bonjour,
Je soupçonne trés fortement l'un des participants au démo-game de m'avoir refilé un ver. En effet je n'attrape pour ainsi dire jamais de virus, ou alors quand je suis susceptible d'en attraper je teste immédiatement. Et aujourd'hui je voies un process inconnu qui tente d'accéder à Internet. Premier réflexe, je scanne ma machine, c'était bien une saloperie.
Donc, pourquoi est-ce que je dis ça à vous? Et bien, ce que je ne comprenais c'est comment j'ai pu attraper cette petite bête, et bien voyez ce que j'ai lu, j'en ais encore froid dans le dos:
This malware also has backdoor capabilities. It connects to mIRC and acts as a client. As an IRC client, it grants the malicious user remote access over the machine to carryout the following commands:
Obtain system information, such as the following:
CPU speed
Memory size
Windows platform, build version and product ID
Malware uptime
Current user
Disable network shares
Resolve IP or host name by DNS
Execute a .EXE file
Open a file
Flush DNS cache
Disable DCOM
Disconnect/reconnect from IRC server
Change IRC server
Join/leave an IRC channel
Send a private message through IRC
Update the malware through HTTP or FTP
Download and execute a file from an HTTP or FTP server
Restart/shutdown machine
Logoff current user
List/kill all running processes
Je ne vais jamais sur IRC en dehors du démo-game. Forcément quand j'y vais j'autorise IRC à ouvrir certains ports... Je pense donc assez fortement que c'est l'un d'entre vous qui m'a gentiment fait partagé sa ptite bête, et je vous invite à examiner votre PC au plus vite, ne serait-ce que par acquis de conscience.
Il y en a au moins deux sur mon PC qui m'ont été trés probablement transmis par IRC:
- WORM_SDBOT.DA
- WORM_RANDEX.AR
chris.
La brave petite, il faut dire que tu n'étais pas allé sur IRC. Je suis presque certain que cela vient de là.
chris.
c'est quoi IRC ??? bon pas grave mais Pc cillin (quel nom a la con) me dis que je suis clean .
Tout comprendre c'est tout pardonner. Ce qui n'implique pas l'approbation.
VMWare marche trés bien comme MV.
Pour savoir si vous avez ces saloperies, regarder si les clés suivantes sont dans la base de registre:
- Pour RANDEX.AR
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
ServicesMicrosoft UPDATER32="LSASS32.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft UPDATER32="LSASS32.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
xcanxbwv = axcvqvzk.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Servicesxcanxbwv = axcvqvzk.exe
Si au moins l'une de ces clés est présentent, vous êtes atteint.
- Pour le trés méchant WORM_SDBOT.DA:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
Generic Host Process for Win32 Services = "SPSVC.EXE"
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
Generic Host Process for Win32 Services = "SPSVC.EXE"
Si au moins l'une de ces clés est présentent, vous êtes atteint.
chris.
BWH Le 21/12/2003 à 23:47 Rien choppé non plus.
A partir du moment ou l'on surfe sur internet, un antivirus avec définition des virus à jour est indispensable. Un firewall est fortement conseillé: ça évite de chopper des m.... comme blaster.
"A quoi bon soulever des montagnes quand il est si simple de passer par dessus ?"
Boris Vian
voui, perfect de ton coté. Je vais creuser pour savoir d'ou il provient.
chris.
Il n'est référéncé chez trend que depuis le 18 décembre. Sous le nom de SPSVC.EXE je ne trouve rien à l'adresse que tu donnes. J'ai un peu progressé, je crois savoir par quelle commande il est rentré chez-moi.
chris.
en fait c'est la combinaison sdbot et randex qui m'a fait tilter, sans percuter que c'était le nom du virus et d'un alias
Bon je pense avoir trouvé comme il se transmettait. Quelq'un veux essayer?
chris.
Au secours je me suis choppé 190 files infected. (j'ai cliqué sur un *%!§* de lien)
J'ai :
WORM KWBOT.C
WORM SDDROP.A
BKDR SDBOT.F
Je suis allé sur le scan online indiqué par Avance dans ce sujet plus haut et il me dit que les fichiers sont "non cleanable". Je flippe un peu là.
Under the ruins of a walled city
Crumbling towers in beams of yellow light
No flags of truce, no cries of pity
The siege guns had been pounding all through the night.
Mis à part que je ne vois pas l'intérêt d'un pare-feu, c'est facile de jouer en multi derrière. J'ai bien réussi à hoster une partie derrière un routeur.
lol ) et régulièrement je nettoie les cookies qui sont sur mon PC.
