам по себе. Однако что-то его копирует в эти папки (может уже перестанет, т.к. закрыт общий доступ). Интересно, что? Вайн, при запуске каких-либо приложений? Но папку .wine я удалял и до поры до времени был спокоен.
Не хотелось бы стать частью бот-нета (хоть и не на долго)
А вайн мне, к сожалению, нужен. Если подскажете удобный гитарный тюнер вменяемым с генератором тонов
(как вариант

Код: [Выделить]

speaker-test -f 440 -t sine -l 2 -P 2 -r 44100)
то, возможно, на какое-то время от вина можно и отказаться (до очередного кратковременного зуда поиграть в какую-нить игрулю).

[Sam Stone]

для спокойствия убрать в вайне доступ к /, а потом в логах самбы посмотреть, от какого клоуна прилетает файл и дать ему в бубен А проще закрыть анонимный доступ к шаре.

[Vitsliputsli]

Вирусы в Wine могут привести к печальным результатам. Благо деструктивных сейчас очень мало.
Думаю надо Wine держать изолированно от других пользователей. Кстати, пойду поборю лень и займусь этим...  
А файл пишется, вероятно, потому что не весь общий доступ закрыт.

[gva230]

Файл пишется, потому что соответствующая папка добавлена в Wine, как диск. Оставь в вайне какую-нибудь отдельную папку под не системный диск и пусть там вирусня резвится. :) Ну, а если не интересно, то ClamAV поубивает твои вирусы.

[Gadd]

Комп как бы не в сетке. К нету соединяюсь через ethernet-кабель (VPN). На сколько я понимаю, другие компы из сети прова до меня достучаться не могут. Вирус был занесен на мой комп, и из него он пытался писаться в сетевые папки на моей машине. Сетевых папок теперь у меня уже нет, но зараза-то где-то сидит! Место может быть только одно - ~/.wine, но её я уже удалял. Где искать? С помощью ClamAV просканировал папку .wine. Всё чисто. Сейчас хомяк сканирую

[gva230]

А файл, который он пишет, случайно не .windows-serial весом в 2 байта? :)

[AlexKozhin.com]

У меня рабочий стол Гном, ClamAV на нем работать не будет же?
А что делать если лезут в комп через сеть  или через вайфай?

[thunderamur]

замечал такую же хрень на одном из компов с Ubuntu, было это добро в общей папке, решил, что "добро" из сети и даж парица не стал, похер на винду заражённую.
Пользователь решил продолжить мысль 13 Февраля 2011, 18:08:45:а вообще надо бы почистить...

[gаrret]

У меня рабочий стол Гном, ClamAV на нем работать не будет же?

Почему не будет?
Может вы имеете в виду КДЕшный интерфес KlamAV? Ну так и он будет работать. Но если вам хочется православный гномовский интерфейс, есть ведь ClamTK.

[thunderamur]

У меня рабочий стол Гном, ClamAV на нем работать не будет же?

Почему не будет?
Может вы имеете в виду КДЕшный интерфес KlamAV? Ну так и он будет работать. Но если вам хочется православный гномовский интерфейс, есть ведь ClamTK.

хватит всякую ересь говорить, православный интерфейс - командная строка 

[gаrret]

Гм, да, фигню сказал.

[alexander.pronin]

Погуглите по форуму
tuxguitar
Там есть еще варианты.
https://forum.ubuntu.ru/index.php?topic=14889.0

[Gadd]

А файл, который он пишет, случайно не .windows-serial весом в 2 байта?

Юмор понятен, но не уместен, к сожалению. Нет, то был ехе-шник
Пользователь решил продолжить мысль 18 Февраля 2011, 23:19:58:

Погуглите по форуму
tuxguitar
Там есть еще варианты.
https://forum.ubuntu.ru/index.php?topic=14889.0

Таксгитаром пользуюсь уже давно, но нужна прога совершенно другого рода. И это вопрос другой темы
Пользователь решил продолжить мысль 19 Февраля 2011, 18:18:45:Вопрос по прежнему актуален.
Для эксперимента сделал общедоступную папку. В ней появился описываемый файл. Вот что говорит по этому поводу ClamAV:

Scanning 1 file(s)...
Scanning file "/home/gadd/testfolder/Cool_GameSetup.exe"...
Found Trojan.Dropper-18537 in /home/gadd/testfolder/Cool_GameSetup.exe

Что и требовалось доказать.
Откуда он лезет? Может, действительно из сети проавйдера, как говорил кто-то выше? Вряд-ли, открытой внутренней локалки как таковой нет, есть только файлообменник (GreyLink вроде как юзается), для которого нужен отдельный тарифный план, которого у меня нет. Если он на компе - как он выжил???
Где смотреть логи самбы???
Пользователь решил продолжить мысль 19 Февраля 2011, 18:31:09:В /var/log/samba/log.samlab нашел такие строки:

[2011/02/19 17:07:59,  1] smbd/service.c:676(make_connection_snum)
  create_connection_server_info failed: NT_STATUS_ACCESS_DENIED
[2011/02/19 17:07:59,  1] smbd/service.c:676(make_connection_snum)
  create_connection_server_info failed: NT_STATUS_ACCESS_DENIED
[2011/02/19 17:07:59,  0] param/loadparm.c:8569(process_usershare_file)
  process_usershare_file: stat of /var/lib/samba/usershares/testfolder failed. Permission denied
[2011/02/19 17:08:00,  1] smbd/service.c:1063(make_connection_snum)
  samlab (::ffff:10.221.0.74) connect to service testfolder initially as user nobody (uid=65534, gid=65534) (pid 2297)
[2011/02/19 17:08:08,  1] smbd/service.c:1240(close_cnum)
  samlab (::ffff:10.221.0.74) closed connection to service testfolder

Папка и время совпадают. Значит гадость идет с 10.221.0.74?