[blaster worm] Verwijderen?

[Quniac]

Na van de tu delft een VPN server van cisco geinstalleerd te hebben (die niet werkte) kreeg ik last van de blaster worm. Ik heb deze met verschillende tools geprobeerd te verwijderen (Symantec via planet.nl oa). Dit werkte niet, want ze zeiden allen dat er geen worm gevonden was.

Ik heb mijn eigen computer even van het netwerk afgehaald tot het weer op orde is, maar ik heb bij iemand anders de WinXP patch gedownload en geinstalleerd, ook hierna bleef het terugkomen.

De stappen van blaster verwijderen van tweakers.net heb ik ook geprobeerd, ook dat werkte niet.

Ik had trouwens MCafee firewall en virusscan draaien..

Kan het zijn dat er een nieuwe(re) variant is, die niet meer met de oude tools verwijderd kan worden?

[bonzz.netninja]

tja, natuurlijk " kan" dat het zijn.
hoe ben je er van overtuigd dat je blaster hebt?

[Sumuhtsop]

boot op in *save mode*, zoek op msblast* en wis alles wat je tegenkomt

[Quniac]

omdat ik het RPC server afsluit schermpje krijg, dat typerend was voor blaster, toch?

60 seconds encounting...

deze kan ik wel afsluiten met shutdown.exe -a

[/edit] hoe kan ik booten in savemode? f8 indrukken toch?

[ Voor 16% gewijzigd door Quniac op 10-10-2003 09:55 ]

[Sumuhtsop]

jah net na je bios scherm F8

[Aphelion]

blaster veroorzaakt dat schermpje.. maar kan dus ook meerdere oorzaken hebben

[Quniac]

oke zal ik ff proberen zodra ik thuis ben..

[Quniac]

Met rebooten in safe mode kan ik geen msblast* vinden, ook geen *blast* files die er fout uitzien.

Kan het een andere worm zijn (removal tools voor sven, sobig heb ik al uitgevoerd.)

Een probleem dat hier nog bijkwam is trouwens dat mijn startbalk onderin niet uitlaadt, hij blijft hangen na het icoontje van HPprinterservice, hierna krijg ik een zandlopertje. Als ik een bepaald programma (naam even vergeten) afsluit dan kan ik hem wel weer gebruiken, maar zie ik nog niet alle icoontjes van dingen die aanzijn...

[under-world]

kijk eens of je in de taskmanager Mslaugh.exe of Teekids.exe ziet staan (varianten)

[blackd]

Quniac schreef op 10 October 2003 @ 09:52:
Ik had trouwens MCafee firewall en virusscan draaien..

Je hebt een firewall draaien en toch kan die blaster worm binnenkomen op jouw systeem? Leg mij dat eens uit ...

Hoe up to date is jouw virusscanner dan? Deze zou hem best wel kunnen detecteren. Als je even in Software Algemeen zoekt, kom je een groot blaster topic tegen waar wat tools staan om te kijken of je nog vulnerable bent voor de worm.

[Quniac]

mja ik snap het ook niet

mijn virusscanner is McAfee PRo en is minder dan 2 weken geleden geupdate en heeft geen melding gegeven van nieuwe updates.

Ik heb in het grote blaster topic gekeken, maar ik wil hem eerst weghebben, daarna komt wel of ik niet meer kwetsbaar ben, zodra ik weer op mn eigen pc internet heb (wat nu dus ook weg is)...

Daarnaast zou mijn provider (DTO/BabyXL) die ook een firewall hebben draaien het blasterwormvirus al tegen hebben moeten houden, daar zit dus OOK iets fout

[Tweeker]

www.sarc.com
directe link http://www.sarc.com/avcen...er.worm.removal.tool.html

zoekt en gij zult vinden

Heb je exact alle stappen gevolgd? ik heb een klant gehad die dit ook gedaan heeft, maar het ook niet weg kreeg.... update je virus definities, start in veilige modus, volg de aanwijzingen en draai de virusscan in veilige modus...

vooral de veilige modus is van belang! Was de klant bij ons vergeten...

