[XP][Virus] RPC Shutdown maar geen MSblaster?

[THPSrulez]

Ik heb last van de symptomen van het MS Blaster virus, namelijk svchost errors en een Remote Procedure Call shutdown na 60 seconden. Het systeem start zeer traag op, en zodra ik de mogelijkheid krijg om binnen windows te gaan werken komt het bekende venstertje op om te melden dat na 60 seconden het systeem word afgesloten.
Het vreemde is dat ik geen enkel proces zie runnen dat wijst op de aanwezigheid van het MSblaster/LuvSan virus.
Daarnaast heb ik op dit moment SP2 geinstalleerd, waardoor ik de patch niet kan installeren. Zodra ik die start krijg ik namelijk de melding dat ik een servicepack heb geinstalleerd die nieuwer is dan de update, waardoor de installatie niet verder kan gaan.
Als de computer is geboot heb ik niet de tijd om een uitgebreide virusscan te doen, dus die mogelijkheid valt zowieso al af, maar de speciaal voor Blaster/LuvSan gemaakte tools detecteren ook niets. Het handmatig verwijderen van het virus lukt niet, ik kan met regedit en met msconfig geen entries vinden in de lijst met op te starten programma's die wijzen op de aanwezigheid van het virus. Ook het uitschakelen van de RPC service wil niet, nadat ik in het services scherm op de RPC service de rechtermuisknop indruk en "Properties" kies, gebeurt er niets.
Ik krijg het dus niet voor elkaar om er vanaf te komen, heeft iemand hiervoor nog suggesties?

Ik draai Windows XP Pro (Engels) met SP2

[Dennis]

Met SP2 ben je sowiezo beschermd tegen het blastervirus.

[m3gA]

doe eens shutdown -a in de run
dan stopt hij iig met rebooten
en wat heb je in de eventlog staan?

[THPSrulez]

Dennis schreef op vrijdag 07 januari 2005 @ 14:44:
Met SP2 ben je sowiezo beschermd tegen het blastervirus.

Daar ging ik ook vanuit ja, maar dat maakt het alleen maar vreemder...
Want wat veroorzaakt nou die errors, en die RPC Shutdown...

[magnifor]

Wat je misschien kan doen is eerst SP2 verwijderen en daarna de patch installeren en daarna weer SP2 installeren.

[TRON]

Opstarten in veilige modus en dan nogmaals scannen.

[pasta]

Hmm, het rebooten lijkt meer op een Sasser variant. Welke virusscanner gebruik je? En is deze ook up-to-date? Probeer het anders eens met een andere virusscanner, zoals Kaspersky (mits je deze niet gebruikt).

[ Voor 31% gewijzigd door pasta op 07-01-2005 14:48 ]

[THPSrulez]

TRON schreef op vrijdag 07 januari 2005 @ 14:47:
Opstarten in veilige modus en dan nogmaals scannen.

In veilige modus is het probleem ook aanwezig

Hmm, het rebooten lijkt meer op een Sasser variant. Welke virusscanner gebruik je? En is deze ook up-to-date? Probeer het anders eens met een andere virusscanner, zoals Kaspersky (mits je deze niet gebruikt).

Norton Antivirus 2004, en die is voor zover ik weet helemaal up-to-date, alleen is de laatste full system scan een eeuwigheid geleden. Maar die kan ik vanwege die 60 seconden ook niet echt uitvoeren.

Maargoed, ik probeer het nu wel met shutdown -a

edit:

Er is op een of andere manier geen leven te krijgen in Norton Antivirus, en bij het installeren van Kaspersky krijg ik een installshield script error of iets dergelijks...
Ben nu de sasser fix van Symantec aan het draaien, en draai zo nog wel de blaster fix, maar ik denk niet dat het veel gaat helpen...
Word toch een nieuwe install ben ik bang, maar nu kan ik alles tenminste backuppen (dankzij shutdown -a)

Bedankt allemaal voor de reacties, ik probeer het nog wel eventjes verder...

[ Voor 28% gewijzigd door THPSrulez op 07-01-2005 15:15 ]

[Verwijderd]

Het vreemde is dat ik geen enkel proces zie runnen dat wijst op de aanwezigheid van het MSblaster/LuvSan virus.

Er hoeft niet noodzakelijk zulk een proces te runnen, het gaat om de data(stream) die de overflow genereert.

Baris Ka schreef op vrijdag 07 januari 2005 @ 14:47:
Wat je misschien kan doen is eerst SP2 verwijderen en daarna de patch installeren en daarna weer SP2 installeren.

Dat heeft geen nut.

pasta schreef op vrijdag 07 januari 2005 @ 14:47:
Hmm, het rebooten lijkt meer op een Sasser variant.

Sasser 'veroorzaakt' een bufferoverflow in lsass.exe, niet in RPC(=svchost.exe).

Heb je niet toevallig zeer recentelijk nieuwe software geïnstalleerd? Of software geüpdate?

[THPSrulez]

Verwijderd schreef op vrijdag 07 januari 2005 @ 15:20:
[...]

Er hoeft niet noodzakelijk zulk een proces te runnen, het gaat om de data(stream) die de overflow genereert.

[...]

Dat heeft geen nut.

[...]

Sasser 'veroorzaakt' een bufferoverflow in lsass.exe, niet in RPC(=svchost.exe).

Heb je niet toevallig zeer recentelijk nieuwe software geïnstalleerd? Of software geüpdate?

Het enige wat ik me kan herinneren is dat ik gisteren Xfire heb geinstalleerd...
Ik kan overigens geen bestanden kopieren naar een andere locatie op een of andere manier, dus dat backuppen word ook lastig.

[Verwijderd]

Het ligt aan Xfire, bekend probleem.
Eerste query uit de search die nuttig leek: [rml][ XP] RPC error terwijl ik SP2 heb geinstalleerd*[/rml]

[pasta]

Ah, kijk.. Hier komen we ergens mee. Probeer Xfire eens te oninstalleren, zie ook deze draad op het XFire forum. Verder kan je nog hier kijken.

[THPSrulez]

Verwijderd schreef op vrijdag 07 januari 2005 @ 15:27:
Het ligt aan Xfire, bekend probleem.
Eerste query uit de search die nuttig leek: [rml][ XP] RPC error terwijl ik SP2 heb geinstalleerd*[/rml]

Hartstikke bedankt! Dit is precies mijn probleem, dus ik gooi nu netlimiter en Xfire eraf, en dan hoop ik dat het probleem verholpen is.

edit:
Het is gelukt!

[ Voor 5% gewijzigd door THPSrulez op 07-01-2005 15:32 ]