Антивирусы vs Вирусы, Вирусные эпидемии И борьба с ними Опции

[Griz]

Люди у кого стоит ХР!!!
Вчера вылез в инет и через 15 минут вылетелело сообщение об остановке системы (ака через 30 сек машина будет перезагружена из-за сбоя системы)...
Товарищи, будте бдительны это червь!!!
Исполняемый файл msblast.exe (7кб), висит в трее (вот наглый, гад!) и пускает себя после выхода в инет на портах 137 и т.п. менее 1024 порта!!!
Возможно это схвачено из аськи (я позавчера выходил и мне кто-то бросил мессагу со ссылкой (вот дурак, нафиг я ее нажал!)
Сам червь htm`овский.
Лекартсво одно - найти по поиску этот exe`шник и удалить его windowssystem32msblast.exe (я кстати его так и нашел, а только седня узнгал что это червь)
А так же выбить из реестра...
Ни один антивирус его не видит (хотя находит htm-червяка).
Подробности здесь http://www.livejournal.com/users/karimovru/172460.html

[Rioter]

Worm.Win32.Lovesan
Вирус-червь. Распространяется по глобальным сетям, используя для
своего размножения уязвимость в службе DCOM RPC Microsoft Windows.
Ее описание приведено в Microsoft Security Bulletin MS03-026.
Червь написан на языке C, с использованием компилятора LCC. Имеет
размер 6КB, упакован UPX. Размножается в виде файла с именем
"mblast.exe".
Содержит текстовые строки:
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and
fix your software!!
Признаками заражения компьютера являются:
Наличие файла "msblast.exe" в системном (system32) каталоге
Windows.
Сообщение об ошибке (RPC service failing) приводящее к
перезагрузке системы.


Размножение
При запуске червь регистрирует себя в ключе автозапуска:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
windows auto update="msblast.exe"
Червь сканирует IP-адреса, начинающиеся с "base address" и пытается
соединиться с 20 IP-адресами для инфицирования уязвимых компьютеров.

После этого червь "спит" в течение 1,8 секунды, а затем снова
сканирует 20 IP-адресов и повторяет этот процесс в бесконечном
цикле. Например, если "base address" является 20.40.50.0, червь
будет сканировать следующие адреса:
20.40.50.0
20.40.50.1
20.40.50.2
...
20.40.50.19
----------- пауза 1.8 секунды
20.40.50.20
...
20.40.50.39
----------- пауза 1.8 секунды
...
...
20.40.51.0
20.40.51.1
...
20.41.0.0
20.41.0.1
и так далее.
Червь выбирает один из двух методов сканирования IP-адресов:
В 3 случаях из 5 червь выбирает случайный "base address"
(A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона
1-255. Таким образом "base address" находится в диапазоне
[1-255].[1-255].[1-255].0.


В 2 случаях из 5 червь сканирует подсеть.

Он определяет адрес локального компьютера (A.B.C.D), устанавливает
D в ноль и выбирает значение C. Если C - больше чем 20, то червь
выбирает случайное число от 1 до 20. Если C меньше или равно 20,
червь не изменяет его.

Например, если инфицированная машина имеет IP-адрес
"207.46.134.191", то червь будет сканировать адреса с
207.46.[115-134].0. Если IP-адрес - "207.46.14.1", то червь будет
сканировать адреса, начиная с 207.46.14.0.
Используя уязвимость в Microsoft Windows 2000/XP, отправляет на 135
порт выбранного IP-адреса команды эксплойта DCOM RPC и запускает на
удаленной машине командную оболочку "cmd.exe" на TCP порту 4444.
После этого червь, при помощи команды tftp get, через 69 порт
загружает себя на удаленную машину в системный каталог Windows и
запускает на исполнение.


Прочее
После заражения инфицированная машина выводит сообщение об ошибке
RPC service failing, после чего может попытаться перезагрузиться.
C 16 августа 2003 года червь запускает процедуры DDoS атаки на
сервер windowsupdate.com, пытаясь таким образом затруднить или
прервать его работу.

Взято у Каспера