Win2k Pro - svchost crashes & dial-up/rundll problemen

[Asteroid9]

Ik heb sinds een paar dagen op meerdere W2k systemen soortgelijke problemen.
Het betreft 3 W2k systemen, 2 met SP2 en 1 met SP4
1 is net vers geinstalleerd, de anderen draaien al wat langer.

Na het opstarten werkt alles goed, als ik een dial-up verbinding opzet krijg ik vaak max. 1 minuut later een svchost.exe crash
De cpu time van meerdere processen blijft dan hangen (system, smss, iexplore.exe)
Binnen internet explorer werkt dan 'open in new window' niet meer, nog een extra instance opstarten werkt wel!
De dial-up verbreken lukt dan ook niet meer, ik krijg de properties niet meer in beeld en het systeem reageert niet meer (rundll blijft hangen).
Vaakt helpt alleen een harde reboot, de event viewer meld daarna helemaal niets...

Dit kan wel eens voorkomen, maar op 3 systemen gelijktijdig?
Ik heb de indruk dat bij deze systemen de problemen pas begonnen toen ze in mijn thuisnetwerk werden gehangen.
Virusscanners zijn up-to-date en ik kan niks vinden.
Het lijkt verband te houden met het aanroepen van tcp/ip, maar ik ben het spoor bijster...

[[Jules]]

Asteroid9 schreef op 13 August 2003 @ 19:58:
Virusscanners zijn up-to-date en ik kan niks vinden.

Zijn NIET up to date

-en het staat er zo duidelijk-

[Verwijderd]

Ik heb het ook thuis, alleen ga ik via kabel op internet. Zodra svchost eruit ligt heb ik regelmatig verkeer via kabel en kan ik bijna niks meer doen.

*edit* zie het al in andere topic *edit*

[ Voor 13% gewijzigd door Verwijderd op 13-08-2003 20:46 ]

[Verwijderd]

Zie ook: Verwijderd in "RPC crash/shutdown 'vraag bak'"

Svchost problemen kúnnen met Blaster/RPC samenhangen. Regelmatig verkeer kan duiden op poortactiviteiten die samenhangen met het zoeken naar nog onbesmette computers... Controlleer eerst of dat aan de hand is en check je logfiles en welke processen allemaal actief zijn.

[ Voor 34% gewijzigd door Verwijderd op 13-08-2003 20:51 ]

[Asteroid9]

Zijn NIET up to date

Nou, als ik het over de virusscanner heb: Sophos AV August 2003 met ide's van 13-8-2003 / 13:25 ...
Goed, er zit een paar uur tussen!

Het lijkt inderdaad Blaster/RPC gerelateerd te zijn, maar zeker ben ik nog niet.
Sophos detecteert nog steeds niks, wel kunnen de probes op zich tot crashes leiden - ook zonder daadwerkelijke infectie.

En inderdaad: mijn hardwarematige firewall is momenteel buiten werking, ik zal de softwarematige (yuck!) eerst eens even gaan aanscherpen.
GoT bevat meer info over dit onderwerp dan de Google-search, ik ga even verder zoeken, thanks so far!

[Rafe]

Scan anders voor de zekerheid met Symantecs removal tool: http://securityresponse.s...er.worm.removal.tool.html

[Tweeker]

Als ik eerlijk mag zijn, heb ik wat dat betreft zeer slechte ervaringen met Sophos. Virussen van een jaar oud die toch geinstalleerd worden ondanks sophos.

Dit is een persoonlijke ervaring en ik heb er nu 8 maanden mee gewerkt in een business omgeving.

[Tweeker]

Ik ben gisteren 6 uur bezig geweest om onze server weer stabiel te krijgen... alles was geblokkeerd en de patch geinstalleerd, maar omdat die rotte poort 135 open bleef crashte hij toch omdat de RPC server dood ging --> reboot. Mijn bas eindelijk toch zo ver gekregen om a la minute een hardware oplossing er tussen te stoppen i.p.v. ISA. Wat je zegt door de probes crashed hij al, terwijl het virus niet geinstalleerd word door het patchen van de server.

[Joen]

Dat je svchost crashed hoeft niet per se t virus te zijn. Er kunnen nl. zowieso verkeerde instructies naar de RPC worden gestuurd waardoor dat spul crashed. Het is een lek, niet zo zeer direct een virus, maar blijft wel gevaarlijk!
Het virus MBlaster (of ook wel Lovesan genoemd) maakt alleen dankbaar gebruik van dat lek.

