Printable View
Consigli per la rimozione:
Innanzitutto si deve scaricare una patch di windows (resa disponibile dal 28 aprile 04)
Se hai windows XP o Windows Xp SP1 clikka qui:
Se hai Windows 2000 SP2/3/4 clikka qui:
Se hai Windows Server 2003 clikka qui:
Ora dovete scaricare anche un tool di rimozione del virus e cioè:
Symantec Removal tool
Ora disabilitate il ripristino configurazione di windows xp seguendo questo link http://service1.symantec.com/SUPPORT...1?OpenDocument
Ora, una volta scaricata la patch di windows e il tool di rimozione, dovrete avviare il vostro sistema operativo in modalità provvisoria.
Una volta avviato in modalità provvisoria dovrete eseguire il tool di rimozione e solo dopo aver fatto finire la scansione del tool avviare la patch di windows.
Un consiglio, visto che ho combattuto con questo virus dal 1 maggio a stamattina, fate una scansione al vostro sistema operativo sempre in modalità provvisoria e cercare i seguenti files:
avserve.exe
avserve2.exe
scvhost.exe
Lsass.exe
e cancellateli.
Sarebbe opportuno anche cancellare questi files dal registro di sistema e anche cancellarli tramite un altro programmino HijackThis
ma scvhost.exe non è un componente di XP? :look:
no, lo è svchost. Scvhost è un virus.Citazione:
Originariamente postato da Mia_Wallace
ma scvhost.exe non è un componente di XP? :look:
ah, dimenticavo un'altra cosa, il virus crea dei files _up.exe in C:\windows\system32\ e in + crea un file (che ora non mi ricordo bene, win2.log si dovrebbe chiamare) che registra il vostro IP in c:\
qualche news: http://www.hwinit.net/modules/news/a...hp?storyid=436
Qualche link utile...
Antivirus Online
Norton
Panda Antivirus
TrendMicro
Free removal tools
Symantec
Panda Software
Lista applicazioni in startup di Windows
Lista applicazioni in startup di Windows
...:( da qualche minuto è stato scoperto un nuovo virus sempre Sasser, dopo SasserA, SasserB ecco SasserC
(ANSA) - ROMA, 3 MAG - Allarme rosso globale per il nuovo baco informatico Sasser, diffuso anche in Italia, specie nella variante B di questo virus. Soltanto domenica, rende noto l'azienda specializzata in sicurezza informatica Trend Micro Italia, era stato diffuso l'allarme di media entita' per la variante A ma e' stata segnalata anche la variante C. Il baco informatico, diffuso in tutto il mondo, specie in America Latina, in Europa e' presente dall'Olanda alla Grecia.
Virus: Mcafee, Rischio Medio Per w32/sasser.Worm.b
(ASCA) - Roma, 3 mag - Mcafee Avert (Anti-Virus Emergency Response Team), la divisione di ricerca antivirus di Network Associates, ha scoperto il primo worm auto-eseguibile che sfrutta la vulnerabilita' MS04-011 annunciata da Microsoft in aprile. Mcafee Avert ha elevato la valutazione di rischio a media per il worm W32/SASSER.WORM.B, conosciuto anche come Sasser.b, in seguito alla sua diffusione e alla sua capacita' di diffondersi senza il supporto dell'e-mail. Questo nuovo worm e' un programma auto-eseguibile che si propaga tramite la scansione degli indirizzi Ip casuali dei sistemi vulnerabili. Fino a oggi, Mcafee Avert ha ricevuto parecchi rapporti del worm che ha bloccato o che ha infettato gli utenti in parecchi continenti, anche se la maggior parte dei rapporti proviene dagli Stati Uniti. Il worm Sasser.b e' un worm auto-eseguibile che si propaga sfruttando la vulnerabilita' Microsoft MS04-011 (http://www.microsoft.com/technet/sec.../MS04-011.mspx). Lo scopo primario del worm e' propagarsi su quante piu' macchine vulnerabili possibile sfruttando i sistemi Windows senza le patch piu' recenti, dando loro la capacita' di eseguirlo senza richiedere alcuna azione da parte dell'utente. Una volta attivato, il worm si copia in una cartella della directory di sistema di Windows e aggiunge una chiave di registro che si avvia allo startup del sistema. Dopo essere stato eseguito, Sasser.b esplora gli indirizzi Ip casuali sulla porta Tcp 445 dei sistemi infettati. Quando ne ha trovato uno, il worm sfrutta il sistema vulnerabile generando uno script ed eseguendolo. Questo script da' alla vittima individuata le istruzioni per scaricare ed eseguire il worm dall'host infettato. Poiche' il worm effettua la scansione di indirizzi Ip random, analizza le porte Tcp a partire dalla 1068. Inoltre funge da server Ftp sulla porta Tcp 5554 e genera una shell remota sulla porta Tcp 9996. Informazioni e cure immediate per questo worm sono disponibili sul sito Network Associates Mcafee Avert all'indirizzo http://vil.nai.com/vil/content/v_125008.htm. Mcafee Avert suggerisce ai propri utenti di aggiornare i sistemi con i file Dat 4356 per proteggersi contro tutte le attuali minacce.
