このようなウィルスが・・・

質問

現在管理しているネットワークがウィルスだと思われるものに犯されているのですが、ウィルスチェックにもかからないし、発生源も突き止められないため、現在困っていう状態です。

以下の状況です。

1.WANネットワーク上からブロードキャストでパケットが送られてくる。
→これが何らかの方法で内部に侵入したようです。

2.感染したパソコンから、近くのスイッチングハブに向けて偽のarpを送りつけ、テーブルをオーバーフローさせる（IP-MACの関係を破壊）
そのため、フローした後にハブが聞きにいくのですが、このときに嘘の情報を流し、WANからのルートを確定させます。

3.これを何度か繰り返し、感染を進めていきます。

4.その後、ICMP（ping）パケットをPCに送りつけるのですが、このパケットも改変されています。
パケットの状態なのですが、まず返信先のアドレスが変更されていること、返信をUDPでやるように変更されていること。などが主な特徴です。
つまりICMPを送り、送り先のPCから帰ってきた情報を送り元ではなく別にUDPで送信しようとします。

5.またメールを大量に送ろうとしています。
ちなみにFTPサーバーなどは、構築していないようです。

現在以上のような状態になっていて、ネットワークを完全に封鎖している状態です。
ウイルスをインターネット上で検索しているのですが、該当するものが見当たりません。
以上と似たようなハックをするツールは見つけたのですが、ウイルスは見つかっていないので、現在は頭を抱えている状態です。

切羽詰っている状態です、誰か助けてください。
よろしくお願いしいます。

回答No.2

murachan

WANということは法人でのネットワークと考えますが、法人であればセキュリティソフトの法人契約を結んでいると思われます。

サポートの範囲内だと思いますので、御社と契約しているSYMANTECかTRENDMICROか、はたまたMCAFEEなどに問い合わせてみるのが一番だと思いますが。。。

補足

そうですね、問い合わせ・パッチは最新のものを使用しているのですが、解決が出来ていません・・・

回答No.1

emden

脅威が何であるかわからないのであれば、感染している（異常な挙動をしている）PCを特定して、ファイアウォール、Windowsパッチ、セキュリティソフトを適用していくしかないと思います。それでも出るとしたら未知の脅威ですので対応手段はないと思います。

補足

もちろん感染しているPCはわかっているのですが、大本が判明しないので困っています。
また、現在はネットワークを完全に封鎖し（物理的に）再インストール・リカバリ・再構築をやっている最中です。
しかし原因がつかめないことには、以上のことをやってもどうしょうもありませんので・・・という感じです。