Ei löydy keinoa tämän madon poistamiseen. Eli käynnistiedostoon "Configuration" "Loader" "scvhost.exe" -tiedoston tekevä virus/mato, joka aiheuttaa hillittömän verkkoliikenteen. Yritin poistaa Symantec:in W32.Welchia ja W32.HLL.Gaobot.Ao poisto-ohjeilla mutta mitään ei löydy. Oliskohan niin uusi ettei ole vielä kuvauksia ja poisto-ohjeita ko. madosta. Tulikohan jenkki -saiteilta tuotua ikävä tuliainen?
Keinot loppu
Joonas
122576
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 12
Vanhimmat
Mistä tiedät,että sulla on mato ,jos mitään ei löytynny?
Kokeile vaikka tota online scanneria,mitä se sanoo:
http://housecall.trendmicro.com/housecall/start_corp.asp
ZA:min logi näyttää samalle sekunnille useita kymmeniä svchost.exe blokkauksia kun siltä on estetty verkkoon pääsy ja kun antaa luvan kone on ihan juntturassa. Tuskin mikään muu aiheuttaa tälläista verkkoliikennettä kuin virus/mato.
Niin. Kumman niminen tiedosto sinulla nyt pyrkii nettiin??? Ensimmäisessä viestissä mainitset, että SCVHOST.EXE, mutta tässä taas SVCHOST.EXE.
Viimeksi mainittu on käyttikseen kuuluva tiedosto (system32-hakemistossa), jonka voi päästää nettiin, mutta tuo SCVHOST.EXE on todennäköinen Gaobot-virus.
Jos pyrkijä on tuo SVCHOST.EXE, mutta sijaitseekin system32/wins-hakemistossa, on kyseessä Welchi-virus.
Tuon käynnistysrekisterimerkinnän perusteella kyseessä on Gaobot. En kyllä ymmärrä, miksi virustorjuntaohjelmasi ei ole tätä löytänyt...
Oletko ottanut järjestelmän palautuksen tarkistuksen ajaksi pois käytöstä? Oletko kokeillut poistaa tiedostoja käsin?
Oletko kattonnu,jos se näkyy rekisterissä:
Click Start, and then click Run. (The Run dialog box appears.)
Type regedit
Then click OK. (The Registry Editor opens.)
Navigate to the key:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
In the right pane, delete the value:
"Config Loader"="scvhost.exe"
Navigate to the key:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
RunServices
In the right pane, delete the value:
"Config Loader"="scvhost.exe"
Exit the Registry Editor.
http://www.f-secure.com/v-kuvaus/welchi.shtml
Olen tietenkin netistä löytyneet ohjeet ja ohjelmat kokeillut eikä virusta ole löytynyt. Tossa aiemmin kyselin mistä nämä f-securen mainitsevat tiedosto löytyvät "Nämä tiedostot voivat löytyä saastuneesta järjestelmästä seuraavista hakemistoista:
Mato:
%systemDir%winsDLLHOST.EXE
Uudelleennimetty TFTP-palvelin:
%systemDir%winsSVCHOST.EXE" , mutta ilmeisesti kukaan ei tiedä kun ei ole vastannut.
Koneelta löytyy ko. tiedostot:
dllhost.exe C:Windowssystem32 luonti 2001.
scvhost.exe-2c8d7cba.pf C:WindowsPrefetch luonti eilen.
scvhost.exe C:Windowssystem32 luonti eilen.
scvhost.exe.poly C:Windowssystem32 luonti eilen.
scvhost.exe xDynamicTDS.unpk luonti eilen. (TDS = madon poistaja).
Nämä tiedostot on myös Windowsin omia systeemi -tiedostoja ettei niitä niin vain poistella jos ei tiedä mitä tekee.
Tuo SCVHOST.EXE ei ole Windowsin oma systeemi-tiedosto, toisin kuin SVCHOST.EXE. Ei löydy ainakaan minun koneeltani...
Luepas vielä Gaobotin kuvaus esim. Symantecin sivuilta.
Katsotaan auttaako seuraava:
Voisit ladata tuolta Hijackthis ohjelman.
http://tomcoyote.org/hjt/
Vaikka ohjelma on pieni niin se on erittäin VOIMAKAS työväline.
OLE VAROVAINEN SEN KANSSA !
Lue sivulta ohjeet tarkkaan ja ÄLÄ FIXaa mitään ilman,että joku asiantuntija antaa ohjeita !
Kyseistä ohjelmaa käyttävät monet tietoturva-alan ammattilaiset kun he haluavat nopeasti ja helposti tutkia jonkun ”saastunutta” konetta.
Ohjelman avattuasi paina Scan-nappia (scannaus kestää 5 -10 sek.).Kun scannaus on loppunut scan-nappi muuttuu Save log-napiksi. Poista seuraavat rivit jos löytyy (laita rivien eteen ruksi ja paina Fix checked-painiketta ) :
O4 - HKLM /.. /Run: [Config Loader] scvhost.exe
O4 - HKLM /.. /RunServices: [Config Loader] scvhost.exe
tai mistä tahansa muusta rivistä mistä löytyy scvhost.exe
PS.
Muista sulkea selain ennen tuota scannausta ja FIXaamista.
FIXaamisen jälkeen buuttaa kone (sammuta, käynnistä).
Tämän jälkeen poista seuraavasta polusta tuo scvhost.exe
C: / WINDOWS / System32 / scvhost.exe
HUOM ! TÄRKEÄÄ !
Älä vaan sekoita sitä tuohon Windowsin tiedostoon Svchost.exe
Se oli Welchia. F-Securen poisto ohjeet vai hämäsi. Outoa ettei Symantec:in poisto-ohjelma löytänyt sitä?
ihan hyvä pieni virustorjuntaohjelma, sivulla näkyy mitä löytää ja poistaa, hyvä pyöräyttää konessa silloin tällöin, mahtuu korpulle
http://vil.nai.com/vil/stinger/
Itselläni ei koneella ole (ainakaan pitäisi olla ;)) kyseistä virusta mutta ZA rekisteröi kokoajan (=muutamien sekunttien välein) icmp echo requestia eli pingauksia. Eikös tuo johdu vain siitä että Welchia yrittää jonkun saastuneelta koneelta etsiä seuraavaa "uhria"?
Onko mitään keinoa saada sitä loppumaan? Käytännön haittaahan tuosta ei taida olla mutta kuitenkin ärsyttää =)
pingejä paukkuu tasaiseen tuolta maailmalta, yksi syy on juuri nämä saastuneet koneet, jotka niitä lähettelevät. Helpottaa, jos ottaa ZA:n asetuksista pois kohdan näytä kaikki, eli ei niitä pingejä tarvii näyttää, eihän siinä muuten muuta ehdi kuin ruksia laittaman ruutuun;)
Tarkemmat ohjeet (jos tarvii) löytyy varmasti jostain tältäkin palstalta tuolta takaapäin, olen ne ainakin siellä nähnyt.