Eset NOD32. Alertas por criptovirus

Este tipo de virus, actualmente, atacan los recursos compartidos de la red, y los propios PCs infectados, encriptando las extensiones de los ficheros más sensibles (DOC?,, PDFs, XLS?, DBFs …)

En el servidor donde está instalado NOD32, su comportamiento, cuando hay una detección del ataque, es borrar el fichero DECRYPT.TXT y DECRYPT.HTML (instrucciones de pago del creador del virus), que genera la máquina cliente al “atacar” los ficheros del servidor. Esto sirve para recuperar los datos encriptados, siguiendo el log del antivirus, a partir de la copia de seguridad o copias "Shadow".

Me puse en contacto con ESET, para ver si podía ejecutar una acción, al detectar un tipo de virus, o un patrón concreto, pero parece que no es posible, o no me lo supieron decir. Al final he optado por montar un sistema de avisos en el servidor o servidores, de tal manera, que si detecta algún tipo de virus, me avise a mi correo electrónico.

Se que esto puede ser una acción que muchos de vosotros programáis habitualmente, pero esto cobra más sentido con estas nuevas amenazas.

Tras entrar en la pantalla de configuración, que os indico en el gráfico adjunto, suelo retocar el mensaje, para que me indique el cliente y el servidor del que se trata. El resto de datos se tratan de una simple autentificación SMTP, cuenta origen y destino. (he creado una que es antivirus@miempresa.com)

Suelo ejecutar un test EICAR para verificar que funciona, y darlo por bueno.

Problema con instalación de ESET Nod 32

Hoy ha sido uno de esos raros días, donde el antivirus no se dejaba instalar. Lo he reinstalado varias veces, pero al llegar al final de la instalación, daba un error, y no quería continuar. Finalmente lo he solucionado con este artículo.

Aparece un mensaje que indica que la instalación de ESET "finalizó antes de tiempo”

ID de solución: SOLN2861|Última revisión: junio 24, 2013

Suceso

• "La instalación de ESET Smart Security finalizó antes de tiempo"
• La instalación no fue exitosa: "Volver a la acción anterior"
• El Motor de filtrado de base no se encuentra

Los usuarios podrían visualizar los siguientes mensajes:

• "Falló el inicio del Firewall personal de ESET"
• "Los servicios no se han iniciado"
• "Falló el inicio del análisis de virus"
• "El equipo no ha sido reiniciado luego de la desinstalación del programa. Por favor reinicie el equipo y ejecute nuevamente el instalador." 
• "Ocurrió un error mientras se iniciaban los servicios. El análisis de los protocolos de aplicación (POP3, HTTP) no funcionará""
  • En relación a este último mensaje acceda a este artículo de nuestra base de conocimiento

¡Importante!

Esta solución aplica solo a usuarios de Windows 7.

Detalles

Solución

I. Verifique si el Motor de filtrado de base no se encuentra

1. Haga clic en Inicio, escriba services.msc dentro del campo de búsqueda y luego haga clic sobre services. 

Figura 1-1 

2. Localice el registro de Motor de filtrado de base en la columna "Nombre", la cual se encuentra ordenada alfabéticamente. 

Figura 1-2

Si aparece la línea correspondiente al Motor de filtrado de base podría tratarse de un posible conflicto de software no vinculado a Motor de filtrado de base. Por favor envíe el registro del error de instalación a nuestro Equipo de soporte para recibir asistencia en la resolución del suceso:

• Problemas de instalación con ESET Smart Security o ESET NOD32 Antivirus (¿Cómo generar un registro del error?)

Si la entrada  del Motor de filtrado de base no se encuentra, por favor prosiga con la Parte II descripta debajo.

II. Reinstale el Motor de filtrado de base

1. Haga clic sobre el siguiente enlace para descargar la herramientaESET ServicesRepair  y guárdela en su Escritorio.

• ServicesRepair.exe

Imposibilidad para descargar: "ServicesRepair.exe contained a virus and was deleted"

Muchas variantes recientes de Sirefef podrían impedirle la descarga de nuestra herramienta. Si no puede descargarla, realice los siguientes pasos:

1. Haga clic en Inicio  Equipo  Disco local (C:)  Archivos de programa. 
    
2. Haga clic en la carpeta de Windows Defender y seleccioneCambiar nombre en el menú contextual.
    
3. Agregue una variación mínima al nombre del archivo, tal como.old (por ejemplo, Windows Defender.old).
    
4. Acceda al artículo de nuestra Base de conocimiento ¿Cómo elimino el troyano Sirefef (ZeroAccess)? para obtener instrucciones acerca de la remoción de este código malicioso.
    
5. Luego de remover los códigos maliciosos de su equipo, asegúrese de cambiar el nombre de la carpeta de Windows Defender al original.

2. Haga doble clic sobre el archivo ServicesRepair.exe para ejecutar la herramienta ESET ServicesRepair. Si se encuentra utilizando elControl de Cuentas de Usuario de Windows, presione Ejecutarcuando se le solicite y luego en Sí cuando se le consulte si desea permitir los cambios.

  

Figura 2-1

3. Aparecerá la ventana Services Repair. Haga clic en Sí para continuar.

Figura 2-2

4. Siga las instrucciones de la herramienta para reparar el servicio del Motor de filtrado de base. Luego de que la herramienta finalice su ejecución haga clic en Sí para reiniciar su equipo. 

