[NT4srv] Virus W32.HLLW.Fizzer@mm

[activeX1]

Hoi,

Ik heb op mijn werk een virus, genaamd W32.HLLW.Fizzer@mm. OS: Winnt4 server, met domino mailserver. Nu heb ik vandaag de virusdefinities geupdated, en ja hoor, virus gevonden in een hoop *.tmp bestanden, en een .nsf bestand. .nsf bestand verwijderd, computer gescand met de removal tool van symantec, no problems. De *.tmp bestanden waar een virus in zat, kon ik niet meer vinden. Opnieuw computer opgestart, opnieuw met de removal tool gescand, geen virussen aangetroffen.

Echter blijft Norton Antivirus zeggen dat er een virus zit in de tmp bestanden bv. c:\winnt\st628418.tmp en dat het bestand niet hersteld kan worden. Ga ik echter naar de windows directory zie ik het bestand wel staan, kan het niet verwijderen (file in use) en even later is het tmp bestand uit zichzelf weg. Vervolgens weer een melding van norton dat er een nieuw tmp bestand besmet is, dat verschijnt even in de verkenner en is ook zo weer weg.
Kortom: waarom geeft de removal tool geen virussen aangetroffen, en norton antivirus wel, en waarom zit het virus alleen in deze tmp bestanden.

Kan iemand mij helpen?

[Zwelgje]

je moet de removal tools ook draaien buiten het draaiende OS... niet als je in windows zelf zit

heb je geen boot floppy om op de serverpartitie te komen (die hopenlijk toch wel fat16 is....)

anders: schijf uitbouwen in een virussvrije computer en dan scannen buiten het OS om

[Verwijderd]

A: De removal tool is voor windows, als je kijkt naar description zie je duidelijk staan: terminates viral proces.
B: Het zou niet de eerste keer zijn dat Symantec removal tools niet fatsoenlijk hun werk doen. Eerste andere tool wat ik kon vinden:
ftp://ftp.europe.f-secure.com/anti-virus/tools/f-fizzer.zip
instructies: ftp://ftp.europe.f-secure.com/anti-virus/tools/f-fizzer.txt
C: Andere AV hebben de optie om na het scannen te rebooten waarbij automatisch de files worden verwijderd die dan niet toegankelijk zijn.

[Icey]

bootable norton cd, cd erin, pc aan, dan scant ie zonder het besturingssysteem te laden, als hij wilt beginnen krijg je de mogelijkheid om een diskette in te voeren met daarop nieuwste virus definities (eventjes checken in de handleiding).

nadeel: het duurt vrij lang, want hij scant echt alles...

[Zwelgje]

Icey schreef op 15 May 2003 @ 23:05:
bootable norton cd, cd erin, pc aan, dan scant ie zonder het besturingssysteem te laden, als hij wilt beginnen krijg je de mogelijkheid om een diskette in te voeren met daarop nieuwste virus definities (eventjes checken in de handleiding).

nadeel: het duurt vrij lang, want hij scant echt alles...

enige nadeel van die methode is dat als de TS ntfs heeft gebruikt als filesystem dat ie dan de virussen niet kan verwijderen..

[alt-92]

Jawel hoor, moet je alleen iets van 8 bootflops aanmaken

[Verwijderd]

Zoals al eerder gezegd, dat is allemaal niet nodig, een goede removal tool moet genoeg zijn.(Why zouden ze het anders een removal tool noemen?)

Nog een linkje: http://www.bitdefender.com/bd/site/downloads.php?menu_id=20#

[Zwelgje]

BackSlash32 schreef op 15 May 2003 @ 23:08:
Jawel hoor, moet je alleen iets van 8 bootflops aanmaken

oh ok, dan werkt het dus wel?

* Zwelgje maakt hier even een *mental note* van

ik gebruik nu gewoon een Windows XP preinstallation environment als bootcdrom. die kan ook ntfs lezen/schrijven... (wel CLI overigens maar toch)

[DJSmiley]

[rml][ Virus]? Nieuw? KAV en Norton niet herkend[/rml]


Ik had dat virus dus ongeveer voordat een viruskenner 'm uberhaupt kende


Anyway: Stelt niets voor, er is een tooltje dat dus gewoon de zut kan verwijderen.
Norton ff uitzetten, tooltje runnen en klaar.

http://www.bitdefender.co...hp?file=Antifizzer-en.exe

Op http://vil.nai.com/vil/content/v_100295.htm kun je zien wat ie allemaal doet.


Snap alleen niet hoe er op komt, je start toch geen wazige zut op server zelf?

[activeX1]

Bedankt voor alle reply's. Ik heb de tool van bitdefender gedownload en op de server laten runnen. Dan kan hij weer niets vinden. Ook de service die door het virus gestart wordt, kan ik niet vinden in de task manager. Echter mjin Norton Antivirus blijft het virus vinden in een aantal tmp files, en sinds vanochtend ook weer een mailfile (.nsf). De removal tool van f-secure kan niets vinden op mijn pc. Ook de registry entry's die het virus maakt kan ik niet vinden op mijn pc.

In reactie op een van de laatste reply's: nee, er wordt niets gestart op de pc. De pc stond de afgelopen week alleen maar te mailserveren, en waarschijnlijk is het virus zo binnengekomen.

Kortom: nog steeds virussen in temp files, die ik nu opeens niet meer kan vinden op de server??

[ Voor 12% gewijzigd door activeX1 op 16-05-2003 18:31 . Reden: reply ]

[gvdh81]

andere systemen ook gescand?

[activeX1]

Alle andere systemen zijn ook gescant, geen virussen aangetroffen

[Orion84]

installeer eens taskinfo (iarsn.com) daarmee kun je per file zien door welk proces het gebruikt wordt (ze waren toch in gebruik zei je?).

[activeX1]

Is het misschien mogelijk dat Norton Antivirus virussen blijft vinden in de mailfiles van users omdat er toevallig een virusmail naar deze persoon gestuurd wordt?
De server is namelijk een Domino mailserver. Alle mailfiles (.nsf) staan op de server. Als er dan toevallig een virusmail naar een user gestuurd wordt, staat deze virusmail dan eigenlijk op de server. Norton Antivirus herkend dit en geeft een waarschuwing. Dit zou misschien de aanwezigheid van virussen in de mailfiles verklaren. De virussen in de temp files blijft een raadsel, maar ik zal kijken door welke apps deze tempfiles worden gebruikt...