15.08.2003
Microsoftin puhelintuki Blaster-matoon liittyvissä kysymyksissä
Voidaksemme minimoida viikonloppuna aktivoituvan Blaster-madon aiheuttamat vahingot ja turvata tuen asiakkaillemme kaikissa olosuhteissa, järjestämme myös Suomeen viikonloppupäivystyksen.
Blaster-matoon liittyvissä kysymyksissä suosittelemme ensisijaisesti yhteydenottoa tekniseen tukeemme, joka on avoinna la-su klo 10-16. Tuen puhelinnumero on
(09) 525 502 500. Tuki on asiakkaille maksutonta.
Jos teknisen tuen puhelinlinjat ovat ruuhkautuneet, asiakkaat voivat soittaa myös Microsoftin keskukseen, joka välittää puhelut edelleen päivystäjille. Keskuksemme on avoinna la-su klo 9-18. Keskuksen puhelinnumero on (09) 525 501.
Täällä on tuo tiedote: http://www.microsoft.com/finland/pr/news/2003/08/paivystys.asp
Microsoftin puhelintuki Blaster-matoon liittyvissä kysymyksissä
Voidaksemme minimoida viikonloppuna aktivoituvan Blaster-madon aiheuttamat vahingot ja turvata tuen asiakkaillemme kaikissa olosuhteissa, järjestämme myös Suomeen viikonloppupäivystyksen.
Blaster-matoon liittyvissä kysymyksissä suosittelemme ensisijaisesti yhteydenottoa tekniseen tukeemme, joka on avoinna la-su klo 10-16. Tuen puhelinnumero on
(09) 525 502 500. Tuki on asiakkaille maksutonta.
Jos teknisen tuen puhelinlinjat ovat ruuhkautuneet, asiakkaat voivat soittaa myös Microsoftin keskukseen, joka välittää puhelut edelleen päivystäjille. Keskuksemme on avoinna la-su klo 9-18. Keskuksen puhelinnumero on (09) 525 501.
Täällä on tuo tiedote: http://www.microsoft.com/finland/pr/news/2003/08/paivystys.asp
Vastaukset 4
Vanhimmat
15.8.2003
"Lovsan"-haittaohjelman aiheuttamat ongelmat tietojärjestelmissä
Viimeaikoina laajalle levinnyt "Lovsan" (MSBLAST, w32.blaster) -haittaohjelma aiheuttaa ongelmia tietojärjestelmissä. "Lovsan"-verkkomato saastuttaa tietojärjestelmiä hyväksikäyttäen Microsoftin RPC-haavoittuvuutta, joka on kuvattu tarkemmin CERT-FI:n varoituksessa:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-52.htm
Saastuneessa tietojärjestelmässä saattaa esiintyä uudelleen käynnistysongelmia; tietojärjestelmä uudelleen käynnistyy automaattisesti 60 sekunnin välein. Tästä johtuen saastuneen tietojärjestelmän puhdistaminen on huomattavan hankalaa.
Tietojärjestelmää voidaan estää uudelleen käynnistymästä kahdella tavalla:
Kun näyttöön tulee uudelleen käynnistyksestä kertova ikkuna tulee tietojärjestelmälle antaa komento "shutdown -a"
Tai vaihtoehtoisesti:
Valitse start (käynnistä)-valikko -> control-panel (ohjauspaneeli) -> administrative tools (hallintatyökalut) -> services (palvelut)
Valitse listasta Remote Procedure Call (RPC)
Muuta Recovery (palautuminen) -välilehdeltä kohdat First failure (ensimmäinen epäonnistuminen), Second failure (toinen epäonnistuminen) ja Subsequent failures (seurvaavat epäonnistumiset) Take no Actions (ei toimenpiteitä)-tilaan
"Lovesan"-haittaohjelma voidaan poistaa manuaalisesti seuraavasti:
Valitse Settings (asetukset) -> Control Panel (ohjauspaneeli) -> System (järjestelmä) -> System Restore (järjestelmän palauttaminen) ja valitse Turn off System Restore (poista järjestelmän palauttaminen käytöstä). Valitse sen jälkeen näyttöön tulevassa valintaikkunassa "Yes" (kyllä).
Sulje haittaohjelmaprosessi seuraavasti:
paina Ctrl Alt Del-näppäimiä -> valitse Task Manager (tehtävienhallinta) -> Valitse processes (prosessit) -> etsi listasta msblast.exe-niminen prosessi ja lopeta se napsauttamalla hiiren oikeaa painiketta ja valitsemalla End Process- (lopeta prosessi)-painiketta
Poista msblast.exe -tiedosto. Tiedoston voi paikallistaa käyttämällä esimerkiksi Windows-käyttöjärjestelmän Search (etsi)-ominaisuutta.
Poista käyttöjärjestelmän rekisterimuuttujan HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun arvo "windows auto update"="msblast.exe"
Tietojärjestelmä voidaan turvata sekä palauttaa sen asetukset alkuperäiseksi seuraavasti:
Päivitä haavoittuva tietojärjestelmä MS03-026 -turvatiedotteen mukaisesti
Jos tietojärjestelmän automaattinen uudelleenkäynnistys on estetty muutoin kuin "shutdown -a" -vaihtoehdolla, muuta Remote Procedure Call (RPC)-asetukset Restart Computer (käynnistä uudelleen)-tilaan
Käynnistä tietojärjestelmä uudelleen
Aktivoi System Restore (järjestelmän palauttaminen) päälle poistamalla Turn off System Restore (poista järjestelmän palauttaminen käytöstä, kts. kohta 1).
HAAVOITTUVUUDELLE ALTTIIT JÄRJESTELMÄT:
Microsoft Windows 2000 sekä Microsoft Windows XP -käyttöjärjestelmällä varustetut tietojärjestelmät, joita ei ole päivitetty Microsoft tietoturvatiedotteen MS03-026 mukaisesti. Lisätietoja haavoittuvuudesta ja haavoittuvan tietojärjestelmän päivittämisestä on saatavilla Microsoft tietoturvatiedotteessa MS03-026.
RATKAISU / RAJOITUSMAHDOLLISUUDET:
Puhdista saastunut tietojärjestelmä edellä mainitulla tavalla
Haittaohjelman voi yrittää poistaa myös käyttämällä ajantasaisella virustunnistustietokannalla varustettua virustorjuntaohjelmistoa tai haittaohjelman poistoon erikseen tarkoitettua ohjelmistotyökalua
Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
LISÄTIETOA/TIETOLÄHTEET:
http://www.f-secure.com/v-descs/msblast.shtml
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html
http://vil.nai.com/vil/content/v_100547.htm
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-48.htm
CERT-FI –YHTEYSTIEDOT:
Viestintävirasto
CERT-FI
PL 313
00181 Helsinki
Täällä linkissä kun klikkaat alla olevaa linkkiä ja asennat poistohjelman vaikkapa esim.työpöydällesi ja työpöydällä siten klikkaat FIXPLAST kuvaketta niin poistaa Msblast.exe virukseen (Madon)
http://securityresponse.symantec.com/avcenter/FixBlast.exe
..poistaa ko.mato ja 26 muutakin viimeaikojen kiusallista virusta, menee sivulle
http://vil.nai.com/vil/stinger
ja imuroi Stingerin, vaikka korpulle ja asentelee saastuneelle koneelle, ja ajaa Stingerin, voi löytyä samalla muitakin viruksia(löytyi;). CERT:istä sitten ohjeet viruksen poissa pitämiseksi.