Moderatori: m.paolo, kadosh, Luke57
di Drakar » 02/02/06 17:45
di Drakar » 02/02/06 18:20
Nikon ha scritto:Drakar fai cosi:
Start\Esegui adesso copia-incola questo:
C:\WINDOWS\SYSTEM32\DRIVERS\ETC
OK
Adesso apri file HOSTS con Blooco note e dimmi che cosa c'è scrito dentro.
di Drakar » 02/02/06 18:22
di Nikon » 02/02/06 19:38
di Heba » 02/02/06 19:40
Nikon ha scritto:In breve:dllhost.exe
Il worm Welchia sfrutta la stessa vulnerabilità del worm Blaster (DCOM RPC) e, nel caso il server da colpire fosse dotato di un server Web, anche una vulnerabilità di Internet Information Services 5.0 (WebDav). Il worm tenta di eliminare dal PC infetto il worm Blaster, sfruttandone gli stessi canali di trasmissione. Se attivato nel 2004 il worm Welchia si autodisinstalla.
Il worm esamina secondo un ordine stabilito o casuale i computer sulla rete Internet tentando di verificare se sono attaccabili secondo una delle due vulnerabilità descritte sopra. Se lo sono, il worm esegue sulla macchina attaccata le istruzioni per scaricare, dalla stessa macchina attaccante, il codice del Worm attraverso un server FTP.
Una volta attivato, il worm cancella i riferimenti al worm Blaster, scarica dal sito Microsoft le patch aggiornate di Windows . Il worm crea anche due servizi di rete supplementari (RpcTftpd e RpcPatch) e installa un nuovo file sotto la directory \Wins\Dllhost.exe sotto la directory di sistema di Windows.
Allora adesso funziona tutto bene.
Ciao.
...comunque, quello è un file utile al sistema che carica molti programmi e che serve al server IIS che è il server che ha Drakar, il file che tu hai detto sarebbe imputabile a welchia solo se si troverebbe sia nella sezione dei file di sistema, sia nella sezione della R ed in quella delle O, come capitato a molti altri che lo avevano e che sono passati da questo forum, vedi altri topic, questo perchè welchia è un w32 e i w32 creano copie dei files di sistema, però il log di hijackthis lo avrebbe rilevato come lo ha rilevato sempre nei casi scorsi. Quindi non penso sia questo il problema, anche perchè il welchia non fa cadere le connessioni, non che io sappia...
di Drakar » 02/02/06 19:48
Nikon ha scritto:Verissimo,ma sono puliti.non c'è niente di strano.
Adesso quarda.
Scarica questo programma:
http://www.downloads.subratam.org/l2mfix.exe
Estrai in una sua cartela in Documenti (come che hai fato con Hijackhits)
dai nome che vuoi (consiglio 12mfix)
Dopo apri la cartella e clicca sul (leggi bene)
cosi si vede : 12mfix
File batch MS-DOS
8kb
Fai doppio click sul questo,si apre una finestra
premi Invio
poi premmi 1
INVIO
quando finisce mi mandi REPORT qua.(come con Hijackhits)
di Heba » 02/02/06 19:54
di Nikon » 02/02/06 19:55
di Heba » 02/02/06 20:05
di Nikon » 02/02/06 20:14
di Drakar » 02/02/06 20:27
Nikon ha scritto:Ciao.
Non bastava leggere l'event viewer per vedere che cosa c'è.
Puoi anche fare con Hijackthis,ma qua c'è qualcosa nascosto per bene.
Con questo programa facciamo anche eliminazione come per esempio questo:Agent\Post Platform]
"SV1"=""
Ma lui non ha postato tutto il log,cosi non vediamo tutto.
ciao.
di Nikon » 02/02/06 21:55
| Upgrade Ram...su i5.. mi spiegate una cosa? qualcosa nn va.. Autore: Taso |
Forum: Assistenza Hardware Risposte: 2 |
| Qualche strumento per creare qualcosa del genere? Autore: notorious |
Forum: Audio/Video e masterizzazione Risposte: 1 |
| sapere se qualcuno si connette al mio modem Autore: azzurraa |
Forum: Reti, ADSL e wireless Risposte: 1 |
Visitano il forum: Nessuno e 35 ospiti
però per accrescere la nostra conoscenza, sarebbe meglio continuare la discussione