Sasser a.k.a LSA Shell

[Verwijderd]

Ik heb dus last van de sasser worm a.k.a LSA shell. Mijn virusscanner pakt hem dus niet (kaspersky) maar ik merkte omdat zonealarm begon te mekkeren dat "LSA Shell (export version)" toegang probeerde te krijgen tot het proces van zonealarm, waarbij ik gelukkig op [Deny] kan drukken.

Als ik dan bij program control van zonealarm [kill] kies voor LSA Shell krijg ik de standaard foutmelding van "uw pc word over 60 seconden afgesloten". Ik heb al een Sasser removal tool geprobeert, maar zonder succes...

Iemand die nog een oplossing weet?

[The_Greater]

Via het command prompt "shutdown -a" uitvoerden.
En probeer het via een online virusscanner(housecall) je pc eens te scannen.

[ Voor 15% gewijzigd door The_Greater op 25-12-2005 14:40 ]

[fong06]

gebruik deze prog om het te verwijderen
STINGER
http://download.nai.com/products/mcafee-avert/stng259.exe

[Alex)]

Heb je de Microsoft Malicious Software Removal tool al eens geprobeerd? Krijg je maandelijks via Automatische Updates aangeleverd

[Verwijderd]

Alex schreef op zondag 25 december 2005 @ 21:15:
Heb je de Microsoft Malicious Software Removal tool al eens geprobeerd? Krijg je maandelijks via Automatische Updates aangeleverd

HEHE, nu is het wachten op de vraag 'Automatische updates?'

[Outerspace]

Er word ook gesproken over dit probleem in de Windows Operating Systems - FAQ
Heb je die ook al doorgenomen?

[ Voor 8% gewijzigd door Outerspace op 26-12-2005 12:53 ]

[Alex)]

Het Microsoft® Windows® Hulpprogramma voor verwijderen van schadelijke software (KB890830) vind je hier.

[alt-92]

* alt-92 vraagt zich af hoeveel moeite je tegenwoordig wel moet doen om een worm van anderhalf jaar oud nu nog op je systeem te krijgen...

Dan moet je toch serieus
1) geen updates hebben geinstalleerd sinds mei 2004 ofzo
2) geen firewall actief hebben
3) open en bloot met bestandsdeling aan op internet hangen
4) nog nooit je virudsscanner geupdate hebben.

[ Voor 45% gewijzigd door alt-92 op 25-12-2005 21:27 ]

[Alex)]

Hehe, idd, zo oud worden die wormen meestal niet, kijk maar naar Blaster, heeft nu niemand meer last van...

[usgaap]

De vraag is niet hoelang het virus al in omloop is maar hoe hij er vanaf komt!

De tips kun je opvolgen om in de toekomst je beter te beschermen. Heb je al geprobeerd Windows in veilige modus te starten zonder netwerkmogelijkheden (zonder Systeemherstel). En dan alle vage processen te stoppen en Kaspersky nogmaals te laten lopen (en mischien een andere anti-virus programma zoals NOD32).

[alt-92]

usgaap1976 schreef op zondag 25 december 2005 @ 21:35:
De vraag is niet hoelang het virus al in omloop is maar hoe hij er vanaf komt!

Standaard methodes volgen die al anderhalf jaar bekend zijn?

offline (geen netwerk link) houden, cleanen met een uptodate scanner, offline de patch installeren, firewall aan en dan de rest weer updaten?

[usgaap]

Je hebt gelijk, hij is beter af met jouw tips.

[pasta]

offtopic:
Inderdaad, ik vind het redelijk stupide eigenlijk dat je geïnfecteerd wordt door een worm waar al meer als anderhalf jaar een patch voor is.

Maar goed, ik ben hier om te helpen, niet te oordelen, dus ik wijs je nog even op de honderden threads die er hier op GoT al voorbij zijn gekomen over dit onderwerp zijn langs gekomen, alsmede Google's zoekresultaaten. Dus update je bak even, voer een volledige scan uit (zorg er ook voor dat je AV up-to-date is qua definities) en dat moet het probleem oplossen.

