Похоже первый раз нарвался на Broadcast strom и ARP spoofing

[SergKz]

(подозреваю что ответ может оказаться простым как грабли за дверью....)

В домовой сетке на два соседних дома которая отработала уже года два, вдруг начался дикий загруз. практически до полной неработоспособности. дамп на интерфейсе линукcового шлюза на входе в дом показывает после перезагрузки сначала такое:

23:11:35.277543 arp who-has 192.168.104.1 tell 192.168.104.17

23:11:35.277634 arp reply 192.168.104.1 is-at 0:8:c7:1b:49:c1

23:11:35.277603 arp who-has 192.168.104.1 tell 192.168.104.17

23:11:35.277701 arp reply 192.168.104.1 is-at 0:8:c7:1b:49:c1

минуты через 3 сменяется таким трафиком:

23:14:49.794595 192.168.104.17.137 > 192.168.104.255.137: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST

23:14:49.794687 192.168.104.17.137 > 192.168.104.255.137: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST

и прёт по 20 тыщ пакетов в минуту. Причём адрес от которого прёт периодически меняется. время от времени бродкасты сменяются на arp запросы и обратно.

Отключаем всех хабов и юзеров (десятка полтора) от центрального хаба возле шлюза - с бука прихваченного с собой работаем чере шлюз нормально. Стоит подключить ЛЮБОГО юзера как начинается то же самое. Вот и думаем - то ли все хором заразились и пора карантин вводить то ли какие-то заморочки по питанию/наводкам. Прозвонили провода тестером, явных наводок/закороток не обнаружили. Хабы все поменяли, в центр возле шлюза поставили коммутатор управляемый 3com с включенным контролем Broadcast Storm - не помогло.... Идеи? (кстати юзеры все одновременно само собой недоступны... и хабы тоже - в разных подъездах)

[vIv]

Очень похоже на червяка

[Maris]

Uteba poxoze klienti talpoj pribaleli, tak kak uteba IP vnutrinije, is skareje vsevo usera update delajut so skripom lizbi lishnij megabai s microsoft nekochatjs, mashinki u klientov dravije, ktota zarazu prinos, i paneslas.

[2Garin]

Вирус однозначно!!! У нас такое было у 8 человек, один умник скачал прикол на флэше и начал раздавать... пока не нарвался на человека с нормальным антивирусом и новыми базами, symantec называл его Jeefo.W32

[Chertik]

symantec называл его Jeefo.W32

Каспер называет Jeefo как Hidrag

вот описание

http://www.viruslist.com/ru/viruses/encycl...a?virusid=69119

 

PS

Кстати, через некоторое время после заражения, файлы *.exe перестают запускаться.