svchost.exe fejl

http://exp.dk/spm/386329
Det er 99% sikkert dit problem, hvis det er så lav selv et svar og accepter det, denne her Orm er "gratis" at få væk.
Prøv lige med Stinger først, den er blevet opdateret til at knalde den nye orm.
http://vil.nai.com/vil/stinger/
Desuden kan du læse en masse info om angrebet, og hvordan man skal forholde sig på Spywarefri lidt nede af siden.
http://www.spywarefri.dk/

Problemet er lidt større end fromsej giver udtryk for idet, det du oplever kun er symptomerne på at en inficeret maskine bombarderer de andre maskiner med den omtalte orm.

Du har travlt nu, du skal finde maskinen i en fart. Kig evt i eventloggen efter en rdp fejl, og se efter meddelelser om en maskine der umiddelbart før har overtaget master browser rollen. Der er en stor chance for at det er den der er synderen.

Vi oplevede det igår, og var heldig at finde den inficerede maskine vha ovennævnte metode, og det gav ro til vi kunne begynde patchningen af maskinerne.

Hov, den fejl du skal kigge efter er ikke rdp men RPC=Remote Procedure Call.

Men selvfølgelig, hvis i kun har 10 maskiner er det hurtigere og sikrere at patche dem op end at begynde at lede efter synderen. (Vi har 500)

Det var sq en sjat Tonnybrandt.*G*

Ja, og det er kun på hovedsiten *s*
Faktisk viste det sig at være en bruger der var logget på hjemmefra gennem vpn, der forårsagede vores problemer igår, så han blev smidt af og fik forbud mod overhovet at åbne pc'en mere, før vi havde fixet den.

OK, bruger du messenger eller ICQ, så vi ikke spammer unødigt i indlæggene her?

Tak begge to!
Hvor finder ejg eventloggen?

Stinger fandt to vira og jeg vil nu gå igang med at opdatere windows.

Godt.*S*
Har du tjekket alle maskiner?

Højreklik Denne computer og vælg Administrer. Her kan du så se event loggen. Der er tre kategorier og du skal kigge efter i system.

Fromsej >> Jeg sender mit messenger brugernavn til din email iaften. Er på arbejde lige nu :-)

det skal lige siges at man ikke kan se andet end event id 3071 hvis jeg husker rigtigt i event loggen .. det er ikke muligt at læse mere da event loggen også bliver fucked i win2k når den er ramt af w32blaster

loadet >> Vi kunne se rpc-fejlene på de 2000 maskiner der fik lukket servicen men som ikke blev inficeret. Faktisk var der slet ingen fejlmeddelelser på skærmen på de maskiner. Kun i event-loggen. Der var ingen maskiner der blev inficeret med ormen, så jeg har ikke set en eventlog fra en sådan.

ja men kunne i vælge properties for events .. for symptomer beskrevet på bugtraq,full disclosure m.m og folk på eksperten har ikke kunnet