MSblaster igen

prøv disse værktøj.

Removal tools
EuroTrust har lavet fire værktøjer til at fjerne ormene Mimail, Blaster, Sobig-F og Gaobot-F.

Fjern W32.Mimail
Fjern W32.Gaobot-F.worm
Fjern W32.Sobig-f.worm
Fjern W32.blaster.worm

http://www.virus112.dk/

hvis du er interesseret kan jeg godt forsøge at sende et par andre removaltools over mail - så kan du evt. prøve om de gavner. Så mangler jeg bare en mailadresse...

Du skal have en der kan tjekke hijackthis ud for dig for før er den ikke væk

husk når den er fjernet at hentet alle updates til din windows og sørg altid for at have din firewall og antivirus program opdataret

Du har fået besøg af blaster ormen

1. Klik start og klik kør
2. Skriv i feltet : shutdown -a

så genstarter den ikke mere

luk først Dcom http://grc.com/dcom/
Kør det, tryk på fanebladet "DCOMbobulate me" tryk på "Disable DCOM" og genstart
læs mere om dcom her : http://www.spywarefri.dk/tipsogtricks.htm#DCom


Windows har nogle huller, som blaster og andre virusser angriber igennem,
de kan lukkes ved at hente samtlige opdateringer på windows update


Hent alle opdateringerne på windowsupdate :
http://v4.windowsupdate.microsoft.com/da/default.asp


Så er der lukket af for yderligere angreb af blasterormen,


Derefter skal vi fjerne ormen manuelt, da hverken blasterfix eller stinger tager den mere..

For at løse problemet skal du hente 2 programmer.

Først spybot : http://www.spywarefri.dk/vaerktoj.htm#spybot
direkte link : http://download.com.com/3000-2144-10122137.html?part=104443&subj=dlpage&tag=button

Installer og kør Spybot, opdater online, scan, alle filer den har fundet, der er røde skal markeres, tryk så på afhjælp valgte problemer, derefter genstarter du

Derefter hijackthis : http://www.spywarefri.dk/vaerktoj.htm#hijackthis
direkte link :         http://www.webattack.com/get/hijackthis.html
den udpakker du og kører Hijackthis, scan, save log og kopier logfilen herind, så kigger vi på den.


DU MÅ IKKE FIXE NOGET SELV. NÅR VI HAR TJEKKET LOGGEN IGENNEM FORTÆLLER VI DIG HVAD DER SKAL SLETTES...


Manual for installering af hijackthis:
http://www.spywarefri.dk/hijackthis.man.htm

Disse steps blev anbefalet som hjælp sidst Blaster raserede:


14-08-2003: Indtil nu er der identificeret 3 versioner af W32/Blaster ormen. Alle 3 udnytter Microsofts DCOM RPC-sårbarhed til at kompromittere Windows, samt at boprette en bagdør på systemet som angribes.

Der er rapporteret om 3 versioner af W32/Blaster ormen, som udnytter DCOM RPC-sårbarheden i Windows (MS03-026).
Alle versioner af ormene foretager sig følgende:
- scanner på TCP-port 135,
- benytter en TFTP server som lytter på UDP-port 69 til at overføre filer til den angrebne maskine,
- installerer en bagdør som lytter på TCP-port 4444,
- overfører og kører en kopi af ormen for at angribe flere sårbare maskiner, og
- iværksætter et Denial of Service angreb mod windowsupdate.com efter d. 15. august.

Ormene rammer Windows 2000, Windows XP, Windows NT og Windows server 2003.

Navnene på de filer som ormen kopierer til det angrebne system varierer:
W32/Blaster: benytter sig af "MSBLAST.EXE"
W32/Blaster.B: benytter sig af "PENIS32.EXE"
W32/Blaster.C: benytter sig af "TEEKIDS.EXE"

For mere detaljeret hjælp og automatisk rensning af systemet, se din antivirus-leverandør's hjemmesider.

