Призрак бродит по рунету, это призрак Коммунизма)))

Неделю назад пришел ноут со странной бедой, запускается, грузится Bios и где то в момент загрузки из любого источника тут же уходит в перезагруз....
При этом в биос входит, устройства определяются подключенные, все так вроде норм.
Не долго думая разбираю, прошиваю BIOS , подкидываю винт и все загрузилось.
Перезагружаю ноут и опять....
Прошиваю после опять подкидываю свой винт (с тестовой виндой) и все нормально, дрова ставятся и запускается.

Беру винт клиента и подтыкаю его потестить, по смарту все ОК, прогнал тест все ОК, а потом начались веселые моменты.
Дело в том, что тестовая машина подключена к общей лок сети конторы, и тестовый стенд для жестких, и еще пара машин после перезапуска так же ушли в циклический перезагруз.

Благо был выходной и остальные машины были выключены, потому не пострадали, решилось только форматированием хардов, и перепрошивкой этих машин. Клиентский жесткий так же был отформатирован и после проблема решилась.

Ну, поматерился по этому поводу и забыл, как за прошлую неделю еще 1 ноутбук пришел с такими симптомами и 1 системник. Лечение было аналогичным, форматированием носителей и перепрошивкой BIOS.

Так же знакомый админ из Кемеровской области тоже говорит что уже встретил такую беду.

P.S. я уже лет 15 не встречал вирусов способных хоть и программно но положить железяку. Кто нибудь уже встречал такую беду? есть ли уже метод лечения? ибо клиенты имеют личные данные на хардах и они хотят их сохранить.

Может включенные машины криво обновились с сайта Microsoft ?
Если вирус старый, возможно DRWEB или KAV с ним справятся.

я не думаю что тот СТАРЫЙ вирусяк прекрасно ориентируется в лок сети ip6v, понимает разницу в между Win 7 и Win 10, когда старый добрый чернобыль лютовал как мне помнится еще в ДО XPшную эпоху, но тут могу ошибаться
---------- Добавлено спустя 2 минуты 14 секунд: ----------

нет, однозначно нет, ибо та к которой был подключен стоит вообще Хрюша которая уже 200 лет не обновляется, была 7ка, у клиента на ноуте стояла 10ка

Взять комп на линуксе и смотреть, чо куда долбится в момент монтирования ЖД... Вряд ли на линукс там рассчитано.. На крайний случай лив СД запустить с убунтой и оттуда поглядеть. Если это виндовое дело, то после хотплага и инита явно что-то должно из загрузочной записи обратиться к системе.

Заодно и данные вытащить...

Котеус
попробовал, на линуху нет реакции.
Кстати да, конторский сервер на PROXMOX-е, он не пострадал

Ну вот раз реакции нет - монтируйте и смотрите чо куда лезет-ползёт и чо где менять пытается. Виртуальные машины вам в помощь (хотя, если вирус шипко умный, то отличит виртуалку от реального железа)
У меня вообще ощущение, что это не совсем новый вирус, а какой-то кривой лоадер, работающий по принципу SLIC-активации. Он записывает в доступную область биоса ключ, а потом из-под системы к нему обращается. Но тут явно чота пошло не так. Если есть еще жд с таких аппаратов, поищите в виндовой папке файл oem-drv64.sys - обычно он отвечает за чтение ключей в пираццки активированных осях, и как раз может выдавать такой фокус.

Котеус
да что то как то глухо, не нашел я ничего, возникает такое подозрение что тут речь идет о заражении каких либо файлов отвечающих за первичную загрузку, но по датам изменения файлов тоже. Если хотите я могу попробовать снять образ с такого жесткого и прислать вам, поковыряетесь.

Да, если не сложно - снимите HDD Cloner'ом и залейте куда-нить на файлопомойку типа гугла/майла. Я б поковырялся, интересная штуковина.
Дата вообще не показатель, она будет проставлена та, которю выставили в биосе/ОС, а поскольку вирус и там, и там отметился - то дата ничего не даст скорее всего.

там небольшой обломчик получился, некогда сливать было, надо было компы сегодня выдать, так что пардон что обломал с образом

Да ничего страшного. Если это действительно вирус, то такой ЖД еще не раз появится у кого-нибудь. Может даже и у меня в клиентах такие попадутся.
А если косячный активатор - то и фиг с ним, я считаю.

Если следовать традициям Чернобыля, то вирус должен иногда бутгард активировать..