Piccola consulenza su questi 3 virus....

[el_marchet]

Esistono delle utilty specifiche per eliminare questi 3 virus oppure basta un normale antivirus aggiornato?

i virus sono:

W32/Funlove.4096
W32/Funlove.4099
Opaserv.Q.Worm


grazie ;)

[SkunkWorks 68]

..A vedere così,su 2 piedi,tools specifici sembra che non ce ne siano...I primi 2 sembrano essere abbastanza carognosi...il terzo un poco meno..Ho dato un'occhiata rapida...Probabilmente un buon antivirus aggiornato dovrebbe riuscire ad eliminarli..se no c'è sempre il buon Hijackthis che può aiutare :D..ciao..

[tutmosi3]

Una cosa che ho sempre odiato è questa: una ditta trova un virus e gli mette un nome, un'altra gliene mette un altro, ecc.
La Symantec ha una pagina con dei tool di rimozione (http://securityresponse.symantec.com/avcenter/tools.list.html). Potrebbe essere che uno dei tuoi ci sia ma abbia un nome diverso.

[BravoGT83]

Esistono delle utilty specifiche per eliminare questi 3 virus oppure basta un normale antivirus aggiornato?

i virus sono:

W32/Funlove.4096
W32/Funlove.4099
Opaserv.Q.Worm


grazie ;)
nno hai trovato nulla tramite il google? :)

[el_marchet]

nno hai trovato nulla tramite il google? :)


Evidentemente no, altrimenti non postavo qui. ;)

[BravoGT83]

beh mi sa di no

xche ho già trovato in 3 secondi il primo virus

http://www.pandasoftware.com/virus_info/encyclopedia/overview.aspx?idvirus=25844&sind=0

secondo

http://securityresponse.symantec.com/avcenter/venc/data/w32.funlove.4099.html

[BravoGT83]

e per l'ultimo

http://www.google.it/search?hl=it&q=+Opaserv.Q.Worm+&btnG=Cerca&meta=

[el_marchet]

beh mi sa di no

xche ho già trovato in 3 secondi il primo virus

http://www.pandasoftware.com/virus_info/encyclopedia/overview.aspx?idvirus=25844&sind=0

secondo

http://securityresponse.symantec.com/avcenter/venc/data/w32.funlove.4099.html


Bravo, pero' io cercavo le utility per toglierlo non le informazioni sui virus.
Devo ammettere che cmq la prima utility per togliere il Funlove 4096 non l'avevo nemmeno vista.

Grazie ;)

[BravoGT83]

Bravo, pero' io cercavo le utility per toglierlo non le informazioni sui virus.
Devo ammettere che cmq la prima utility per togliere il Funlove 4096 non l'avevo nemmeno vista.

Grazie ;)
anche per il secondo sul sito di symantec lo trovi

[matteo1]

ma che antivirus stai usando?
Può interessare
McAfee solo scanner (http://dl.codecpack.nl/m/mcafee_20050826.exe)

[el_marchet]

anche per il secondo sul sito di symantec lo trovi


Giusto!

trovato adesso! ;)

Per il terzo pero' non c'e'.

Dai, non umiliarmi ancora ;) :D :D :D :sofico:

[BravoGT83]

che c'entra mc afee....

si cercava dei utility ;)

[el_marchet]

ma che antivirus stai usando?
Può interessare
McAfee solo scanner (http://dl.codecpack.nl/m/mcafee_20050826.exe)


Panda Titanium Av. 2005

[BravoGT83]

Giusto!

trovato adesso! ;)

Per il terzo pero' non c'e'.

Dai, non umiliarmi ancora ;) :D :D :D :sofico:
no no visto che sei mod...:D:D:D:D

per il 3° devo vedere un attimo ;)

[BravoGT83]

ecco per l'ultimo

http://www.sophos.com/virusinfo/analyses/w32opaservq.html


se non trovi tramite google provate usare altavista :D

[el_marchet]

ecco per l'ultimo

http://www.sophos.com/virusinfo/analyses/w32opaservq.html


se non trovi tramite google provate usare altavista :D


Pero' qua non c'e' l'utility specifica vero? da quello che ho capito devo trovare l'utility per L'Opaserv.A, almeno Sophos mi pare dica cosi'. :)

[BravoGT83]

si è cosi sul recovery spiega solo in generale

[BravoGT83]

per l'ultimo

Local Infection

When run on the victim machine, the worm copies itself as %WinDir%\ScrSvr.exe. To avoid being run twice the worm creates a mutex "ScrSvr31415" (if such mutex already exists the worm process exits). The following Registry key is set to hook system startup:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"ScrSvr" = %WinDir%\ScrSvr.exe

The worm attempts to access a remote URL (unavailable at the time of writing). Strings within the worm suggest that it is capable of downloading updates from this site.

Remote Infection

Significant NetBIOS traffic (UDP) is caused by this worm. One of the early indications of this worms activity was the increase in port 137 hits on firewalls. This traffic is caused by the worm issuing WINS queries across contiguous IP ranges. The spreading mechanism observed in testing is outlined below:

* the worm issues WINS query (to retrieve NetBIOS name).
* the worm then tries to establish a NetBIOS session to the remote machine.
* if successful the worm attempts to spread via connecting to \\%machinename%\C using SMB (Server Message Block) commands (ie. requiring open 'C' share on remote machine). This worm can infect password-protected shares if the security patch is not installed.

Please Note: if this patch is installed, but the share is not password protected, the worm will still spread to the machine.
* In spreading, the worm attempts to copy itself to \Windows\ScrSvr.exe on the remote machine.
* A Run key is added to WIN.INI on the remote machine, to run the worm at startup. For example:

Run= 'C:\WINDOWS\SCRSVR.EXE'

The worm attempts to spread to all machines on the local subnet in the above manner, (working through the subnet increasing the last octet of the IP address for each WINS query).

Subsequently, in testing the worm was observed to follow the above mechanism for machines in the IP range A.B.(C+1).0 to A.B.(C+1).255 (where A.B.C.x is the local subnet).

Following that, the mechanism was repeated continually, with an apparently random starting IP address (for example 16.13.145.5 -> 16.13.145.255). Once the final octet is incremented to 255, a new initial starting IP is queried.

Presence of any of the following:

* %WinDir%\ScrSvr.exe
* C:\SCRSDAT.IN, C:\SCRSDAT.OUT (local infection)
* C:\TMP.INI (when machine remotely infected)

Existence of either of the following Registry keys:

* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"ScrSvr" = %WinDir%\ScrSvr.exe
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"ScrSvrOld" = (filename executed, if not %WinDir%\ScrSvr.exe)

Considerable port 137 traffic (UDP) originating from infected machine(s).

[SkunkWorks 68]

..@BravoGT...Bel lavoro..sto leggendo ora... :cool:

[el_marchet]

Veramente un ottimo lavoro...

complimetni ;)

[BravoGT83]

spero che sia utile meglio di cosi non riesco a trovare :D :D :D