Luigi's Mansion 2 HD Vieni ad acchiappare i fantasmi con noi su Award & Oscar!

Tutto di + basket, musica.....

Aiuto... il computer si riavvia da solo! RPC e virus Lovsan (W32.Blaster)

  • Posts
  • OFFLINE
    Vandred88
    Post: 530
    Registered in: 2/8/2003
    Location: EMPOLI
    Age: 36
    Gender: Male
    Job/occupation: cazzeggio
    Utente esperto
    00 8/13/2003 1:22 AM

    Da ieri 11 Agosto, è iniziata la massiccia diffusione del virus W32.Lovsan.Worm (altrimenti detto W32.Blaster.Worm).
    Questo virus sfrutta una vulnerabilità scoperta recentemente nei sistemi operativi Windows e relativa al servizio RPC (Remote Procedure Call). Nelle scorse settimane avevamo già avuto modo di segnalarvi il problema (ved. questa nostra news) e di invitarvi alla tempestiva installazione della patch risolutiva (ved. questa news).

    L'infezione da parte del virus (o comunque la sua azione da remoto) si manifesta con il susseguirsi - durante la connessione Internet - di errori di sistema (NT AUTHORITY\SYSTEM) relativi, appunto, al servizio RPC (Remote Procedure Call). Di solito il sistema viene automaticamente riavviato.

    Il virus Lovsan, sfrutta proprio la vulnerabilità del servizio RPC: esso va infatti alla ricerca di sistemi vulnerabili (ossia sistemi Windows sui quali non si è provveduto ad installare la patch risolutiva Microsoft rilasciata il 16 Luglio scorso) effettuando una scansione casuale di gruppi di indirizzi IP collegati ad Internet.
    Le porte interessate dall'azione del virus sono TCP:135; TCP:4444 e UDP:69.
    Una volta trovato un sistema vulnerabile, il virus tenta di scaricare ed eseguire il file MSBLAST.EXE. Ciò avviene attraverso l'apertura di una connessione UDP (porta 69) utilizzando il protocollo TFT (Trivial File Transfer protocol).

    Chi non ha installato la patch risolutiva Microsoft MS03-026 ma ha avuto l'accortezza di installare un buon software firewall (ad esempio, Outpost Firewall), si sarà certamente accorto di tentativi di connessione sulla porta UDP:69.

    Per risolvere il problema comportatevi come segue:
    - scaricate il removal tool di Symantec per il virus Lovsan (W32.Blaster)cliccando qui(165 KB)
    - eseguite il file FixBlast.exe, appena prelevato
    - scaricate ed installate la patch Microsoft MS03-026 per il servizio RPC: sarete così al sicuro da ulteriori infezioni e risolverete definitivamente il problema del riavvio automatico del personal computer. La patch Microsoft è prelevabile da questa pagina. Scorrete la pagina fino a trovare il paragrafo Patch availability quindi provvedete a scaricare la patch per la versione di Windows in uso. Assicuratevi, inoltre, di selezionare la lingua italiana (Italian) se fate uso di una versione di Windows italiana.

    Ci preme ricordare, comunque, che qualora il removal tool di Symantec non vi abbia segnalato la presenza del virus Lovsan (W32.Blaster) ma il vostro sistema si riavvii automaticamente, significa che il vostro personal computer non è stato infettato ma che ha subìto un attacco remoto da parte di una macchina "vittima" di questo virus worm.

    Se utilizzate Windows XP, vi suggeriamo caldamente prima di eseguire il removal tool di Symantec di disattivare il Ripristino della configurazione di sistema (alias System Restore) altrimenti il programma per la rimozione di Lovsan non avrà modo di eliminare il virus da tutte le cartelle. Per disattivare l'utlità Ripristino della configurazione di sistema fate clic con il tasto destro su Risorse del computer, selezionate la scheda Ripristino della configurazione di sistema quindi attivite la casella Disattiva ripristino della configurazione di sistema su tutte le unità.

    Per maggiori informazioni, fate riferimento ai link seguenti:
    - descrizione del removal tool Symantec per il virus Lovsan (W32.Blaster)- cliccando qui potete controllare (sul sito di Steve Gibson) se la porta 135 (la porta principale usata dal virus per diffondersi) risulta aperta (dovrebbe invece risultare Closed o - meglio ancora - Stealth).


    [Modificato da Vandred88 13/08/2003 1.25]

  • OFFLINE
    DR.SHADY
    Post: 1,143
    Registered in: 4/20/2003
    Gender: Male
    Job/occupation: Campione NBA
    Re del mondo
    00 8/13/2003 8:27 PM
    ----
    /L'infezione da parte del virus (o comunque la sua azione da remoto) si manifesta con il susseguirsi - durante la connessione Internet - di errori di sistema (NT AUTHORITY\SYSTEM) relativi, appunto, al servizio RPC (Remote Procedure Call). Di solito il sistema viene automaticamente riavviato./

    Pratikamente_il computer di tuo_c'ha poko....
    ----
    [SM=g27962]


  • OFFLINE
    SAURON signore di Mordor
    Post: 1,037
    Registered in: 3/1/2003
    Location: FIRENZE
    Gender: Male
    Job/occupation: SERIAL GAMER
    Re del mondo
    00 8/14/2003 7:50 PM
    Re:

    Scritto da: DR.SHADY 13/08/2003 20.27
    ----
    /L'infezione da parte del virus (o comunque la sua azione da remoto) si manifesta con il susseguirsi - durante la connessione Internet - di errori di sistema (NT AUTHORITY\SYSTEM) relativi, appunto, al servizio RPC (Remote Procedure Call). Di solito il sistema viene automaticamente riavviato./

    Pratikamente_il computer di tuo_c'ha poko....
    ----
    [SM=g27962]

    BAZZECCOLE IL MIO COMPUTER STA BENISSIMO... PECCATO CHE NN SIA PIU' IN CASA MIA.. E IN CASA DI UN MAROCCO... [SM=x173007]



  • OFFLINE
    DR.SHADY
    Post: 1,161
    Registered in: 4/20/2003
    Gender: Male
    Job/occupation: Campione NBA
    Re del mondo
    00 8/15/2003 8:16 PM
    Re: Re:

    Scritto da: SAURON signore di Mordor 14/08/2003 19.50




    [SM=x172965]
    ----
    Fantastiko 'sto mess_bravo!
    ----
    [SM=x173023]