Вирус - [Архив]

[UZER]

Taiss22
MSBlast не заражает файлы на твоем компьютере.
Попробуй установить заплатку и пользоваться файрволом.
Ссылка на заплатку и методы решения проблемы ты найдешь здесь:
http://forum.oszone.net/topic.cgi?forum=4&topic=2561

[Taiss22]

Симптомы такие. Во время работы в интернете с "Opera 7.11" (ОС Windows XP Pro Rus) несколько раз появлялось окно с надписью: "Система завершает работу. Сохраните данные. Все не сохраненные данные будут утеряны. Отключение системы связано с NT AUTHORITU\SYSTEM. Необходимо перезагрузить Windows поскольку произошла непредвиденная остановка службы Удаленный вызов процедур (RPC)". И идет отсчет времени (одна минута), по истечении которого ПК перезагружается. Во время поиска в реестре Windows (regedit) я обнаружил два два параметра "msblast" по адресу "HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603" и аналогичных два параметра по адресу "HKEY_USERS\S-1-5-21-839522115-1202660629-854245398-1003\Software\Microsoft\Search Assistant\ACMru\5603".
Очень похоже на то, что описано по указанной мне ссылке. Вот только спец. утилиты ничего не находят.  Может все-таки глюк?

[UZER]

Taiss22
Нет, врядли глюк. У меня было тоже самое. Излечил поиском по реестру по словам "blast", "mslaugh" и "penis".Во время работы в интернете с "Opera 7.11"Не обязательно Опера, любой браузер.
Кстати, окошко можно отключить, набрав "shutdown -a"

[rost]

Taiss22

Скачай утилиты снова, они обновились.
_ftp://ftp.kaspersky.com/utils/clrav.zip
_http://securityresponse.symantec.com/avcenter/FixBlast.exe

Ну как уже говорил UZER, используй файрвол и своевременно обновляй базы антивируса.

[Guest]

Доброго всем дня!
Похоже мой комп Вин 2000 Сервак словил одного из червей и никак не могу его вытравить. Касперский не находит, а clrav.com дает сбой дойдя до этого файла. Файл сам находится Documents &Settings\Administrator\LocalSetttings\Tepm\Temporary INternet files\content ie.5\89arwx6f. Странная папка и сам файл около 3 строчек названия переплетенных букв и цифр. Не могу ни удалить, ни переименовать, ничего.  Сlrav обрывается на нем и все.
Кстати почему на некоторые файлы clrav дает Access denied.
Спасибо....

[ArtemD]

запустите Internet Explorer
зайдите в меню "Сервис - свойства обозревателя" - раздел Временные файлы интернета - и нажмите кнопку "Удалить файлы".

[ArtemD]

новый червь, распостраняющийся через аску - если вы получили
сообщение со ссылкой (www.jokebox.biz/indeх.html :-)) LOL - ) (ссылка немного модифицирована, что сделать ее нерабочей! - ) ни в коем случае не открывайте - работает вирус JAVA_BYTEVER.A!
После заражения ваша ася начинает рассылать эту ссылку по контакт-листу
Если такое сообщение пришло от Ваших знакомых - скажите ему о возможном заражении.

[Guest]

Пробовал не получилось. ЭТот файл не реагирует ни на что. Пробовал через фар/коммандер, говорит что он имеет атрибут, я смотрел. Стоит archive, но сменить не могу.

