Sasser infectie of Boot.ini verkloot

[Ducksy88]

De computer van mijn pa is er vanmiddag mee opgehouden nadat hij een programma heeft gedownload vanaf de Planet-Downloads site. Hiermee kon ie z'n scherm tijdens het laden van XP veranderen. Maar nu. Hij heeft het geinstalleerd, herstart de computer maar deze boot opnieuw zodra het veranderde boot-scherm in beeld komt, en dit herhaalt zich telkens weer. Opstarten in Save-Mode of met 'Last known good configuration' gaat ook niet, een reboot komt telkens weer.

Hij bellen met planet, mssn dat zij ut probleem kende, maar nee volgens hun is de computer geinfecteerd met een vorm van Sasser. Maar ik las op de Symantec site dat Sasser juist voorkomt dat de computer uitgezet kan worden/rebooten.

Quote: "Uses the AbortSystemShutdown API to hinder the attempts to shut down or restart the computer" ~(Sasser B)~

Maarnu hebben wij de recovery disk gerund, met behoud van eigen bestanden, maar het verrotte apperaat wil maar niet opstarten. Weet iemand of het gaat om een Sasser, een Boot bestand wat dusdanig is verneukt of dat het iets anders is.

En als het gaat om een Sasser infectie, hoe kan ik dan de Symantec patch runnen op die computer als hij geen Windows laad. In DOS lijkt mij maar hoe kom ik daar tijdens het opstarten?

[ Voor 5% gewijzigd door Ducksy88 op 04-05-2004 22:33 . Reden: Removal tool removed alle versies, niet maar een. ]

[Verwijderd]

Vanaf de cd opstart kiezen voor repair (R) en je hebt een optie om je bootmenu te herstellen ik meen fixboot probeer die eens

[Ducksy88]

Dus het is een verneukt bootbestand en geen Worm?
Want bij planet waren ze er zeer overtuigd van dat het om Sasser ging, dus ik vraag me nu af welke van de twee het is...

En als blijkt dat het wel om een worm gaat, hoe haal ik die dan veilig weg? Op dit gebied weet ik geen fuck dus plz help...

[Miki]

Ducksy88 schreef op 04 mei 2004 @ 22:28:
Dus het is een verneukt bootbestand en geen Worm?
Want bij planet waren ze er zeer overtuigd van dat het om Sasser ging, dus ik vraag me nu af welke van de twee het is...

En als blijkt dat het wel om een worm gaat, hoe haal ik die dan veilig weg? Op dit gebied weet ik geen fuck dus plz help...

Argh!!

Keyboardcowboy hou op met loze info geven!!

@topicstarter lees eens de hele mooie sticky door van Schouw. De kans is groot dat het hier om een sasser variant gaat maar ook een agobot of een combinatie van deze twee.

Daarnaast is ook dit weer een gebeuren van eigenschuld dikke bult.

[rml][ XP/2K] LSASS.EXE foutmelding? Lees dit![/rml]

[ Voor 5% gewijzigd door Miki op 04-05-2004 22:32 ]

[Verwijderd]

Met het sasser kun je nog gewoon in windows komen zeker in de veilige modus want dan word er helemaal geen virus opgestart en kan ie dus ook niks doen.
Ook wel erg toevallig dat hij dat tooltje net heeft gedraaid.

[Verwijderd]

Zo'n programma, verandert het kernel bestand van WindowsXP. Waarschijnlijk begint de bestandbeveiliging te mekkeren. Als windows een niet orgineel (door microsoft goedgekeurde ) systeembestand vind gaat deze opnieuw booten. Het beste is idd. om met de windows cd de boel te repairen.

Zelf heb ik ook een ander boot logo. Maar dit progje maakt netjes een nieuwe opstart optie aan. Bij het opstarten kan ik dus kiezen uit WindowsXP original en WindowsXP Bootscreen. Welk progje het was weet ik niet precies.

[Ducksy88]

Miki schreef op 04 mei 2004 @ 22:31:
[...]


Argh!!

Keyboardcowboy hou op met loze info geven!!

@topicstarter lees eens de hele mooie sticky door van Schouw. De kans is groot dat het hier om een sasser variant gaat maar ook een agobot of een combinatie van deze twee.

Daarnaast is ook dit weer een gebeuren van eigenschuld dikke bult.

[rml][ XP/2K] LSASS.EXE foutmelding? Lees dit![/rml]

Okay, het is dan wel mijn pa's eigenschuld, maar is er dan nog iemand die mij kan helpen.

Als het dan om zo'n Agobot gaat (of combinatie van beide) hoe kan ik dan zonder dat ik in Windows kan komen, die Agobot herkennen, vaststellen en vooral verwijderen. Ik heb op jouw advies die sticky doorgelezen maar je kan mij netzogoed een Hebreeuws boek geven, daar snap ik net zo weinig van, met probes op poort blalblabla.

Weet iemand een concrete oplossing voor mijn probleem? BvD

[Miki]

Ducksy88 schreef op 04 mei 2004 @ 22:43:
[...]


Okay, het is dan wel mijn pa's eigenschuld, maar is er dan nog iemand die mij kan helpen.

Als het dan om zo'n Agobot gaat (of combinatie van beide) hoe kan ik dan zonder dat ik in Windows kan komen, die Agobot herkennen, vaststellen en vooral verwijderen. Ik heb op jouw advies die sticky doorgelezen maar je kan mij netzogoed een Hebreeuws boek geven, daar snap ik net zo weinig van, met probes op poort blalblabla.

Weet iemand een concrete oplossing voor mijn probleem? BvD

Hier op GoT verwacht men dat men zelf ook het nodige onderzoekt.
Enige wat ik je nu kan aanraden is door via de windows xp installatie te booten te kiezen om de installatie te repareren. Als bruikbaar commando kun je fixboot proberen. Mocht dit werken ga dan na een herstart een kaspersky antivirus trial downloaden en een gratis firewall zoals zonealarm free. Update kaspersky en scan je hele bak op virussen.

Werkt de reparatie niet dan zit er niks anders op dan een verse XP installatie!
Volgende keer maar de automatische windows update aan laten staan (of zelf updates downloaden)en gebruik maken van een antivirus en een firewall


Voor de windows installatie cd heeft GoT ook weer een mooie handleiding:
Problemen met booten, hoe kan je ze oplossen.

[ Voor 9% gewijzigd door Miki op 04-05-2004 22:51 ]

[Verwijderd]

Miki schreef op 04 mei 2004 @ 22:31:
[...]


Argh!!

Keyboardcowboy hou op met loze info geven!!

@topicstarter lees eens de hele mooie sticky door van Schouw. De kans is groot dat het hier om een sasser variant gaat maar ook een agobot of een combinatie van deze twee.

Daarnaast is ook dit weer een gebeuren van eigenschuld dikke bult.

[rml][ XP/2K] LSASS.EXE foutmelding? Lees dit![/rml]

Dat dit eigen schuld dikke bult is zie ik ook wel maar daar heeft hij weinig aan.
Zou je mischien uit kunnen leggen wat je bedoelt met loze info? Het enige wat ik zeg is dat ie een fixboot kan proberen wat je zelf later herhaalt als optie