Newsgroup: it.comp.os.win.win2000
Titolo: URGENTE: virus wauclt.exe

Ciao a tutti !
Nella nostra azienda stiamo diventando matti con un nuovo virus:
si installa come servizio 'wauclt.exe' e prende il nome di
'Windows automatic update'.
Non riusciamo a trovare informazioni in rete, qualcuno ne sa qualcosa ?
grazie
Roberto

 wrote
 in message c7nums$1f2$
1...@serv1.iunet.it
 :

[cut]
come sei riuscito a stabilire che si tratta di un virus ?
-- 
-----------------------------------
Edoardo Benussi - 
edoardo...@tin.it
Microsoft® MVP - Windows Server
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com
http://italy.mvps.org
---------------------------------------------------------------
-This posting is provided "AS IS" with no warranties,
 and confers no rights
- Le informazioni fornite in questo messaggio sono fornite
  senza vincolo di garanzia e senza responsabilità alcuna
---------------------------------------------------------------

 Non riusciamo a trovare informazioni in rete, qualcuno ne sa qualcosa
Come mai dici che si tratta di un virus?
Sei sicuro del nome del file e di non far confusione con l'eseguibile
"wuauclt.exe" che è il servizio di windows per gli aggiornamenti?
The Automatic Update Client Displays the Settings Dialog Box Incorrectly
http://support.microsoft.com/?id=810160
In alternativa prova a consultare questi due link
http://securityresponse.symantec.com/avcenter/venc/data/backdoor.clt.html
http://securityresponse.symantec.com/avcenter/venc/data/w32.petch.html
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

eh eh !
si il nome e' proprio wauclt.exe!!
ho gia' controllato la somiglianza con wuauclt.exe ;)
nonostante lo elimino dalle chiavi run/runonce del registro
me lo ritrovo sempre li' al riavvio
appena dopo il login comincia a trittare e occupa + di 100 mega
di memoria, cpu al 100%
tutti i PC che stanno dando priblemi hanno questo servizio che gira.
l'eseguibile wauclt.exe si installa in C, C:\winnt, C:\winnt\system32
ma anche sulla root di altre partizioni.
Nonostante venga cancellato a mano, al riavvio e' sempre li'
grazie ancora, stiamo impazzendo
Roby

 di memoria, cpu al 100%
[CUT]
Allora è possibile che si tratti di qualche applicazione maligna. La
definizione dei virus è aggiornata?
Hai provato ad eseguire AV e Anti-spyware sul file?
Non viene riconosciuto?
In ogni caso ti posso consigliare di avviare il PC in modalità provvisoria e
controlla le seguenti chiavi di registro(start=>esegui=>regedit):
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Fai un backup di queste chiavi (tramite l'opzione esporta) e rimuovi tutto
ciò che sembra maligno.
Se il nome del file è sempre quello, non dovrebbe cmq essere difficile
individuare ulteriori chiavi di registro coinvolte utilizzando la
funzionalità "trova" del registry.


 Non viene riconosciuto?
Gia' fatto tutto quello che consigli, senza risultati pero'!
Al riavvio e' sempre li'
Per ora sembra siano riusciti a tamponare il problema
sostituendo l'eseguibile con un corrispondente file di
testo vuoto appositamente rinominato  'wauclt.exe'
Abbiamo Norton aggiornato su tutti i PC, ma non viene riconosciuto.
Sembra che il problema sia solo qui da noi!
160 PC infettati !!!
Roby

 160 PC infettati !!!
Potrebbe essere una nuova variante di qualche virus già noto. Prova ad
inviare al sarc il file infetto in questione.
Poi potresti provare con i tools filemon e regmon per verificare quali files
e chiavi di registri il "virus/applicativo" vada ad intaccare quando
eseguito.
INFO: Useful Tools for Package and Deployment Issues
http://support.microsoft.com/?id=198038


 Ciao!
Dovrebbe trattarsi di un virus tipo w32.gaboot prova a scaricare il fix
tool dal sito della symantec.
Ciao
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Ciao
Ho lo stesso problema ma non c'è nessun tool che sia riuscito a
togliere il worm.
A dire il vero ho provato ad installare diversi antivirus trial ma
solo alcuni rilevano il virus, lo mettono in quarantena o lo
cancellano, ma subito dopo il virus/worm ritorna al suo posto.
I files infettati sono i seguenti:
wauclt.exe
sysconf.exe
Attualmente sono stati rilevate diverse varianti del worm Agobot o
Goabot oltre al virus Morphine che il Mcafee rileva sul file
wauclt.exe
Ho provato di tutto, restart in modalità provvisoria scollegando la
rete interna (3 pc) e scollegando il tutto da internet (rete fastweb
fibra ottica) senza successo.
E' possibile che nessun antivirus riesce a cancellare questi
virus/worm?