[ Voor 9% gewijzigd door Tweeker op 10-10-2003 14:23 ]

[wildhagen]

Dit hoeft niet per sé Blaster te zijn, het kan ook Nachi zijn (zie http://vil.nai.com/vil/content/v_100559.htm)

Check eens of je in de \WINDOWS\System32\WINS-directory of daar files met de naam SVCHOST.EXE of DLLHOST.EXE staan (soms komen ze alletwee voor). Zo ja: dan heb je Nachi. Maar dan snap ik niet waarom je virusscanner hem niet afving, want McAfee detecteert hem al een maand ofzo...

[blackd]

Quniac schreef op 10 October 2003 @ 14:22:
mja ik snap het ook niet

Dan zou ik maar eens door je firewall rules heenfietsen en kijken wat er met de poorten 135-139 en 445 gebeurt op die VPN. Is File & Printer sharing daar nodig overigens?

[ Voor 9% gewijzigd door blackd op 10-10-2003 14:28 ]

[intoxicated]

I&T -> SA

[Quniac]

Hoe kan ik mijn virusdefinities updaten zonder internet?

svchost.exe heb ik indd, die vraagt ook altijd om toestemming en die geef ik m niet mag ik die verwijderen?

Hoe kan ik in de MCafee firewall door de rules heenfietsen? Ik kon dit niet vinden.. Ik kan wel instellen " block all / filter / allow all" (staat op filter)

[yeroen1979]

veilige modus is niet altijd van belang. Als je in het taakbeheer de verdachte processen stopt kun je `m ook met succes verwijderen.

En er zijn idd twee varianten van de blaster worm en dus ook twee patchfiles op de site van microsoft.

Quniac schreef op 10 October 2003 @ 14:29:
Hoe kan ik mijn virusdefinities updaten zonder internet?

svchost.exe heb ik indd, die vraagt ook altijd om toestemming en die geef ik m niet mag ik die verwijderen?

Hoe kan ik in de MCafee firewall door de rules heenfietsen? Ik kon dit niet vinden.. Ik kan wel instellen " block all / filter / allow all" (staat op filter)

dat updaten gaat helaas moeilijk zonder internet.


svchost.exe is volgens mij gewoon een belangrijk proces in windows. Verwijderen lijkt me daarom ook geen goed plan. Iemand??


Firewall op filter zetten, dan krijg je zelf de mogelijkheid om aan te geven welke programma's wel en welke geen gebruik van het netwerk/internet mogen maken.

[ Voor 65% gewijzigd door yeroen1979 op 10-10-2003 14:35 ]

[Quniac]

Ja het in taakbeheer de verdachte processen stoppen lukt me wel, en als dat RPC schermpje komt kan ik die ook wel afsluiten met shutdown.exe -a (zoals ik al zei..)

[blackd]

Quniac schreef op 10 oktober 2003 @ 14:29:
Hoe kan ik mijn virusdefinities updaten zonder internet?

Los downloaden van een andere pc, op removable media zetten en dan installeren.
http://download.com.com/3000-2239-10233340.html?tag=lst-0-2

Ik zie geen 'McAfee pro' in onderstaande lijst dus geen idee welke versie je er mee bedoelt.
http://download.mcafee.com/us/updates/updates.asp

yeroen1979 schreef op 10 October 2003 @ 14:31:
svchost.exe is volgens mij gewoon een belangrijk proces in windows. Verwijderen lijkt me daarom ook geen goed plan. Iemand??

svchost is een belangrijk proces ja.
Echter, deze staat in %systemroot%\system32, en niet in de map die wildhangen aangeeft.
Als je de link van wildhagen volgt (http://vil.nai.com/vil/content/v_100559.htm) staat daar dus dat het virus zichzelf kopieert naar de WINS map in system32, en dat deze ook svchost heet.

[ Voor 39% gewijzigd door blackd op 10-10-2003 14:38 ]

[wildhagen]

Quniac schreef op 10 October 2003 @ 14:29:

svchost.exe heb ik indd, die vraagt ook altijd om toestemming en die geef ik m niet mag ik die verwijderen?

Hangt er maar net vanaf welke. Er is namelijk ook een geldige SVCHOST.EXE, maar die staat in WINDOWS\System32 en niet in System32\WINS.

yeroen1979 schreef op 10 October 2003 @ 14:31:

En er zijn idd twee varianten van de blaster worm en dus ook twee patchfiles op de site van microsoft.

Niet precies, de patch MS03-039 (Q824146) patched beide bugs, je hoeft MS03-026 (die van Blaster) dus niet ook nog eens te installeren.

[bladeoner112]

heb je de hele registry doorzocht?¿? welke versie heb je van mcafee....ik heb thuis namelijk Enterprise 7.0 en die vond hem met 1 hand op z'n rug

[_fool]

"I say we take off and nuke the entire site from orbit... It's the only way to be sure"

Ga voor de quick'n'dirty oplossing: smeer er een nieuwe windows op.

[blackd]

_fool schreef op 10 October 2003 @ 14:41:
Ga voor de quick'n'dirty oplossing: smeer er een nieuwe windows op.

Alsof die wel gepatched is

[bladeoner112]

nou 'quick' nieuwe windows erop zetten met al de benodigde instellingen is niet zo snel als je denkt mannetje

[Quniac]

Ik heb met RegCleaner de registry doorzocht en opgeschoond, en ik heb met de mcafee cleantool alle overbodige temp inet files enzo verwijderd.

Ik heb McAfee Pro 7.0

Je bedoelt windows installatie repareren? Ik heb weinig zin om bestanden/documenten/programma's kwijt te raken, want ik heb dinsdag een eindpresentatie die ik moet voorbereiden dit weekend

[edit] ff gezocht naar svchost, maar daar heb ik er maar 1tje van in mn system32 dir.. (en niet in system32/wins dus).. daarnaast draait deze wel 4x ofzo, 1x als lokale service, 1x als netwerkservice en 2x als SYSTEM.. dit lijkt me wat overbodig.

Zodra ik de lokale en de netwerkservice afsluit is mijn taakbalk weer bruikbaar

[ Voor 33% gewijzigd door Quniac op 10-10-2003 14:59 ]

[LuCarD]

Maurice schreef op 10 October 2003 @ 09:58:
blaster veroorzaakt dat schermpje.. maar kan dus ook meerdere oorzaken hebben

Hij heeft gelijk niet ieder probleem word door een virus, veroorzaakt. Helemaal omdat je zegt dat je blaster patch hebt geinstalleerd. Ben ik toch eerder geneigd te denken dat het een ander probleem is.

( geen idee welke trouwens... )

[bladeoner112]

Quniac schreef op 10 October 2003 @ 14:43:
Ik heb met RegCleaner de registry doorzocht en opgeschoond, en ik heb met de mcafee cleantool alle overbodige temp inet files enzo verwijderd.

Ik heb McAfee Pro 7.0

Je bedoelt windows installatie repareren? Ik heb weinig zin om bestanden/documenten/programma's kwijt te raken, want ik heb dinsdag een eindpresentatie die ik moet voorbereiden dit weekend

je kan je bestanden/documenten/programma's ook tijdelijk op een 2e hd zetten

[bladeoner112]

ik denk aan een infectie maar dat zou niet kunnen want dat zou je virusscan moeten detecteren

[blackd]

Even terugkomen op een oudere vraag:

Quniac schreef op 10 October 2003 @ 14:29:
Hoe kan ik in de MCafee firewall door de rules heenfietsen? Ik kon dit niet vinden..

Ik heb ook geen idee hoe dat zou moeten. Ik ken die firewall niet, maar ik neem toch aan dat die firewall niet zomaar alles doorlaat, en dat er bepaalde regels opgesteld zijn (adhv je gedrag) wat wel en wat niet mag. Die moet je toch ergens kunnen zien cq aanpassen.

[bladeoner112]

blackd schreef op 10 October 2003 @ 14:47:
Even terugkomen op een oudere vraag:

[...]

Ik heb ook geen idee hoe dat zou moeten. Ik ken die firewall niet, maar ik neem toch aan dat die firewall niet zomaar alles doorlaat, en dat er bepaalde regels opgesteld zijn (adhv je gedrag) wat wel en wat niet mag. Die moet je toch ergens kunnen zien cq aanpassen.

