Avatar billede Bennysørensen Praktikant
22. august 2004 - 16:47 Der er 6 kommentarer og
1 løsning

Den dérsens Blaster Worm

..og ja, det hedder den ;o)

Jeg er ved at ordne min tantes maskine, og har gjort følgende:

- Lukket DCOM via http://grc.com/files/DCOMbob.exe
- Hentet SP1 og installeret den
- Kørt Stinger et par gange
- Installeret den nyeste sikkerhedsopdatering fra http://www.microsoft.com/danmark/security/bulletin/MS04-018-025.asp
- Taget en HiJack, der ser sådan her ud:

Logfile of HijackThis v1.98.2
Scan saved at 16:42:21, on 22-08-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Program Files\Trust\Ami Mouse Single Scroll\Amoumain.exe
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Documents and Settings\Wullf\Desktop\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.search.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ni.dk/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Tiscali Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {8EC18CE2-D7B4-11D2-88C8-006008A717FD} (NCSView Class) - http://130.228.229.67/ecwplugins/ncs.cab

...så er der mere jeg kan gøre, og skulle Blaster være fjernet & maskinen sikret mod den fremover?
Avatar billede arlet Juniormester
22. august 2004 - 16:51 #1
Ja, blaster og andet er væk fra computeren.

Bedre beskyttelse:

For at beskytte dig mod snavs har jeg lavet en sikkerhedspakke,
som du kan hente her : www.arlet.dk/pakke.htm

Meget vigtigt:
Hent Sp1 til Windows og IE samt alle kritiske opdateringer her:
http://v4.windowsupdate.microsoft.com/da/default.asp
Avatar billede serverservice Praktikant
25. august 2004 - 23:15 #2
->andersschroeder Her er de vigtige updates mod sasser og blaster + en ekstra.
Her er et link til nogle vigtige kritiske updates, som er kommer efter SP1 samlet i een pakkepakke på ca. 10 mb.(pr. okt. 2003)
http://www.microsoft.com/downloads/details.aspx?FamilyId=D531BF00-D7BE-48E3-ABCC-961602BD72C2&displaylang=da
Xp +w2k
http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx     Sasser updatefix
http://www.microsoft.com/downloads/details.aspx?displaylang=da&FamilyID=e70a0d8b-fe98-493f-ad76-bf673a38b4cf    Msblaster updatefix

Vil du have din log renset også?
Avatar billede Bennysørensen Praktikant
26. august 2004 - 14:54 #3
Øh, ja tak..jeg troede at arlet havde været igennem den?
Avatar billede serverservice Praktikant
26. august 2004 - 15:00 #4
nej det har han ikke, men jeg ser lige på den så.
Avatar billede serverservice Praktikant
26. august 2004 - 15:09 #5
Fixes:
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

hvis du ikke bruger office programlinie kan du med fordel disable den i opstart med msconfig fra kør:
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

Skal vi lige se den rene log sidste gang?
Avatar billede Bennysørensen Praktikant
26. august 2004 - 15:24 #6
Næ...maskinen er leveret tilbage efter rensning, så dét bliver svært. Det ligner nu heller ikke noget virus-eller ormestads du vil fjerne, så jeg vælger at lade dig dele point med arlet, men ikke at hente maskinen igen for at rense det sidste. Jeg synes ikke at Logitech plejer at få misbrugt mapper til vira etc.
Avatar billede serverservice Praktikant
26. august 2004 - 15:32 #7
Det sidste kan vi godt blive enige om , men det er ofte spyware udnytter allerede eksiterende mapper for at skjule identitet. og det er en kendt streng - så væk med den.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester