Hallo Leute!

ich habe aber noch eine Frage: Also, bei mir war der wurm auch. dann habe ich ihn für kurze zeit deaktiviert! dann habe ich den patch von microsoft installiert, der hat aber glaube ich nichts geholfen. dann habe ich mit einem virenscanner (Link in diesem Threard) per internet die msblast.exe entfernen lassen! jetzt geht auch alles wieder, aber jedesmal wenn ich msconfig öffne, steht da noch msblast.exe da!! was soll das?ß ich habe auch schon das remove-tool verwendet! was nun??

BITTE HELFT MIR!!

Hm, McAfee hat (als einziger Scanner?) den Wurm ohne Sig-Update erkannt...:

</font><blockquote>Zitat:</font><hr />Scan engine v4.2.60 for Win32.
Virus data file v4283 created Aug 06 2003
Scanning for 77927 viruses, trojans and variants.

[...]

F:\MALWARE\MSBLAST\DESKTOP\msblast.exe\msblast.exe ... Found virus or variant Exploit-DcomRpc !!!
Please send a copy of the file to Network Associates </font>[/QUOTE]Es gibt aber inzwischen ein weiteres Update mit korrekter Erkennung + Entfernung. [img]smile.gif[/img]

nein, ich glaube das der scheiß noch irgendwo ist, oder so! sonst würde da ja gar nichts mehr dastehen!

BITTE HELFT MIR!!!!!!!

@ wirenscanner1588

Hast einen msblast Task im Taskmanager ?

Diesen Prozess mal beenden und nochmal das RemovalTool laufen lassen oder die Datei per Hand löschen.

Domino

irc: server quakenet join windows und smt-x nach dem update fragen.

vorher aber msbast aus dem autostart kicken und windows/system32 msbast.exe in aaawmsbast.exe umbenennen, dass macht den unschädlich. Dann das update machen und den key + aaamsbast.exe löschen

Und wenn es _nur_ der Registry-Eintrag (-&gt; msconfig) ist, kannst du diesen einfach von Hand löschen (vielleicht ist das Removal-Tool noch nicht ganz ausgereift...) [img]smile.gif[/img]

wie mache ich das von hand?? ich will nicht,das ich was falsch mache! das remove-tool habe ich schon drüberlaufen lassen! die datei selber ist ja schon gelöscht, patch installiert usw. ich glaube da ist noch irgendwo was versteckt. ich lasse noch mal meinen mcaffee virenscanner durchlaufen!!


HILFE!!!!!!!!!!1

wirenscanner1588


Ruhe bewahren....


Hast du einen Task "msblast.exe" im Taskmanager ?


Domino

nein, im task nicht! aber wenn ich msconfig öffne, steht da noch da msblast.exe Software/Microsoft/Windows/Current Version/Run

was bedeutet das?? aber bei mir im task läuft keine solche datei und der pc fährt auch nicht mehr einfach herunter! es ist quasi alles in ordnung! aber mich regen diese scheiß restdateien oder was das ist auf! wie bringe ich die weg??

msblast selber habe ich ja schon entfernen lassen!

HHHHHHIIIIIIIIIILLLLLLFFFFFFFFFFFEEEE!!!!!!!!! [img]graemlins/headbang.gif[/img] [img]graemlins/headbang.gif[/img] [img]graemlins/headbang.gif[/img] [img]graemlins/headbang.gif[/img]

Nabend

Ich war auch einer der Betroffenden.

Bin wie folgt vorgegangen.

1. Firewall dazwischen schalten und der MSblast.exe einen Riegel davor schieben.

2. Windows Updates nochmal aktualisiert

3. Msblast in der MSConfig deaktiviert

4. Msblast.exe aus dem System32 Ordner gelöscht

Scheint weg zu sein die Datei mal schauen was die Zeit bringt. Allerdings scheint das Programm/Virus/Wurm/was auch immer, Systematisch IP's abzuklappern. Und wird sich wohl auf diesen Wege verbreiten. Was mich etwas verdutzt das er ohne Probleme an der Firewall vorbei gekommen ist.

Schlimm das es Leute gibt die anscheind nichts besseres zu tun haben als son mist herzustellen.

Gruss Wayfarer

Welches Betriebssystem verwendest du ?

Ich schätze da ist nur noch der Registryeintrag und den bekommen wir weg....locker bleiben, dein System ist ja nicht mehr infiziert.

Schau mal hier :
http://www.trendmicro.com/vinfo/viru...WORM_MSBLAST.A
Wenn du das nicht verstehst (englisch) melde dich.


Domino

</font><blockquote>Zitat:</font><hr /> - Die Datei beendet den Windows-eigenen Dienst "Remoteprozeduraufruf (RPC)" und die Datei svchost.exe und bringt somit das System zum Neustarten. </font>[/QUOTE]Imho passiert das immer dann, wenn der Exploit des RPC-Dienstes _nicht_ funktioniert hat, d.h. statt des 'erfolgreichen' Ausführens des schädlichen Codes wird der Dienst 'aus Versehen' abgeschossen, was Windoof zum Neustart veranlasst.

Hat also wahrscheinlich nix mit der Wurm-Datei selbst zu tun...

das englisch kapiere ich nicht, sorry! kannst du mir das erklären?? hauptsache, ich bringe den scheiß restlos weg!

DAnke das du mir so hilfst!!!

[img]smile.gif[/img]

Hallo!

Edit: Erstmaßnahme:
- Patch installieren von dieser Seite (herunterscrollen bis zu Patch availability):
http://www.microsoft.com/technet/tre...n/MS03-026.asp


Wichtige Hinweise:

1.) Nicht auf eine Personal Firewall verlassen.
2.) Stattdessen Patches einspielen (Windowsupdate, siehe oben).
3.) Zudem Dienste beenden: http://kssysteme.de

Punkt 3 ist auch zu empfehlen für jene, denen jetzt keine Zeit mehr für ein Update bleibt, weil der PC zu oft abstürzt. Die Konfiguration wäre dann bei getrennter Internetverbindung durchzuführen!

Für XP der Direktlink:
http://kssysteme.de/s_content.php?id...01-31-3823#xp2

Für Win 2K:
http://kssysteme.de/s_content.php?id...2-3414#w2kmsds

Dann rebooten, und ein Windowsupdate einspielen.

Viel Erfolg bei der Entfernung und Verbannung.
Edit: Letzliche Entfernung vom PC mit Stinger:
http://vil.nai.com/vil/stinger/

Das entbindet aber nicht von Einspielen der Patches und dem Beenden von Diensten!

[ 12. August 2003, 07:48: Beitrag editiert von: mmk ]