Backdoor.Dvldr

Rozz Williams · 13-03-2003, 14:56

ciao a tutti,

è tutta la settimana che questo virus perseguita i computer dell'uffico...
lo eliminiamo, eseguiamo tutte le operazioni di rimozione....dopo poco riappare...

che diavolo è?

da dove arriva?

Bilancino · 13-03-2003, 19:06

Se i pc sono nella lan bisogna effettuare tutte le operazione di rimozione con il cavo di rete staccato e senza essere collegati su internet. Inoltre la rimozione con tool o manuale deve essere fatta su OGNI pc sempre con cavo di rete staccato.

Ciao

Rozz Williams · 14-03-2003, 15:06

ifatti è quello che abbiamo fatto....
pulito tutto la mattina, e nel pomeriggio si è ripresentato il problema...

ora ho installato Kerio su tutti i PC...e sembra che la cosa si sia risolta...

boh

Rozz Williams · 17-03-2003, 23:05

oggi pomeriggio ho fatto una prova...

disabilitato il Firewall e dopo 10 min....nortono mi segnala nuovamente il virus e lo mette in quarantena...

ma che diavolo di virus è?
e da dove arriva poi????

amvinfe · 18-03-2003, 01:30

E' un worm che installa una backdoor, appunto Backdoor.Dvldr. Attacca solo sistemi operativi 2000 XP
Entra nella task Ctrl+Maiusc+Esc
e termina
Dvldr32.exe
esci dalla task.
Start>Esegui--->regedit
cancella il valore
messnger

per il worm questa è la rimozione manuale

Start>Esegui--->regedit
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
cancella i valori
TaskMan = %Windows%\Fonts\rundll32.exe
Explorer = %Windows%Fonts\explorer.exe
lo stesso fai a seconda del sistema operativo in C:\Windows o C:\WINNT

in
HKEY_LOCAL_MACHINE>Software
HKEY_CURRENT_USER>Software
cancella il valore ORL
chiudi il registro e scansiona con l'antivirus

TUTTE LE OPERAZIONI VANNO FATTE SU OGNI PC DELLA RETE E NON CONNESSI

Marco(amvinfe)

P.S.
Dimenticavo la backdoor apre l'accesso in remoto alla porta 445 per cercare le password di sistema!!!

Rozz Williams · 18-03-2003, 12:42

perfetto, esattamente quello che avevamo fatto, su ogni PC della rete e con i cavi di rete scollegati.....

ma come si rimettevano i PC in rete tempo 10 min se lo ribeccavano....

esiste un modo per bloccare la porta 445?

io ora ho montato kerio su tutti i PC (che hanno IP pubblici) ma non riesco a bloccare la singola porta, posso solo specificare ad un dato SW il permesso di usare solo una data porta......

overciuk · 18-03-2003, 13:15

Quote:

Originally posted by "Rozz Williams"

perfetto, esattamente quello che avevamo fatto, su ogni PC della rete e con i cavi di rete scollegati.....

ma come si rimettevano i PC in rete tempo 10 min se lo ribeccavano....

esiste un modo per bloccare la porta 445?

io ora ho montato kerio su tutti i PC (che hanno IP pubblici) ma non riesco a bloccare la singola porta, posso solo specificare ad un dato SW il permesso di usare solo una data porta......

X i prog ke accedono ad internet e x le appl d sistema prova a bloccare il traffico in entrata da tale porta.

Ciao.

overciuk · 18-03-2003, 13:29

Anzi, altrimenti fai così.
Vai sempre in Administration/Advanced e crea 1 nuova regola (Rule) dove specifiki: i protocolli ke vuoi bloccare, la single port 445, Application: any, direction: both, Remote: any address, Port: any port, Action: Deny.
Così dovrebbe bastare.

Ciao.

amvinfe · 20-03-2003, 22:10

Dimenticavo che devi eiliminare anche il valore inst.exe in

Documents and Settings\All Users\Start Menu\Programs\Startup\

Marco(amvinfe)

13-03-2003, 14:56	#1
Rozz Williams Senior Member Iscritto dal: Mar 2001 Messaggi: 273	Backdoor.Dvldr ciao a tutti, è tutta la settimana che questo virus perseguita i computer dell'uffico... lo eliminiamo, eseguiamo tutte le operazioni di rimozione....dopo poco riappare... che diavolo è? da dove arriva? __________________ DeskTop: A7V AMD tb 900 512Ram IBM 30gb (ATA100) + IBM 60gb - Hercules 3D Prophet 4500 - Win XP pro (Lite) NoteBook: Dell Vostro 1500 CoreDuo2 2,4Ghz HD 500 Gb (SATA 7200rpm) RAM 4Gb Nvidia GeForce 8600M GT 256Mb 15,4' Wide - Windows 7 Ultimate 64bit Programmatore ASP/Ms SQL Server - PHP/MySQL - Serve un sito internet? sono qui ..