Ik heb ook geen ervaring met die mcafee firewall maar als je een goeie firewall wilt gebruiken zou ik voor zonealarm kiezen

[Verwijderd]

Systeemherstel uitschakelen.

[Verwijderd]

ff naar beheren---->services---->services-----remote procedure call----->eigenschappen, en dan serive opnieuw opstarten!

Vervolgens ff FIXBLAST van symantec.nl halen

en ff laten draaien

[Quniac]

Hij wil trouwens mn firewall helemaal niet meer opstarten, en mn geluid is ook weg (niet dat op DIT moment het belangrijkste is, maar ok)

als het goed is staat systeemherstel uit, zal het nog ff checken

Kan ik alleen mn windowsmappen verversen en al mn programma's en instellingen behouden? de documenten en mp3z enzo staan al op een andere schijf. Ik wil mn programma's niet kwijt (want die heb ik nodig voor die presentatie)..


sark: dat had ik dus gedaan, maar die symantec tool zegt dat ik niet besmet ben.

[edit] ik ga nu ff al mn belangrijke files van c: naar f: halen en er indd een nieuwe install van XP overheen gooien, als t dan nog niet goed is mogen ze me afschieten ~:) ik weet t dan ook niet meer..

allemaal bedankt voor t meedenken, mocht iemand nog wat weten, ik zal ff blijven checken want ben nog wel ff bezig met backuppen

[ Voor 37% gewijzigd door Quniac op 10-10-2003 15:18 ]

[Quniac]

mmm, help

hoe kan het dat ik na een volledige format, zonder verbinding met internet, zonder enige andere dingen dan XP geinstalled te hebben nog STEEDS last heb van die RPC fout? dit mag toch niet mogelijk zijn

[freddifish]

ik had meteen na de schone install van win2003 webserver (wel aan internet achter corporate firewall) ook de RPC shutdown symptomen. Service op restart gezet en mcafee tool gerund maar niks gevonden. Ook geen verdachte processen in taakbeheer. Maar 2k3 was alleen om te testen en heb ik maar weer eraf gegooid, toch wel vaag eigenlijk...

[Verwijderd]

Quniac schreef op 10 oktober 2003 @ 21:51:
mmm, help

hoe kan het dat ik na een volledige format, zonder verbinding met internet, zonder enige andere dingen dan XP geinstalled te hebben nog STEEDS last heb van die RPC fout? dit mag toch niet mogelijk zijn

Heb je die Svchost.exe nou al gebanned voor connectie met de buitenwereld? want dat is de oorzaak.

Remote Procedure Call (RPC) --> C:\WINDOWS\system32\svchost -k rpcss


Heb je trouwens ook helemaal niet nodig om te internetten.

En niet te vergeten, daarna nog even goed updaten.

[ Voor 5% gewijzigd door Verwijderd op 11-10-2003 00:13 ]

[My-life]

Het lijkt me niet een Blaster variant, maar wat anders. Wrom denk je dat het Blaster is?

[Quniac]

ik neem aan dat ik dit moet uitvoeren? ik zal het ff proberen, bedankt!

Remote Procedure Call (RPC) --> C:\WINDOWS\system32\svchost -k rpcss

ik nam dat aan omdat ik dat schermpje met blaster associeer

Ik durf m pas na mn presentatie weer aan internet te hangen, dit moet echt ff eerst af

Bedankt iedereen!

[Verwijderd]

Quniac schreef op 11 oktober 2003 @ 11:26:
ik neem aan dat ik dit moet uitvoeren? ik zal het ff proberen, bedankt!

Remote Procedure Call (RPC) --> C:\WINDOWS\system32\svchost -k rpcss

Dat hoef je helemaal niet uit te voeren, dat nam ik even over als voorbeeld omdat dit bij de services staat. En omdat jij steeds last had van die shutdowns liet ik je even zien dat RPC door dat bestand wordt geregeld.

[ironx]

Als het Blaster is, kijk dan hier: Symantec
Geldt voor Blaster, Blaster.A, .B, .C, .D, .E en .F versies.