[Blast]

Guest
Дело скорее в том что файл сидящий во временных интернета занят запущенным процессом, посмотри тем же фаром (F11 - список процессов) что там и напиши здесь

[Merson]

По работе прислали письмо, а в нем добавлено сообщение:

"Всем студентам! Зайди на сайт суперкинотеатра
Nescafe-IMAX получи 25% скидку на билеты
и бесплатную игру на игровых автоматах!
h t t p://r .mail. ru/cln 2208/ww w.nescafe-imaxcinema.ru/price_coupon.asp"

Позвонил, говорят это из инета к почте присоединяется. А как письмо открыл, OutPost сразу поймал файл Nhupdater.exe, в инет по нужде запросился. И каждый раз просится, как только какую папку открываю. Поисковиком нашел три файла с этим имям:

C:\WINDOWS\Prefetch\NHUPDATER.EXE-269FC1C1.pf 29кб
C:\Program Files\NavExel\NavHelper\v2.0.4\NHUpdater.exe 140кб
C:\Program Files\NavExel\NavHelper\v2.0.4\v2.0.4.cab (в кабе NHUpdater.exe) 140кб

В каталоге NavExel есть и длл и исталер и деинсталер и помощь в формате HTML. Помощь перевел - вроде для проверки URL из Exel. Все эти папки и фаилы созданы раньше, а пиф-файл сегодня, и у него постоянно меняется время создания на текущее. Может эта прога просто используется вирусом как транспортом?

Доктору Веберу (v4.31a) в нос и письмо тычу и эти файлы - не видит.
Может и не вирус это, а сбой?
Help..., если кто знает, или хоть свои предположения, совет.  

Ссылку загубил пробелами, чтоб ни влез кто случайно, а то будете благодарить потом...

[gf100]

поищи имя программы в реестре. очень похоже на вирус (троян). попробуй чем-нибудь вроде spybot'а.

[gf100]

если файл не занят программой/процессом, можно попровать войти админом, забрать файл себе (стать хозяином), после этого проставить атрибуты и удалить...

[Merson]

Как посмотреть реестр?

[UZER]

MersonКак посмотреть реестр?Пуск - Выполнить и пиши Regedit

[avax1]

посмотри в выполняемых задачах,
win.ini и в автозагрузке

[Guest]

Я сделал так. Переместил папку в другое место, открыл и удалил это злосчастный файл, вернул папку на место. Дальше все пошло как по маслу. Всем спасибо за участие. :)

[Merson]

Похоже с письмом просто совпадение по времени. Обычный спам. Пришел ответ на почту от Веба:

"ничего подозрительного в присланных файлах не найдено.
Эта программа может устанавливаться в составе условно-бесплатных
программ. Если она Вам мешает то удалите ее просто через
"Add/Remove Programs" в Control Panel."

А после того, как я снес эти неподозрительные, у меня комп заработал нормально. До этого перестали работать инет-ссылки из экселя. Я просто не связывал это с тем, что кто-то просился в инет. Приходилось их в Exel копировать как текст и вставлять в браузере. Теперь снова счелк - и в инете. И ни кто не просится в инет. Ведь там в файле помощи было сказано, что прога для обновления проверки URL в Exel. Класная подстава - сначала загубить выход по ссылкам из экселя, а потом предолжить выйти в инет, якобы обновиться именно по этой теме.
Что-то упало доверие к Веберу. Вот еслибы они заменили в своем письме слова "Эта программа..." на "Этот вирус..." , я бы сказал - они честные. Может поделитесь, кто чем вирей ловит.

[ArtemD]

обзор Алекса Экслера "Вирус через ICQ (http://www.exler.ru/reviews/26-02-04.htm)" в котором расписаны рекомендации по предотвращению заражения и ликвидации последствий заражения, раз уж заразились

[Vlad Drakula]

появилять проблемма.... :(

запускаю флешь гет.
трафик увеличивается до максимума
потом скорость флешь гета падает, но трафик не уменьшается...

вырубаю флешь гет...
а трафик по прежнему 100%
через некоторое время драфик падает до нуля, но не сразу!

отсюда появилось подозрение на вирус...

проанализировав статистику АТГАРД выяснил что у меня много входящего трафика на MySQLadmin.exe

убил его....

всеравно таже самая картина!

что вообще происходит и как с этим бороться?

[Blast]

Vlad Drakula
файервол стоит? если да, то какой процесс жрет трафик, если нет, то поставь и отследи злодея.