13-03-2003, 19:06	#2
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Se i pc sono nella lan bisogna effettuare tutte le operazione di rimozione con il cavo di rete staccato e senza essere collegati su internet. Inoltre la rimozione con tool o manuale deve essere fatta su OGNI pc sempre con cavo di rete staccato. Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

14-03-2003, 15:06	#3
Rozz Williams Senior Member Iscritto dal: Mar 2001 Messaggi: 273	ifatti è quello che abbiamo fatto.... pulito tutto la mattina, e nel pomeriggio si è ripresentato il problema... ora ho installato Kerio su tutti i PC...e sembra che la cosa si sia risolta... boh __________________ DeskTop: A7V AMD tb 900 512Ram IBM 30gb (ATA100) + IBM 60gb - Hercules 3D Prophet 4500 - Win XP pro (Lite) NoteBook: Dell Vostro 1500 CoreDuo2 2,4Ghz HD 500 Gb (SATA 7200rpm) RAM 4Gb Nvidia GeForce 8600M GT 256Mb 15,4' Wide - Windows 7 Ultimate 64bit Programmatore ASP/Ms SQL Server - PHP/MySQL - Serve un sito internet? sono qui ..

17-03-2003, 23:05	#4
Rozz Williams Senior Member Iscritto dal: Mar 2001 Messaggi: 273	oggi pomeriggio ho fatto una prova... disabilitato il Firewall e dopo 10 min....nortono mi segnala nuovamente il virus e lo mette in quarantena... ma che diavolo di virus è? e da dove arriva poi???? __________________ DeskTop: A7V AMD tb 900 512Ram IBM 30gb (ATA100) + IBM 60gb - Hercules 3D Prophet 4500 - Win XP pro (Lite) NoteBook: Dell Vostro 1500 CoreDuo2 2,4Ghz HD 500 Gb (SATA 7200rpm) RAM 4Gb Nvidia GeForce 8600M GT 256Mb 15,4' Wide - Windows 7 Ultimate 64bit Programmatore ASP/Ms SQL Server - PHP/MySQL - Serve un sito internet? sono qui ..

18-03-2003, 01:30	#5
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	E' un worm che installa una backdoor, appunto Backdoor.Dvldr. Attacca solo sistemi operativi 2000 XP Entra nella task Ctrl+Maiusc+Esc e termina Dvldr32.exe esci dalla task. Start>Esegui--->regedit cancella il valore messnger per il worm questa è la rimozione manuale Start>Esegui--->regedit HKEY_LOCAL_MACHINE>Software>Microsoft> Windows>CurrentVersion>Run cancella i valori TaskMan = %Windows%\Fonts\rundll32.exe Explorer = %Windows%Fonts\explorer.exe lo stesso fai a seconda del sistema operativo in C:\Windows o C:\WINNT in HKEY_LOCAL_MACHINE>Software HKEY_CURRENT_USER>Software cancella il valore ORL chiudi il registro e scansiona con l'antivirus TUTTE LE OPERAZIONI VANNO FATTE SU OGNI PC DELLA RETE E NON CONNESSI Marco(amvinfe) P.S. Dimenticavo la backdoor apre l'accesso in remoto alla porta 445 per cercare le password di sistema!!! __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

18-03-2003, 12:42	#6
Rozz Williams Senior Member Iscritto dal: Mar 2001 Messaggi: 273	perfetto, esattamente quello che avevamo fatto, su ogni PC della rete e con i cavi di rete scollegati..... ma come si rimettevano i PC in rete tempo 10 min se lo ribeccavano.... esiste un modo per bloccare la porta 445? io ora ho montato kerio su tutti i PC (che hanno IP pubblici) ma non riesco a bloccare la singola porta, posso solo specificare ad un dato SW il permesso di usare solo una data porta...... __________________ DeskTop: A7V AMD tb 900 512Ram IBM 30gb (ATA100) + IBM 60gb - Hercules 3D Prophet 4500 - Win XP pro (Lite) NoteBook: Dell Vostro 1500 CoreDuo2 2,4Ghz HD 500 Gb (SATA 7200rpm) RAM 4Gb Nvidia GeForce 8600M GT 256Mb 15,4' Wide - Windows 7 Ultimate 64bit Programmatore ASP/Ms SQL Server - PHP/MySQL - Serve un sito internet? sono qui ..

18-03-2003, 13:29	#8
overciuk Member Iscritto dal: Jan 2003 Messaggi: 179	Anzi, altrimenti fai così. Vai sempre in Administration/Advanced e crea 1 nuova regola (Rule) dove specifiki: i protocolli ke vuoi bloccare, la single port 445, Application: any, direction: both, Remote: any address, Port: any port, Action: Deny. Così dovrebbe bastare. Ciao.

20-03-2003, 22:10	#9
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	Dimenticavo che devi eiliminare anche il valore inst.exe in Documents and Settings\All Users\Start Menu\Programs\Startup\ Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

Strumenti
Mostra una versione stampabile Invia questa pagina per email