[Verwijderd]

fong06 schreef op zondag 25 december 2005 @ 14:43:
gebruik deze prog om het te verwijderen
STINGER
http://download.nai.com/products/mcafee-avert/stng259.exe

Geprobeerd.... geen resultaat =(

Alex schreef op zondag 25 december 2005 @ 21:15:
Heb je de Microsoft Malicious Software Removal tool al eens geprobeerd? Krijg je maandelijks via Automatische Updates aangeleverd

Geen infecties volgens dat ding

Alex schreef op zondag 25 december 2005 @ 21:23:
Het Microsoft® Windows® Hulpprogramma voor verwijderen van schadelijke software (KB890830) vind je hier.

Idem dito

BackSlash32 schreef op zondag 25 december 2005 @ 21:25:
/me vraagt zich af hoeveel moeite je tegenwoordig wel moet doen om een worm van anderhalf jaar oud nu nog op je systeem te krijgen...

Dan moet je toch serieus
1) geen updates hebben geinstalleerd sinds mei 2004 ofzo
2) geen firewall actief hebben
3) open en bloot met bestandsdeling aan op internet hangen
4) nog nooit je virudsscanner geupdate hebben.

Updates doe ik regelmatig.... Firewall, check. Bestandsdeling heb ik uit staan. Anti Virus update gaat automatisch.

usgaap1976 schreef op zondag 25 december 2005 @ 21:35:
De vraag is niet hoelang het virus al in omloop is maar hoe hij er vanaf komt!

De tips kun je opvolgen om in de toekomst je beter te beschermen. Heb je al geprobeerd Windows in veilige modus te starten zonder netwerkmogelijkheden (zonder Systeemherstel). En dan alle vage processen te stoppen en Kaspersky nogmaals te laten lopen (en mischien een andere anti-virus programma zoals NOD32).

Been there... Done that

[MarcoL]

Kan mischien ook zijn dat je iets van een vitaal onderdeel van je computer afsluit waardoor je dat bericht krijg?
Ik heb dat nm ook wel eens voor elkaar gekregen. Dacht iets met svchost.exe afsluiten.

[Verwijderd]

Svchost.exe draait bij mij gewoon... Maar als ik dus ook in zonealarm [kill] aangeef voor LSA Shell krijg ik de melding van "Uw pc word in xx seconden afgesloten"

[Helmet]

start > uitvoeren > shutdown -a

en svc is geen virus btw

[flo_]

AVG Antivirus is ook een aanrader... *knip*

[ Voor 59% gewijzigd door pasta op 27-12-2005 14:59 . Reden: Dat kwam nogal warez-ig tot mij over, legale zaken kan je ook net zo goed op het forum posten ;) ]

[sjhgvr]

Uninstall Zone Alarm ?
Sorry hoor, maar ik begin te geloven dat je helemaal geen Sasser op je systeem hebt.
Ikzelf heb de vaagste dingen met Zone Alarm meegemaakt.
Dat ding blokte bij mij cookies toen ik de popup killer functie aangezet had. (Cookie blocking stond UIT).
Ook vage logs, programma's die naar ip addressen connecten waar ze geen reet mee te maken hadden, maar een pogramma een paar regels verder wel met dat address..
Vage dingen allemaal.

Kben hier niet om ZA(P) af te kraken ofzo, maar als 3 virus(worm)verwijderaars die zogenaamde Sasser van je niet eens zien, denk ik toch echt dat er iets anders aan de hand is.

[ Voor 3% gewijzigd door sjhgvr op 26-12-2005 21:23 ]

[MarcoL]

Verwijderd schreef op maandag 26 december 2005 @ 21:05:
Svchost.exe draait bij mij gewoon... Maar als ik dus ook in zonealarm [kill] aangeef voor LSA Shell krijg ik de melding van "Uw pc word in xx seconden afgesloten"

Dus als ik het goed begrijp sluit jij zelf de LSA Shell of tewel lsass.exe/svchost.exe
Ik vind het niet gek dat als jij een systeem-kritieke service afsluit hij dan wil gaan herstarten....