Kan ook dat het Welchia is (ook veel voorkomend), kijk dan hier: Symantec

[ Voor 32% gewijzigd door ironx op 11-10-2003 14:04 ]

[Timo]

AArgh ik lees dit draadje door en in de eerste pagina staat wat van het nachi virus
ik heb het hoe is dat er af te krijgen
staat in wins en dan svghost

[Boegie]

fooker schreef op 11 oktober 2003 @ 16:29:
AArgh ik lees dit draadje door en in de eerste pagina staat wat van het nachi virus
ik heb het hoe is dat er af te krijgen
staat in wins en dan svghost

De vrolijke vrienden van VirusAlert.nl weten raad.
Welchia=nachi btw

[ Voor 4% gewijzigd door Boegie op 11-10-2003 16:45 ]

[Quniac]

alle symantec tools had ik dus gehad...:)

nieuw probleem vandaag gesignaleerd.

scvhost.exe ging geheugen vreten, toen ie aan 400 mb ram zat heb ik m maar afgesloten, vroeg me al af waarom mn comp zo traag ging ineens..

hoe kan dat?

[Verwijderd]

als je het virus dus nog steeds hebt dan raad ik stinger.exe aan van mcafee.
http://vil.nai.com/vil/stinger/

good luck

zorg wel dat je BEIDE dcom gerelateerde beveiligings Updates hebt geinstalled

[ Voor 161% gewijzigd door Verwijderd op 11-10-2003 20:58 ]

[wildhagen]

Verwijderd schreef op 11 October 2003 @ 20:43:

zorg wel dat je BEIDE dcom gerelateerde beveiligings Updates hebt geinstalled

Alleen de laatste (MS03-039) is genoeg, die patched beide bugs. Dat zegt Microsoft zelf ook al in het betreffende Security Bulletin:

The fix provided by this patch supersedes the one included in
Microsoft Security Bulletin MS03-026.

[Verwijderd]

Quniac schreef op 11 October 2003 @ 18:40:
alle symantec tools had ik dus gehad...:)

nieuw probleem vandaag gesignaleerd.

scvhost.exe ging geheugen vreten, toen ie aan 400 mb ram zat heb ik m maar afgesloten, vroeg me al af waarom mn comp zo traag ging ineens..

hoe kan dat?

Wat een ellende was dat, heb ik ook gehad. Ging hier zelfs over de 2GB heen .
Het was gekomen nadat ik Netlimiter had geïnstalleerd, en was verholpen met de installatie van SP1. Foutje dus.

[Quniac]

update heb ik gedraaid, stinger heb ik gedaan.

still same shit

[stamp]

dubbel

[ Voor 95% gewijzigd door stamp op 11-10-2003 22:45 ]

[Verwijderd]

Quanica: dat is dan jammer voor je... wat een gezeik
ik heb er dus verder geen idee van...wel veel geluk toegewenst.. you gonna need it..LOL

edit: wildhagen: ok.. wist ik nie

[ Voor 16% gewijzigd door Verwijderd op 12-10-2003 04:09 ]

[Brothar]

bitdefender al geprobeerd ?

[Quniac]

bitdefender, defends your every bit?

als dat t was, ja


dat afsluit schermpje van 60 seconden, heeft dat iets met blaster te maken?

ik krijg het niet meer automatisch, maar wel als ik al die svchost.exe toepassingen afsluit. heb ik de worm dan nog wel of "hoort" dit?

[Verwijderd]

hoeveel processor snelheid nemen die svchost.exe toepassingen in beslag? ik bijvoorbeeld heb er 3 lopen.. dit is trouwens normaal hoor. Svchost zijn een soort DLL services, heb je dat virus nu nog steeds dan? Herkend Stinger hem niet?

Wat heb je hier allemaal staan? => HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost

[ Voor 20% gewijzigd door Verwijderd op 12-10-2003 11:48 ]

[Verwijderd]

Idd, je meot scvhost niet afsluiten, als je dat doet krijg je zoiezo het schermpje met 60 sec encounting

[Verwijderd]

securityresponse.symantec.com --> removal tools --> w32.blaster.worm

[Verwijderd]

Als je SVchost.exe afsluit dan kan je verder niks meer op internet dat weet ik wel.