Новая беда

[JGr124_Barakuda]

Пропатчил Винду ентим секьюрите, что по ссылке. все стало ОК

[orion71]

Опять началось
Патчи не помогли

[Maza]

реестр чистил?

[orion71]

Реестр чист, в процессах тоже. Делаю восстановление системы по контрол.точке на день раньше -- все ок. Влезаю под проксей в инет. Все хорошо. Без прокси, заново трахаться с восстановлением. Под проксей ходить бы, ды до провайдера могу не дозвониться просто.
Пробывал патч заново поставить, пишет шнягу.

[MikeR]

Появился новый представитель - t(что-то там)kids - посмотриете на касперском.

Вчера как iptraf на серваке запустил - охренел - олег, твой лог отдыхает =).

[kuzz]

Вот. Все по полочкам и со всеми ссылками.

[MikeR]

Полочки ещё те и симантек ещё тот. Выбирайте отечественного производителя =).

[SWING]

После установки патча не могу скачать не каких дополнений к играм. И не работает Outlook, почта не приходит.
Что делать?

[MikeR]

Хм вот это странно. Возьми clrav.com с касперского - бесплатно слить можно и проскань - ничего случаем ещё не висит в памяти.
Кстати rpc отключать - как временный способ защиты не советую. Мне после этого реестр ручками пришлось править, чтоб включить.

[kuzz]

Полочки ещё те и симантек ещё тот

MikeR, если бы ты внимательно прочитал весь топик, то заметил бы что кроме симантека упомянуты или есть ссылки на многих ведущих производителей антивирей, в том числе и наших. Не понимаю причину твоего скептицизма.

[orion71]

Symantec и clrav ничего не находят. Инет работает спокойно без предупреждения. Стоит запустить Flashget или HypperLobby выскакивает предупреждение и перегрузка.

[Serega]

У меня после установки патча и сканирования Symantec`ом флэшгет нормально стал работать (тьфу-тьфу), да и лобби вроде не глючит. Может в реестре хрень осталась какая-нибудь?

З.Ы. Я так понял, порыскав по нету, что надо 3 файла сносить
TEEKIDS.EXE
MSBLAST.EXE
TFTP.exe

[Jameson]

tftp - это составная часть винды. Но оно ее использует..

[Serega]

Ну чего уж теперь снёс так снёс. Он сам собой восстановился опять.

[Kristofer]

Worm.Win32.Welchia

При запуске червь копирует себя с именем dllhost.exe в каталог %System%\wins, после чего создает сервис с именем WINS Client. Туда же червь копирует файл tftpd.exe из каталога %System%\dllcache, с именем svchost.exe и создает сервис с именем Network Connections Sharing.
В результате этих действий червь будет получать управление и исполняться при каждом запуске Windows.


....skiped
Червь проверяет наличие в памяти процесса с именем msblast.exe, который принадлежит червю Lovesan, и принудительно прекращает его работу. Также он ищет на диске файл msblast.exe и удаляет его.
Червь проверяет системный реестр Windows на наличие информации об установленных патчах и сервисных паках для Windows, и в том случае если патч закрывающий уязвимость в DCOM не установлен, запускает процедуру загрузки данного патча с сайта download.microsoft.com. После того как требуемый патч загружен и установлен, червь перезагружает компьютер.

...skiped
Червь выбирает IP-адрес, отсылает на него ICMP запрос и ждет ответа. Если удаленный компьютер ответил, червь устанавливает с ним соединение по 135 порту (аналогично Lovesan) или на 80 порт (если на удаленной машине используется IIS) и отсылает подготовленный пакет, содержащий команды для загрузки (при помощи tftp) себя с зараженной машины.

Далее проверяет наличие на удаленной машине файла tftpd.exe и если такой не обнаружен, то загружает его туда (в виде файла svchost.exe) в каталог %System%\wins.

Если текущий год равен 2004, то червь удаляет себя из системы и прекращает свою работу

взято с http://www.viruslist.com/viruslist.html?id=2743974

[kuzz]

в общем залазит через ту же дырку и лечит комп от msblast. хотя в то же время сам проходит по категории вирусов, поскольку выполняет эти действия без ведома "хозяина".