---
altre news:
http://www.repubblica.it/2003/g/sezi...er/sasser.html
http://www.ansa.it/fdg02/20040503130...300148278.html
http://www.ansa.it/fdg02/20040503130...30843_ass.html
Qualora non aveste il tempo di procedere con le operazioni descritte da Toni, prima che l'infame worm vi riavvii il sistema senza che abbiate scaricato e abilitato quanto necessario, al momento in cui inizia il countdown (ma anche prima, se non volete andare di fretta) andate su Avvio -> Esegui e scrivete shutdown -a. Questo comando impedirà il riavvio dovuto al crash del file lsass.exe, che di default provoca il riavvio del sistema in caso di errore. Non cancellate per nessuna ragione il file lsass.exe, perché è il file che contiene le informazioni sul vostro login di utente Windows.
Dopo aver avviato il comando sarete costretti a riavviare il PC "fisicamente" (una testata sul case, oppure tramite l'apposito tasto "reset", più efficace ma meno soddisfacente); tutto tornerà come prima all'avvio successivo.
Non formattate il PC, perché l'allarme lanciato dai provider non è così preoccupante. Semplicemente è un virus con altissima virulenza, ma non crea danni né modifica i files all'interno del PC.
Vi consiglio vivamente di scaricare il Sygate Personal Firewall, un semplice e gratuito firewall che risolverà il problema impedendo ai worm di questo genere di passare attraverso la porta da loro utilizzata.
Ah, un'altra variante del Sasser è chiamata Gaobot. Stessi sintomi, stesse armi per inculCarlo.
No!Citazione:
scvhost.exe
Lsass.exe
e cancellateli.
Quei due file sono file di sistema importanti!
Alcuni virus creano decoys, e file con questo nome messi in directory come \drivers o \win32 (quando in realtà non dovrebbero esserci quei file in quelle cartelle)
Prima di cancellare quei file, controllate che la loro lunghezza sia quella indicata nelle descrizioni dei vari virus
Appunto... cancellando quei files farete più danni del worm.
Comunque, scaricate il firewall che vi ho indicato: è aggiornato proprio per far fronte a questo tipo di worm, e l'efficacia è garantita. Da me :asd:
e invece no,Citazione:
Originariamente postato da Dreamstalker
No!
Quei due file sono file di sistema importanti!
Alcuni virus creano decoys, e file con questo nome messi in directory come \drivers o \win32 (quando in realtà non dovrebbero esserci quei file in quelle cartelle)
Prima di cancellare quei file, controllate che la loro lunghezza sia quella indicata nelle descrizioni dei vari virus
SVCHOST.exe non è un virus, il virus è SCVHOST.exe, badate bene alla V e alla C che nel file virus sono invertite.
Per il file Isass stessa cosa LSASS (o lsass come leggete dal taskmanager) non è un virus, lo è Isass (dove al posto della L c'è la I di Imola) ;) quindi fate attenzione.
io e dream siamo dislessici :asd:
:asd: vabbè cmq utilizzando il tool messo sopra di norton, vi fa tutto lui ;)Citazione:
Originariamente postato da Mia_Wallace
io e dream siamo dislessici :asd:
Toni grazie,ad ogni modo io avevo risolto in questo modo , ora a quanto pare sembra che non me ne riveli ne il norton aggiornato ne stinger ne trend micro basta?Mi posso fidare?
VAI SUL SITO
http://housecall.trendmicro.com/hou.../start_corp.asp
dove c'è scritto: "Please Select your Location:"
scegli "Italy" e clicca su go
si apre una nuova pagina e dopo un pò sulla pagina si sovrappone una finestra grigia con un lucchetto mi sembra...
devi cliccare su ok in fondo a questa finestra...
lui procederà ad un'installazione che richiede pochi minuti (si vede sullo schermo una barra di avanzamento, da 0% a 100%)...
terminata questa fase
ti troverai con la pagina "scan now"...
al centro della pagina c'è la gerarchia delle risorse del computer
spunta tutte le caselle di risorse del computer e poi clicca sul pulsante SCAN che si trova a destra
durante il processo troverà dei virus che ti chiedi se vuoi rimuovere
premi ok e vai avanti
ci sentiamo
Ad ogni modo scarica anche questa applicazione che ti elimina i virus più recenti,si aggiorna una volta al mese...si scarica
qui http://vil.nai.com/vil/stinger/
Anche l'antivirus NOD32 viene fregato??? :(
Comunque, io ho installato l'aggiornamento del 28 Aprile, speriamo che mi basti! ;)
Mai sentito parlare di Windows Update?!
