Newsgroup: it.comp.os.win.xp
Titolo: shutdown appena connessi ad internet (NT Authority System) !?!?

Il PC di un amico con XP Home SP1 (assemblato e installato da Essedì) andava
bene da oltre un anno ma da qualche tempo ha un problema di questo tipo:
pochi secondi dopo la connessione ad internet (modem analogico) gli compare
il messaggio di shutdown ("Questo computer sta per essere riavviato...") con
un tempo di 60 secondi che consente appena di chiudere tutte le
applicazioni. A quanto pare lo shutdown è stato comandato da NT Authority
System, almeno così dice ola schermata dello shutdown o dal servizio RPC.
Lui ha chiesto a me, ma anche io non avevo mai visto niente di simile... Il
collegamento è con Tiscali 10.0.
Ho notato però alcune cose sospette: l'antivirus (Panda, registrato) non è
aggiornato dal mese di gennaio (e gli ho dato una tirata d'orecchie)!!
Ho notato la presenza sospetta nel registro
HKLM/Software/Microsoft/Windows/Currentversion/run e ovviamente nel task
manager di due eseguibili dal nome sinistro (msblast e mslaugh), che mi
puzzano di virus, dato che la protezione di un AV non aggiornato è nulla.
Ho aperto il task manager e ho chiuso i due processi sospettati di essere
virus e quindi ho tolto le chiavi d'avvio dal registro, dopo il riavvio non
ho più notato i due processi. Non mi sono illuso d'aver tolto il probabile
virus ma ho comunque tentato una connessione, dopo pochi secondi è comunque
comparso lo stesso messaggio ed il computer dopo 60 secondi si è
inesorabilmente riavviato!
La cosa strana è che pensavo che quel pollo del mio amico avesse lanciato
l'ultimo insistente worm che manda i falsi microsoft update, ma mi ha detto
e ho verificato, non ha mai ricevuto alcuna e-mail e neppure ne ha mai
inviate, ha sempre e solo navigato (incredibile ma vero, e non credo che le
abbia cancellate per nascondermi la verità). Quindi niente Swen... però quei
due msblast e mslaugh mi ripuzzano e potrebbero aver infettato dei servizi
(es. RPC).
Secondo voi la mia diagnosi è esatta, si tratta di un virus? O c'è qualcosa
di WinXP che non conosco... Devo provare con qualche removal tool, spererei
di ripristinare il funzionamento della connessione e devirare il computer
(se di virus si tratta) senza dover reinstallare Windows, dato che non ho
molto tempo...
Grazie a chiunque ci aiuterà a capire e a risolvere...
F.P.


[...]
Chiaramente è il worm blaster, i presupposti ci sono tutti.
mslaugh è la variante "E"
La patch MS:
http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=2354406C-C5B6-44AC-9532-3DE40F69C074
Il tool di rimozione:
http://securityresponse1.symantec.com/sarc/sarc-intl.nsf/html/it-w32.blaster.worm.removal.tool.html
per effettuare le operazioni con tranquillità, appena si apre la finestra
dei 60 secondi, apri il prompt e digita "shutdown -a" e il countdown si
interromperà.
-- 
_-=SiMcarD=-_
(~ICQ: 59575403 ^_^ C6: simcard78~)
--\Now despammed/--
"Avere la coscienza pulita è segno di cattiva memoria"

 [8<]
 
http://support.microsoft.com/?kbid=823980
S E N Z A    P A R O L E
Ciao.
-- 
 /   _ _ | Xnews in italiano e Guida ai Menu
( (/( (/ | 
http://digilander.libero.it/xnews

 ha scritto:

Il problema che vi affligge è proprio un worm denominato Blaster.
Blaster frutta una posibilità di buffer overflow presente nel
meccanismo con cui il protocollo Rpc (Remote Procedure Call) di
Windows NT/2000/XP/Server 2003 gestisce i  messaggi di errore mediante
l'interfaccia Dcom.
Il problema affligge solo le versioni di Windows sopra nominate,
mentre gli utenti di Win9x non corrono rischi.
Un tool per la rimozione è scaricabile da:
http://securityresponse.symantec.com/avcenter/FixBlast.exe
Cmq è buona norma tenere sempre aggionato il proprio antivirus.

 Cmq è buona norma tenere sempre aggionato il proprio antivirus.
Grazie per la spiegazione esauriente... per quanto riguarda l'aggiornamento
dell'antivirus gli ho già fatto due orecchie così !!!
Ciao.


--------------------------------
Inviato via 
http://arianna.libero.it/usenet/