Figura 2-3

4. Luego del reinicio, instale su producto de seguridad ESET. Para obtener instrucciones acerca de la instalación, por favor acceda a uno de los siguientes artículos de  nuestra Base de conocimiento, según corresponda:

¿Cómo descargar e instalar ESET Smart Security? (6.x) 

¿Cómo descargar e instalar ESET NOD32 Antivirus? (6.x) 
 

5. Solo para usuarios de ESET Smart Security: Debido a que la herramienta ESET ServicesRepair  restaura  el Firewall de Windows a su estado predeterminado, será necesario que lo deshabilite para evitar conflictos con el Firewall personal de ESET. Para obtener instrucciones acerca de cómo deshabilitar el Firewall de Microsoft Windows, haga clic en el enlace correspondiente a su sistema operativo:

• Activar y desactivar Firewall en Windows 7


• Activar y desactivar Firewall de Windows Vista
   

Si persiste el inconveniente luego de restaurar el Motor de filtrado de base  y de ejecutar la herramienta ESET ServicesRepair aún no logra completar la instalación, su equipo podría encontrarse infectado con el código maliciosos Sirefef. Acceda al siguiente artículo de nuestra Base de conocimiento para obtener instrucciones para eliminar esa infección:

• ¿Cómo elimino el troyano Sirefef (ZeroAccess)?

Recomendaciones de configuración ESET Nod32 y Terminal Services / Citrix

Recommended settings for ESET File Security on a Terminal Server

KB Solution ID: SOLN2791|Last Revised: June 24, 2013

Details

Solution

Complete the procedures below in sequence to achieve the best performance from your server with ESET File Security for Microsoft Windows Server installed. For licensing questions, contact ESET Sales at +1 (619) 876-5400.

I. Disable the graphic user interface (GUI)

The steps in this section will disable the GUI from launching automatically at start up, however you can still access it at any time from the Start menu. If you are not comfortable making changes in the registry, you can also use the method for endpoint workstations covered in the Knowledgebase article below:

How do I disable the graphical user interface (egui.exe) of ESET Endpoint Security or ESET Endpoint Antivirus on client workstations? (5.x) 
 

1. Press the Windows key + R to open a run dialog.
    
2. Type Regedit.exe into the Run field and press ENTER.
    
3. Navigate to HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
    
4. Right-click the value egui and select Modify.

Figure 1-1
Click the image to view larger in new window

5. Add the /terminal switch to the end of the existing string
   
   The following is an example of the Value data of egui:

"C:\Program Files\ESET\ESET File Security\egui.exe" /hide /waitservice /terminal

Figure 1-2

 

If you want to revert this setting and enable automatic start up of the ESET File Security GUI, remove the /terminal switch. To navigate to the egui registry value, repeat steps 1 to 3.

 

II. Enable Protocol Filtering

1. Open ESET File Security by clicking Start  All Programs  ESET  ESET File Security  ESET File Security.
   
   
2. Press F5 to open Setup.
    
3. Expand Computer protection  Antivirus and antispyware  Protocol filtering.
    
4. Select the check boxes next to Enable application protocol content filtering and Start application protocol protection automatically.

Figure 2-1  
Click the image to view larger in new window

5. Click OK to save your changes.

 

III. Enable passive Web access protection

1. Open ESET File Security by clicking Start  All Programs  ESET  ESET File Security  ESET File Security.
   
   
2. Press F5 to open Setup.
    
3. Expand Computer protection  Antivirus and antispyware  Web access protection.
    
4. Make sure that the check box next to Enable web access antivirus and antispyware protection is selected. If you are using Windows Server 2008 or newer, skip to part V. If you are using Windows Server 2003, continue as normal.

Figure 3-1
Click the image to view larger in new window

5. Expand Computer Protection  Antivirus and antispyware  Web access protection  HTTP, HTTPS  Web browsers.
    
6. Click Add.
    
7. Navigate to the .exe files for any web browsers that you want to run Web access protection on and click Open (we recommend that you enable this feature for all web browsers).

Figure 3-2
Click the image to view larger in new window

8. When you have finished adding browsers, click OK.

 

IV. Enable active Web access protection  – WINDOWS SERVER 2003 ONLY

1. Open ESET File Security by clicking Start  All Programs  ESET  ESET File Security  ESET File Security.
   
   
2. Press F5 to open Setup. 
   
   
3. Expand Computer protection  Antivirus and antispyware  Web access protection  HTTP, HTTPS  Web browsers  Active mode.
    
4. Select the corresponding check boxes for each of the web browsers listed to enable active Web Access protection. If a browser is not included in the list, repeat the steps from section III above to add it.

Figure 4-1
Click the image to view larger in new window 

V. Adjust the number of Scanning Engines

If there are no other restrictions on system resources, we recommend that you increase the number of ThreatSense scanning engines to improve performance.

1. Open ESET File Security by clicking Start  All Programs  ESET  ESET File Security  ESET File Security.
    
2. Press F5 to open Setup. 
    
3. Expand Computer protection  Antivirus and antispyware  Performance.
    
4. Set the Number of ThreatSense scan engines field to equal twice the number of physical CPUs that your server has plus one. For example, a server with four physical CPUs would have nine scan engines running. You will be notified by ESET that you must restart your computer before these changes will take effect. Click OK once you are finished to close Setup.