Tenetelo sempre attivo... fa tutto lui... quando ci sono problemi vi scarica automaticamente le patches della Microsozz e tutto si risolve prima che si venga infettati dal viruz.
Come si dice...
Prevenire è meglio che curare ;)
Il virus è nato il 30 Aprile 2004, comunque l'aggiornamento di windows dovrebbe aver coperto la falla. Gli stronzoni che mettono in giro questa roba si basano sulla buglist ufficiale della Microsoft per trovare le falle, mica le scovano da soli... Ecco perché ne escono spesso dopo l'introduzione di nuovi update, e per lo stesso motivo li si dovrebbe scaricare immediatamente.Citazione:
Originariamente postato da psicoivan83
Comunque, io ho installato l'aggiornamento del 28 Aprile, speriamo che mi basti! ;)
Comunque, continuo a ribadire: firewall, firewall, firewall.
vero, firewall. come ha detto Iggy consiglio anche io Sygate Personal Firewall (o cmq quello di windows).Citazione:
Originariamente postato da Iggy
Il virus è nato il 30 Aprile 2004, comunque l'aggiornamento di windows dovrebbe aver coperto la falla. Gli stronzoni che mettono in giro questa roba si basano sulla buglist ufficiale della Microsoft per trovare le falle, mica le scovano da soli... Ecco perché ne escono spesso dopo l'introduzione di nuovi update, e per lo stesso motivo li si dovrebbe scaricare immediatamente.
Comunque, continuo a ribadire: firewall, firewall, firewall.
dell'antivirus? non serve purtroppo. Il virus disattiva o non fa funzionare correttamente l'antivirus (e putroppo l'ho visto a mie spese). Anche se cmq non sei stato infettato ti consiglio vivamente di installare quella patch (relativa a windows).Citazione:
Originariamente postato da psicoivan83
Comunque, io ho installato l'aggiornamento del 28 Aprile, speriamo che mi basti! ;)
dal 1 maggio a ieri ho avuto 3 computers su 4 infettati, il quarto non si è infettato perchè, forse, ha windows ME :rolleyes:
beh dipende, devi considerare anche che non tutti possono scaricare automaticamente le patches di windows (no original) e devi anche pensare nel 50% dei casi prima "scoppia" il virus e poi emettono le patches (perchè dallo studio del virus creato studiano i rimedi per il nostro winzoz) ;)Citazione:
Originariamente postato da HellSt0rm
Mai sentito parlare di Windows Update?!
Tenetelo sempre attivo... fa tutto lui... quando ci sono problemi vi scarica automaticamente le patches della Microsozz e tutto si risolve prima che si venga infettati dal viruz.
Come si dice...
Prevenire è meglio che curare ;)
TONI i e a me che dici?
HELSINKI (Reuters) - Un virus sul Web a veloce diffusione come il "Blaster" dello scorso anno ha colpito centinaia di migliaia di pc in tutto il mondo e resta ancora poco è chiaro come le macchine vengano infettate. Lo ha riferito un alto funzionario della sicurezza per i computer oggi.
L'azienda per la sicurezza dei dati F-Secure ha spiegato che il virus, che ha fatto la sua comparsa nel fine settimana ed è conosciuto come "Sasser", si diffonde automaticamente via Internet ai computer che usano il sistema operativo Microsoft Windows, soprattutto Windows 2000 e XP.
"Con Sasser sembra che le società stiano usando "toppe" (software) migliori e in modo più veloce rispetto allo scorso anno (con Blaster), ma quelli colpiti, sono stati colpiti duramente", ha detto a Reuters Mikko Hypponen, direttore della ricerca Anti-Virus di F-Secure, aggiungendo di credere che il virus sia stato originato in Russia.
Il virus non ha bisogno di essere attivato con un doppio click su un allegato, e può colpire anche se uno non sta usando il computer in quel momento. Quando la macchina è infetta, possono apparire messaggi di errore e il computer può andare in reboot ripetutamente..
"Rispetto a quanto successo con Blaster... lo scorso agosto... questo virus ha tutte le stesse caratteristiche", ha detto Hypponen, sottolineando che entrambi i virus sfruttano nuove falle in Windows e provocano continui reboot del computer.