Her følger en sammenfatning af de vigtigste trin fra CERT-CC's anvisninger for Windows XP. Vejledningen tager sigte på W32/Blaster (MSBLAST.EXE), men kan også anvendes ved inficering af W32/Blaster.B (PENIS32.EXE) og W32/Blaster.C (TEEKIDS.EXE):

1) Tag computeren af netværket.

2) Stop "msblast.exe" processen med Task Manager:
Tryk Ctrl-Alt-Delete
Klik på "Jobliste" knappen
Vælg "Processer" fanen
Marker "MSBLAST.EXE"
Højre klik på musen og vælg "Afslut Process" i menuen, svar "Ja" til advarsels-dialogboksen.

3) Slet filen med navnet "msblast.exe" i systemet:
Start -> Søg -> Efter filer eller mapper
Søg efter "MSBLAST.EXE"
Højre klik på filen og slet den.

4) Genstart maskinen og forbind den med netværket.

5) Installer programrettelsen fra Windows Update:
Følg linket til Windows Update og følg instruktionerne


For flere detaljere i fremgangsmåden til at rense en Windows XP, se medfølgende link til CERT-CC's beskrivelse.

Metoden til rense andre Windows systemer kan variere og det tilrådes at læse vejledningerne som de enkelte antivirus-leverandører har publiceret.
Vi gør i denne forbindelse opmærksom på, at W32/Blaster kan kendes under flere navne (feks. W32/Lovsan.worm, Worm_MSBlast, etc.) afhængig af antivirus-leverandøren.

arlet -->

Logfile of HijackThis v1.97.7
Scan saved at 18:00:36, on 26-11-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\Messenger\msmsgs.exe
C:\WINDOWS\System32\scvhost.exe
C:\WINDOWS\System32\wpabaln.exe
C:\Documents and Settings\Thomas\Skrivebord\FixBlast.exe
C:\Programmer\Norton AntiVirus\navapsvc.exe
C:\Programmer\Internet Explorer\iexplore.exe
C:\DOCUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.250\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hyperlinks
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmer\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe
O4 - HKLM\..\Run: [NAV CfgWiz] C:\PROGRA~1\NORTON~1\Cfgwiz.exe /R
O4 - HKLM\..\Run: [ccApp] C:\Programmer\Fælles filer\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programmer\Fælles filer\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmer\Messenger\msmsgs.exe" /background
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {19E28AFC-EAE3-4CE5-AC83-2407B42F57C9} (MSSecurityAdvisor Class) - http://download.microsoft.com/download/0/5/c/05c905f4-dd30-427d-a3de-373c3e5552fc/msSecAdv.cab?1069863243750
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Ja, det er blaster.

Tjekker den lige igennem, slet ikke noget imens

Der var en del snavs:
Du skal nu til at i gang med at fixe. Men først skal du lige have noget instruktion. Allerførst skal du slå systemgendannelse fra. Hvis du ikke ved hvordan du gør det så kig her: http://www.spywarefri.dk/virus.htm#alle derefter skal du åbne hijackthis. Du får herunder nogle filer som du skal fixe, det du skal gøre er at sætte en vinge ud for alle disse filer. IKKE FIXE endnu. Når du har gjort det så lukker du alle andre vinduer ned, det er meget vigtigt at det eneste vindue som er åbent er HijackThis vinduet. Husk også at lukke dette vindue når du har markeret filerne. Nu må du fixe. Klik på Fix chekede. Efter fix skal du genstarte din computer.
Her er de filer, du skal fixe :


O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe
O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe


Derefter Genstarter du i fejlsikret tilstand(Fejlsikret tilstand kommer du i ved at trykke på <F8> når maskinen starter op, lige inden den begynder at indlæse Windows.) Find følgende fil i Stifinder og slet den:


C:\WINDOWS\System32\scvhost.exe


Derefter genstarter du og sender en ny log herind, for at se om vi har fået den helt ren.
Først når din log er endelig godkendt, må de aktiver din systemgendannelse igen.

Takker aRleT  :) ...
Points'ne er dine

Det var da rart at kunne hjælpe

HoV...  :)