[Jameson]

По идее - с 2000 винда бережет свои файлы. Помню, как пришло в кое-куда письмо, что такой-то файл надо удалить. И они, простые души, не стали ждать до следующего дня, когда их админ придет, все удалили. Винда 95 -98. Адома у человека -2000 стояла. Удаляют-удаляют -нифига. Обратно возвращается. Это-ли не подтверждение того, что машина заражена вирусом! Обращаются ко мне - так и так, может это и у вас завелось? Ну, смотрим - файл есть. Не удаляется. Ну, я говорю, что это часть системы, и она не хочет его удалять. С трудом убедил.. А вот у нас Bugbear завелся. :mad:

Originally posted by Serega


Ну чего уж теперь снёс так снёс. Он сам собой восстановился опять.

[23AG_Oves]

Этот вирус новый для ленивых. Кому впадлу там всякими файреволлами-брандмауэрами-антивирусами-патчами заниматься

[ALF]

Тоже вчера эту "заразу" цыпанул :mad:

[VGV]

его верно Микросук сама сделала, чттоб патчи народ ставил и название MSBlast из любви к себе оставила

[ALF]

2 23AG_Oves Это помогло? У меня ХР Русская, без сервер паков.

[23AG_Oves]

Насчёт нового вируса - это щютка Надо пропатчить и всё-таки пользоваться антивирусами и фаерволлами. Это точно помогает.
А насчёт ручного удаления этого вируса была инструкция из 3-х действий:
1. Из ключа реестра HKLM\software\microsoft\windows\current version\run удалить параметр, касающийся msblast.exe
2. удалить из каталога %systemroot%\system32 сам файл msblast.exe
3. Поставить патч (около 1 Мб) от microsoft (ссылка на него на главной странице www.microsoft.com) для своей операционки.

P.S. А сервис пак лучше иметь на XP

[ALF]

Originally posted by 23AG_Oves
Насчёт нового вируса - это щютка Надо пропатчить и всё-таки пользоваться антивирусами и фаерволлами. Это точно помогает.
А насчёт ручного удаления этого вируса была инструкция из 3-х действий:
1. Из ключа реестра HKLM\software\microsoft\windows\current version\run удалить параметр, касающийся msblast.exe
2. удалить из каталога %systemroot%\system32 сам файл msblast.exe
3. Поставить патч (около 1 Мб) от microsoft (ссылка на него на главной странице www.microsoft.com) для своей операционки.

Заштопал, вроде бы усе пока нормально.

P.S. А сервис пак лучше иметь на XP

********** уговорил

[Maxxxx]

Почту Аутлуком не читать! Бэт тоже говорят уже отличаеться исполнением файлов по умолчанию, но сам не пробовал Типа умные мэйлеры - подсобить хотят несчастному юзерю, файлик какой запустить. Поставить Мозилу (www.mozilla.org) и не париться. 90% вирусов через этот ср#ный МС Аутлук залазят и через его же базу адресов дальше лезут. У меня в конторе у всех, кто под Виндой, мозилы стоят и хоть бы кто (тьфу-тьфу) какую заразу через почту хапнул. Улыбаються только: "О, новую жабу прислали". Сегодня, правда особенный день. 3 прислали, заразы. Но толку, естественно никакого. Ну, а мозила - очень удобный мэйлер. Все необходимые навороты в нем есть: фильтры, спам-контроль, подсветка, сортировки. Вобщем, все он умеет. Так, совет из личного, отнюдь не скудного опыта.

[MikeR]

2 kuzz в основном трабла была в том, что никто ссылку на касперского не дал (на том форуме), хотя на касп. уже висело достаточно подробное описание этого вируса. А про симантек ругнулся, так как переименовав вирус и запустив - симантек его не нашёл, причём модификации (ренейма) к тому времени уже было 2, не факт что 3 ещё не появилась.

Кстати ещё небольшой оффтом: что может кроме таких, достаточно халявных вирусов отловить эвр. анализатор касперского ? У кого-нибудь что-нить отлавливало ?