Blaster ha infettato computer in tutto il mondo. Microsoft ha detto che il virus gli costa "milioni di dollari di danni" ed ha emesso una taglia da 250mila dollari a chi darà informazioni su dove si trovano i suoi autori.
F-Secure ha detto che le reti corporate dovrebbero essere protette contro Sasser e le sue varianti dai firewall, i blocchi che separano la rete interna dall'esterno.
Gli utenti privati, dovrebbero assicurarsi invece di aver scaricato un corretto software che funziona da toppa per chiudere la falla.
F-Secure ha aggiunto che il virus è venuto alla luce 18 giorni dopo che Microsoft ha messo il software patch sul suo sito Web.
si, installa la patch ;)
TONI GRAZIE:salute: :mano:
prego ;)
ho zone alarm con firewall...il virus non ce l'ho, la patch la scarico lo stesso? :confused:
si, ti conviene così come conviene aggiornare frequentemente gli antivirus.Citazione:
Originariamente postato da kiky
ho zone alarm con firewall...il virus non ce l'ho, la patch la scarico lo stesso? :confused:
ke fico ke è toni :30:
quello lo faccio già ;)Citazione:
Originariamente postato da Toni
si, ti conviene così come conviene aggiornare frequentemente gli antivirus.
ma che sarebbe 'sto firewall??? :confused:
Comuqnue, io ho l'update per windows! :approved:
Altra domanda, ma il NOD32 mi hanno detto che é meglio del Norton come antivirus...vero??? :confused:
serve a mettere un bloccoCitazione:
Originariamente postato da psicoivan83
[B]ma che sarebbe 'sto firewall??? :confused:
alle porte aperte da windows
Ecco la procedura nei dettagli
START
IMPOSTAZIONI
PANNELLO DI CONTROLLO
CONNESSIONE DI RETE
DOPPIO CLICK
VAI SUL MODEM
TASTO DESTRO
PROPRIETA'
AVANZATE
FIREWELL CONNESSIONI INTERNET
trovi una casella da spuntare,spuntala
Proteggi il computer e la rete limitando o impedendo l'accesso al computer da internet
(ANSA)-ROMA, 3 MAG- E' in giro da poche ore il nuovo baco Sasser, ma ha gia' strappato a Netsky il primo posto nella classifica delle nuove insidie informatiche. Lo rileva l'aggiornamento piu' recente dell'azienda Panda Software. Sulla base delle ultime segnalazioni, Sasser risulta molto diffuso in Europa, soprattutto in Irlanda (con il 6,82% sul totale delle infezioni rilevate), Serbia e Montenegro (3,08%), Spagna (2,79%), Portogallo (2,68%), Germania (2.66%). In Italia la diffusione e' al 2,14%.
2004-05-03 - © Copyright ANSA Tutti i diritti riservati
(ANSA)-ROMA, 3 MAG - E' durato poco, ma ha creato qualche problema anche al Viminale e al Dipartimento di pubblica sicurezza l'attacco del virus informatico Sasser.Il danno e' stato circoscritto grazie ai sistemi di sicurezza attivi al ministero e il black out e' durato pochissimo. Il sistema di protezione antivirus e l'aggiornamento continuo del sistema - spiegano i tecnici - hanno permesso di limitare l'aggressione, anche se e' stato grande il lavoro degli addetti per riconfigurare i programmi.
2004-05-03 - © Copyright ANSA Tutti i diritti riservati
(ANSA) - ROMA, 3 MAG - Problemi in tutta Italia a causa del nuovo baco informatico Sasser di cui e' stata gia' segnalata la nuova versione in circolazione, la 'D'. La vulnerabilita' del sistema sfruttata dal nuovo virus era nota da meta' aprile ma si segnalano comunque problemi, anche nella pubblica amministrazione e in alcune grandi aziende. Si tratta di un virus velocissimo, che non distrugge dati ma si sposta alla ricerca di sistemi ancora vulnerabili.
2004-05-03 - © Copyright ANSA Tutti i diritti riservati
FATTO! :approved:Citazione:
Originariamente postato da nostradamus
serve a mettere un blocco
alle porte aperte da windows
Ecco la procedura nei dettagli
START
IMPOSTAZIONI
PANNELLO DI CONTROLLO
CONNESSIONE DI RETE
DOPPIO CLICK
VAI SUL MODEM
TASTO DESTRO
PROPRIETA'
AVANZATE
FIREWELL CONNESSIONI INTERNET
trovi una casella da spuntare,spuntala
Proteggi il computer e la rete limitando o impedendo l'accesso al computer da internet
Grazie! :mano: