Madshrimps Forum Madness - worm virus !!!

Madshrimps Forum Madness (https://www.madshrimps.be/vbulletin/)

- Hardware/Software Problems, Bugs (https://www.madshrimps.be/vbulletin/f14/)

- - worm virus !!! (https://www.madshrimps.be/vbulletin/f14/worm-virus-2813/)

http://www.tweakers.net/nieuws/28292

dutch only.

english :

Quote:

WORM_MSBLAST.A

Aliases: W32/Lovsan.worm, Lovsan, W32.Blaster.Worm

Description:

TrendLabs has received several infection reports of this new worm, which exploits the RPC DCOM BUFFER OVERFLOW. This vulnerability in the Windows Distributed Component Object Model (DCOM) Remote Procedure Call (RPC) interface allows an attacker to gain full access and execute any code on a target machine, leaving it compromised.

This worm has been observed to continuously scan random ip addresses (x.x.x.0) and send data to vulnerable systems on the network using port 135. On the following system dates, it performs a Distributed Denial Of Service attack against windowsupdate.com:

On the 16th to the 31st day of the following months:

January
February
March
April
May
June
July
August

Any day in the months of September to December.
This worm runs on and is able to propagate into Windows NT, 2000, and XP systems.

For more information on the RPC DCOM Buffer Overflow, please visit the following Microsoft page:

Microsoft Security Bulletin MS03-026

Solution:

AUTOMATIC REMOVAL INSTRUCTIONS

To automatically remove this malware from your system, please use the Trend Micro System Cleaner.

MANUAL REMOVAL INSTRUCTIONS

Terminating the Malware Program

This procedure terminates the running malware process from memory.

Open Windows Task Manager press
CTRL+SHIFT+ESC, and click the Processes tab.
In the list of running programs*, locate the process:
MSBLAST.EXE

Select the malware process, then press either the the End Process button.
To check if the malware process has been terminated, close Task Manager, and then open it again.
Close Task Manager.
Removing Autostart Entries from the Registry

Removing autostart entries from the registry prevents the malware from executing during startup.

Open Registry Editor. To do this, click Start>Run, type Regedit, then press Enter.
In the left panel, double-click the following:
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
In the right panel, locate and delete the entry:
”windows auto update" = MSBLAST.EXE
Close Registry Editor.
NOTE: If you were not able to terminate the malware process from memory as described in the previous procedure, restart your system.
Additional Windows ME/XP Cleaning Instructions

Running Trend Micro Antivirus

Scan your system with Trend Micro antivirus and delete all files detected as WORM_MSBLAST.A. To do this, Trend Micro customers must download the latest pattern file and scan their system. Other Internet users can use HouseCall, Trend Micro’s free online virus scanner.

Applying Patches

TrendLabs advises all affected users to apply the patch issued by Microsoft at the following page:

Microsoft Security Bulletin MS03-026

TrendLabs also asks users to filter access to port 135 and allow trusted and internal sites only.

got the same problem this morning, problem solved in 10 minutes :p

I know, windows update isn't one of my favourite sites :p

Soooooo many "connection reset by peer" on irc :)

@ work today, about 7 people brought in their pc with that virus on it :wtf:

Quote:

Originally posted by ModdiN MansoN
@ work today, about 7 people brought in their pc with that virus on it :wtf:

no wonder. normally a virus spreads by mail, but this virus just starts infecting machines by picking random IP's :wtf:

not one virusscanner stops it, and prolly most firewalls either!

had 2peeps with the problem.
Next to all the coputer @ work.

had it last night, quite irritating

BlackIce on paranoid mode will do it :D

my computer shop had 30machines infected with it, it takes half an our to fix one machine :wtf:

took 5 minutes once I knew what to do.

on average, it takes me about 15 mins to clean it off a pc, it's really easy to remove

on average it takes me 3 seconds to remove it :p
http://securityresponse.symantec.com...oval.tool.html

Geachte relatie,

Zoals u waarschijnlijk heeft vernomen is een nieuw virus ontdekt,
het ‘Blaster-virus’ dat gebruik maakt van een lek in een aantal
recente versies van Windows. Wij willen u via dit bericht
informeren over het virus, hoe u kunt voorkomen dat uw computer
wordt getroffen en hoe u het virus onschadelijk kunt maken
indien het uw systemen heeft besmet.

Welke computers lopen een risico?

Het Blaster-virus kan onbeschermde pc’s die gebruik maken van
Windows XP, Windows 2000, Windows Server 2003, Windows NT 4.0
en Windows NT 4.0 Terminal Services infecteren.

Microsoft heeft op 16 juli 2003 een beveiligingspatch (MS03-026)
beschikbaar gesteld, waarmee gebruikers hun systemen kunnen
beschermen. Indien u deze patch al geïnstalleerd heeft, bent
u beschermd tegen het Blaster-virus en eventuele andere
indringers die gebruik zouden kunnen maken van het lek. Als
u een firewall heeft geïnstalleerd is het waarschijnlijk dat
uw computer beschermd is. Om het zekere voor het onzekere te
nemen adviseren wij u de website van Microsoft te raadplegen.

Heeft u een oudere Windows-versie, zoals Windows 95, Windows 98
of Windows Millennium Editie (ME), dan hoeft u géén maatregelen
te treffen.

Maatregelen

Als uw computer of systeem nog niet beveiligd is met de
beveiligingspatch of firewall en u gebruikt één van de
bovengenoemde versies van Windows, dan adviseren wij u
dringend de beveiligingspatch te downloaden die u vindt via
http://www.microsoft.com/netherlands/blaster/.
Daar wordt in eenvoudige stappen uitgelegd hoe u dit kunt doen.

Mocht het virus al op uw computer aanwezig zijn, dan vindt u
op dezelfde webpagina een overzicht van leveranciers van
antivirussoftware die u verder kunnen helpen met het
onschadelijk maken van het Blaster-virus.

Wat merkt u van het virus?

Voor zover nu bekend is het virus vooral hinderlijk en brengt
het geen schade toe aan gegevens op de pc. Het virus gebruikt
veel geheugencapaciteit van de computer waardoor deze trager
kan worden. Daarnaast kan de pc door het virus uit zichzelf
herstarten.

We hopen dat u met behulp van deze informatie eventuele
problemen kunt voorkomen en/of verhelpen. Op
http://www.microsoft.com/netherlands/ kunt u terecht voor de
actuele informatie.

Met vriendelijke groet,

Michel van der Bel
Algemeen Directeur
Microsoft Nederland

Wij vinden een goede relatie met u heel belangrijk. Indien u
informatie van Microsoft Nederland niet langer wenst te
ontvangen, kunt u opzeggen via
http://www.microsoft.com/netherlands...er/default.asp

Deze e-mail is verzonden door een automatische mailbox,
vragen die u naar deze mailbox stuurt worden niet beantwoord.