W32.klez.h@mm auf'm Server

#1 Moin Leute,

ich hab wohl ein Problem.
Bei uns in der Firma steht ein Novell-Server 5.1.
Der dient gleichzeitig als File- sowie Mailserver...jaja ich weis!
SO...
In den Roots unserer Volumes tauchen Dateien auf, die nicht da hingehoeren. Sobald ich von meiner Workstation darauf klicke erscheint von NAV die Meldung, dass es o.g. Virus sei und er die Datei loescht. Er loescht jedoch nicht wirklich die Datei, denn sie ist noch da jetzt aber mit 0 byte. Wenn ich sie per Hand loeschen will sagt er, dass sie von einem anderen Programm genutzt wird.
Meine Frage jetzt ist....wie krieg ich den Virus vom Server weg????
Ich hab schon paar Tools gefunden gegen den Virus, aber die sind eher fuer die Workstation gedacht. Und worauf muss ich achten, wenn ich den Server nach Viren durchsuchen lasse?? Auslastung?? Absturz??
Bitte helft mir, denn so langsam krieg ich muffensausen!

Dankeschoen...

#2

Zitat

Informationen für Novell-Anwender:
Novell-Server sind zwar nicht direkt angreifbar, jedoch kann ein Novell-Client, der unter Windows läuft, auf den Novell-Server zugreifen und die Datei von dort aus ausführen (z. B. mithilfe eines Anmeldeskripts), wodurch der Virus weiterverbreitet werden kann.

http://securityresponse1.symantec.com/sarc/sarc-intl.nsf/html/de-w32.klez.h@mm.html

Woher kommen die Dateien auf dem Server?`Gibt es andere infizierte Clients ?
__________
Durchsuchen --> Aussuchen --> Untersuchen

#3 Hey,

hab ich vergessen zu erwaehnen.
Es sind ca. 60 PCs Hausintern dran und ca. 100 greifen noch extern darauf zu.
Alles Win 98, 2k oder XP.
Es ist also ziemlich wahrscheinlich, dass irgendein Rechner infiziert ist. Jedoch muss das erst gecheckt werden.
Ich will eher wissen wie krieg ich diese scheiss infizierten Files vom Server runter?!

#4 Ich verstehe nicht so ganz, womit du probleme hast. Du kannst doch wohl Dateien auf dem Server loeschen? Bist du der Admin? Der Server ist ja nicht infiziert, da Novell.

Du hast nur das Problem, das der Virus immer wieder von dem Infizierten Rechner, der Schreibzugriff auf dem Server hat , auf den Server kopiert wird. Das geht so lange, bis ihr wisst, welcher Client infiziert ist.

Aus reiner neugier: Wisst ihr schon wo ihr das "Loch" in euerem System habt?
__________
MfG Ralf
SEO-Spam Hunter

#5 Jap...ich glaube ich hab den Uebeltaeter.
Ist der Zweitrechner meines Chefs ;P, der gerade im Urlaub ist.
Ka wie der Virus draufgekommen ist, aber das krieg ich noch raus.
Also knall ich den Virus von der Workstation und auch die infizierten Files vom Server und das wars dann??

#6 Nimm fuer die Workstation lieber den Cleaner den es unter Joschis Link gibt. Oder wahlweise diesen: ftp://ftp1.avp.ch/utils/clrav.com , denn der Wurm "droppt" normalerweise einen Virus. Wenn du die Moeglichkeit hast, setze den Client komplett neu auf(Backup?). Ich hoffe/denke mal, das eure Clients keine offenen shares haben!?
__________
MfG Ralf
SEO-Spam Hunter

#7 Ich bin grad dran die Clients mit der CD der aktuellen CT zu checken. Da ist Knoppix mit Knoppicillin drauf und mir wurde das empfohlen. Der soll wohl auch den Virus finden und eliminieren.
Was denkt ihr darueber??

EDIT
Backups gibts keine und geshared wird auch nix.
/EDIT

#8 Keine Backups?? Schlecht! Nix geshared, gut!

Sei mit der Knoppicillin vorsichtig, wenn auf dem Rechner NTFS Partitionen sind kann es aerger geben, sprich Datenverlust!
__________
MfG Ralf
SEO-Spam Hunter