services.exe - troian?

[Alberello69]

ho lanciato un eseguibile scaricato da internet che si è cancellato dopo che è comparsa una finiestra dos. subito dopo il firewall mi chiede una connessione in uscita per l'applicazione services.exe sulla porta 6667 all'indirizzo irc.efnet.net ... sicuramente è un troian ma il norton 2005 aggiornato non rileva nulla nel sistema.
l'applicazione è ancora sul pc ma non posso cancellarla dato che altri file che usa win hanno lo stesso nome. che faccio?
grazie

[nV 25]

credo che il processo " services.exe " sia legittimo...vedi infatti qua (http://www.liutilities.com/products/wintaskspro/processlibrary/services/) ...cmq,l'ho anche io in esecuzione e occupa 1512 Kb....
diverso sarebbe se mancasse la lettera "S" finale....vedi qui (http://www.liutilities.com/products/wintaskspro/processlibrary/service/) ...

[Alberello69]

ok, ottimo lavoro.
ho il servizio service.exe attivo che ho appena terminato. adesso come rimuovo il virus? possibile che il norton non da' protezione da un virus conosciuto?
:muro:

[Alberello69]

ho cancellato service.exe dalla caetella windows\system32 , adesso ho una richiesta di accesso a efnet.xs4all.nl da parte di services.exe che sono due processi di win che non possono essere terminati rispettivamente di 4.024 KB e 3.212 KB

:(

[nV 25]

descrizione rapida del virus in questione qui (http://www.viruslist.com/eng/viruslist.html?id=72294)
Rimozione: Qui (http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.raleka.html)
in sostanza :

Obtain the Microsoft HotFix to correct the DCOM RPC vulnerability.
Disable System Restore (Windows Me/XP).
Update the virus definitions.
Disconnect from any networks, including the internet. Run a full system scan and delete all the files detected as W32.HLLW.Raleka.

se non riesci a fare qualche passo,leggi attentamente la pagina che ti ho linkato per 2° dove trovi istruzioni al riguardo....

[Alberello69]

sto leggendo ma non riesco a venirne a capo: ho service pack 2 per winxp quindi ho la patch; ho il norton antivirus aggiornato quindi dovrebbe vederlo... c'è qualcosa che non va!! cosa devo fare?

[nV 25]

ti suggerisco di provare questi tool di scansione on line:

1 (http://housecall.trendmicro.com/) [Trend]

2 (http://www.pandasoftware.com/activescan/com/activescan_principal.htm) [Panda]

Se neppure cosi' vieni a capo, chiedi aiuto ad altri utenti,tipo Bilancino,Eraser, che mi sembrano essere particolarmente ferrati...

[Alberello69]

fatto con trend...non trova nulla, provo panda

[Alberello69]

panda LO HA TROVATO e sta continuando la scansione!!!!!!!!
ma roba da pazzi!!!!!!!!
buttate tutti i vostri norton vari e Trend micro.....

:muro: :muro: :muro:

[Alberello69]

ecco il report:


Incident Status Location

Virus:Bck/mIRCBased.F Disinfected C:\WINDOWS\system32\msthost.exe
Virus:Bck/IRCFlood.I Disinfected C:\WINDOWS\system32\setuphl.cmd

[Alberello69]

anda Titanium Antivirus 2004 incident report


EVENT DATE RESULTS ADDITIONAL INFORMATION
-------------------------------------------------------------------------------------------------------------------------------------------------------------
Scan completed 09/22/04 23:09:16 Scan: Pop-up menu
Hacking tool detected: Application/Serv-U- 09/22/04 23:09:15 Eliminated Location: c:\windows\system32\dllcache\win32\csrss.exe
Hacking tool detected: Application/Iroffer 09/22/04 23:09:13 Eliminated Location: c:\windows\system32\dllcache\win32\services.exe
Hacking tool detected: Application/Serv-U- 09/22/04 23:09:12 Eliminated Location: C:\WINDOWS\system32\lssas.exe
Scan started 09/22/04 23:09:06 Scan: Pop-up menu

[Alberello69]

:O adesso voglio vedere chi mi spiega perchè il Norton 2005 e Il Trend Micro non hanno nemmeno visto un virus conosciuto.

:read:

[cherokee]

Stò cercando anche io il tool di scansione on line del PAnda...vado nella pagina di Panda ...ma non riesco a trovarlo...

Mi date una dritta ?

Grazie

[Alberello69]

:read:sulla pagina principale c'è un'icona gigante sulla sinistra: Panda Active Scan, poi clicca su Scan your PC....