这是什么病毒？

zjqcomputer

今天单位有几台电脑不能上网，一检查发现其网关被修改了，将其改回来一切正常。询问电脑的使用人员，都说他们自己没有改过。

正感到莫名其妙之际，检查一下其它正常的电脑，发现大都被修改过，有的改了子网掩码，有的改了DNS，但它们的网关没变，仍能正常上网。

看来单位的内网中正潜伏着一种病毒或木马，百度和google了一下，说是ARP攻击所致，请问大家有见过这样的问题吗？做双向绑定能否解决问题？

zjqcomputer

原帖由 haiou327 于 2011-3-22 22:31 发表
ARP病毒，装个ARP防火墙

这两天把所有电脑的360 ARP防火墙打开，问题没有再出现了。

但奇怪的是，防火墙好像也没有拦截到有攻击在进行~~！晕！

[ 本帖最后由 zjqcomputer 于 2011-3-24 21:34 编辑 ]

zjqcomputer

原帖由 freesoft00 于 2011-3-22 22:20 发表
那就查查那些被更改的电脑是否中毒了。

对出问题的电脑用360杀毒+正版瑞星进行抽检，没发现病毒，可这些电脑的网关、子网掩码或DNS等确实是被修改了。如果真是病毒远程攻击所致，那这病毒真够厉害的，无解了~~！

haiou327

ARP病毒，装个ARP防火墙

freesoft00

那就查查那些被更改的电脑是否中毒了。

zjqcomputer

问题是远程的ARP攻击能修改本地的网关、子网掩码和DNS吗？

freesoft00

arp类病毒很多，局域网中也很常见。是比较头疼的问题。
如果你的路由器支持双向邦定的话可以设置。
在路由中查看哪台机器发送的数据包异常，就把那台机器从新安装或者杀毒。或者抓包也可以。
这样把所有中毒的机器都杀完了，再做防护，以防再犯。