Verwijderd schreef op 13 augustus 2003 @ 20:48:
Zie ook: Verwijderd in "RPC crash/shutdown 'vraag bak'"

Lees dat idd ff, staat alels heel duidelijk uitgelegd

[Joen]

Ik heb de patch geinstalleerd en onderstaande poorten dichtgetimemrd voor buitenaf (voor mn interne netwerk niet) en tot nu toe nog geen problemen weer gehad.
De poorten: 135,136,137,138,139,4444,69,445,593

[Joen]

code:

1,[13/Aug/2003 21:56:31] Rule 'RPC Lek': Blocked: In UDP, 80.138.184.215:1028->localhost:137, Owner: SYSTEM
1,[13/Aug/2003 21:58:35] Rule 'RPC Lek': Blocked: In TCP, 81.202.240.167:3580->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:11] Rule 'RPC Lek': Blocked: In TCP, 81.202.138.178:3341->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:12] Rule 'RPC Lek': Blocked: In TCP, 81.203.250.56:3152->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:14] Rule 'RPC Lek': Blocked: In TCP, 81-202-138-178.user.ono.com [81.202.138.178:3341]->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:14] Rule 'RPC Lek': Blocked: In TCP, 81-203-250-56.user.ono.com [81.203.250.56:3152]->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:23] Rule 'RPC Lek': Blocked: In TCP, 81.203.147.197:3102->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:26] Rule 'RPC Lek': Blocked: In TCP, 81-203-147-197.user.ono.com [81.203.147.197:3102]->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:38] Rule 'RPC Lek': Blocked: In TCP, 81.203.23.160:4248->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE
1,[13/Aug/2003 22:01:41] Rule 'RPC Lek': Blocked: In TCP, 81-203-23-160.user.ono.com [81.203.23.160:4248]->localhost:135, Owner: D:\WINNT\SYSTEM32\SVCHOST.EXE

Zomaar ff een stukje uit mn firewall-log. Nog genoeg mensen die t lek hebben blijkbaar. En in dit geval t virus toevallig ook hebben denk ik.

[Verwijderd]

JeroenM_tbs schreef op 13 August 2003 @ 22:24:
Dat je svchost crashed hoeft niet per se t virus te zijn. Er kunnen nl. zowieso verkeerde instructies naar de RPC worden gestuurd waardoor dat spul crashed. Het is een lek, niet zo zeer direct een virus, maar blijft wel gevaarlijk!
Het virus MBlaster (of ook wel Lovesan genoemd) maakt alleen dankbaar gebruik van dat lek.

Mwhoa, niet echt dankbaar...
Dit doet echt niet veel, tis lastig en daar blijft het bij.

Nu zullen er ongetwijfeld een heel stel mensen hun systeem patchen, maar wat voor de mensen die met een tool zijn geïnfecteerd?
De exploit mag dan misschien wel 'weg' zijn, maar de backdoor(s) die geïnstalleerd zijn hebben geen exploit nodig om te kunnen werken..

Als die backdoor dan ook nog eens aan code injection doet, heeft zelfs de daarna geïnstalleerde firewall geen idee wat er aan de hand is.(maw: die ziet dat niet)

[Asteroid9]

Okay, ik ben er nu aardig uit...
De betreffende systemen waren inderdaad niet geinfecteerd, een ander systeem aan het LAN wel!
Stomweg vergeten, niet mijn systeem...
Met extra firewall-rules en analyse kon ik hem vinden...
Goed, systeem opgeschoond en probleem opgelost.

In elk geval kunnen deze problemen dus ook puur door het proben komen, een firewall of de MS patch voorkomen de probe ook.
Ik zal m'n freesco systeempje alvast configureren om te gaan routeren als m'n Demon verbinding klaar is.
fwcontroll er op en rules aanmaken, waar zo'n 386 wel niet goed voor is!

Nog even over Sophos: hele goede ervaringen mee, al jarenlang zakelijk gebruiker.
Snel, efficient, goede support en snelle updates.
Wel mikken ze op de zakelijke gebruiker en zijn updates voor prive-gebruik een drama, zakelijk een paar taken schedulen en je bent klaar!

Thanx once again!

[Compubiter]

Toch RPC dus, voor verdere vragen maar verder in dat topic . Mooi dat het opgelost is .