Gaobot

Le
Odile
Bonjour
Mon AV (Panda) vient de bloquer le virus W32/Gaobot.kd.worm qui était allé
se loger dans le spool de l'imprimante, et avait commencé à déclencher une
dégelée d'impressions (1 ou 2 lignes par page, de signes cabalistiques) -
heureusement que j'étais là pour arrêter le déluge!
A toutes fins utiles

--
Odile
pour me répondre
odile-clout[at]isolux.net
l'éclairage et ses solutions

http://www.isolux.net/
Vos réponses
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
joke0
Le #1131453
Salut,

Odile:
Mon AV (Panda) vient de bloquer le virus W32/Gaobot.kd.worm


Bien.

heureusement que j'étais là pour arrêter le déluge!


Pas vraiment, puisque c'est l'antivirus qui a fait le boulot.
Par contre vous ne faites pas votre travail, puisque votre
windows n'est pas à jour ou mal configuré. Comment ce Agobot
est-il arrivé? En plus vous n'utilisez pas de firewall...

--
joke0

Odile
Le #1131321

Pas vraiment, puisque c'est l'antivirus qui a fait le boulot.
Par contre vous ne faites pas votre travail, puisque votre
windows n'est pas à jour ou mal configuré. Comment ce Agobot
est-il arrivé? En plus vous n'utilisez pas de firewall...

--
joke0


1/j'ai arrêté le déluge en éteignant l'imprimante, sinon je ne sais pas
combien de pages elle
me sortait...si je n'avais pas été présente, que ce serait-il passé?

2/comment puis-je savoir si mon Windows est à jour?
j'ai tout réinstallé (avec l'aide d'un professionnel) pas plus tard que le
21/04 (Windows XP familial), et installé les mises à jour
je vais aller vérifier au plus tôt
Si c'est mal configuré, où est-ce que je dois intervenir???

3/la présence du virus m'a été signalée par mon AV (avec firewall intégré et
actif en permanence), et l'imprimante s'est mise en route au même moment

Merci
Odile

joke0
Le #1132542
Salut,

Odile:
2/comment puis-je savoir si mon Windows est à jour?
j'ai tout réinstallé (avec l'aide d'un professionnel) pas plus
tard que le 21/04 (Windows XP familial), et installé les mises
à jour je vais aller vérifier au plus tôt


Allez ici:
http://www.windowsupdate.com

S'il y a trop de mises à jour, téléchargez surtout celle de
juillet 2003 concernant le service RPC.

Si c'est mal configuré, où est-ce que je dois intervenir???


Là je pense aux partages. Êtes-vous en réseau local? Avez-vous
des partages de ressources (disque, répertoire, imprimante) par
NetBios?

3/la présence du virus m'a été signalée par mon AV (avec
firewall intégré et actif en permanence), et l'imprimante
s'est mise en route au même moment


Votre AV n'a pas stoppé les actions malveillante du ver :-(

--
joke0

Odile
Le #1132410
Si c'est mal configuré, où est-ce que je dois intervenir???


Là je pense aux partages. Êtes-vous en réseau local? Avez-vous
des partages de ressources (disque, répertoire, imprimante) par
NetBios?


En effet il y a 2 ordinateurs en réseau (2 cartes Realteck et un câble
croisé RJ 45) qui partagent la connexion sans problème, mais en effet on ne
peut pas partager les dossiers..."on" n'a pas encore trouvé la solution!


Votre AV n'a pas stoppé les actions malveillante du ver :-(

Sans doute que non en effet, car on dirait que mon imprimante est devenue

folle!
Elle se met en route toute seule, et me met des dizaines de documents dans
la fille d'attente;
je suis obligée de l'arrêter avec l'interrupteur!
Qu'est-ce que je dois faire maintenant?
Je suis allée voir si je trouvais trace de ce virus à l'endroit indiqué,
mais rien.


joke0
Le #1132271
Salut,

Odile:
En effet il y a 2 ordinateurs en réseau (2 cartes Realteck et
un câble croisé RJ 45) qui partagent la connexion sans
problème, mais en effet on ne peut pas partager les
dossiers..."on" n'a pas encore trouvé la solution!


Dans la configuration réseau (Paramètres > Panneau de config >
Réseau) Avez-vous "Partage fichiers et imprimante"?

Votre AV n'a pas stoppé les actions malveillante du ver :-(


Qu'est-ce que je dois faire maintenant?


Windows update? (c'est fait?)
Vous utilisez les services d'un firewall?

Je cherche à comprendre comment gaobot/agobot est rentré, car il
faut absolument boucher la faille avant de nettoyer.

Ou alors vous avez exécuté le ver en local...

--
joke0


Odile
Le #1132137
Dans la configuration réseau (Paramètres > Panneau de config >
Réseau) Avez-vous "Partage fichiers et imprimante"?


Non!
Je n'ai pas de ligne "réseau" dans le panneau de configuration
Mais je viens de constater que l'imprimante était "partagée" (je ne sais
comment s'est fait ce paramétrage)
J'ai annulé cette option - je ne sais si cela va changer quelque chose...


Windows update? (c'est fait?)
oui

Vous utilisez les services d'un firewall?
oui, celui de mon AV (Panda) qui est paramtéré pour autoriser ou refuser des

programmes

Je cherche à comprendre comment gaobot/agobot est rentré, car il
faut absolument boucher la faille avant de nettoyer.

Ou alors vous avez exécuté le ver en local...
???


En passant l'antivirus du site de Securser.com, j'ai trouvé 199 fichiers
infectés dont 1 Netsky.P, et 198 agobot.mz!
On ne pouvait pas les nettoyer, je les ai supprimés.
Le rapport de l'AV indique: "désinfectés"

En consultant les propriétés d'un document de la file d'attente de
l'imprimante, je vois:
propriétaire: invité
avertir: invité
c'est qui celui-là?
je n'ai pas de compte invité, où plutôt il y en a un, mais désactivé

joke0
Le #1131997
Salut,

Odile:
oui, celui de mon AV (Panda) qui est paramtéré pour autoriser
ou refuser des programmes


Est-il configuré pour accepter des connections de l'extérieur
sur NetBios (ports 137 à 139?) et sur le port 445?

Je cherche à comprendre comment gaobot/agobot est rentré, car
il faut absolument boucher la faille avant de nettoyer.

Ou alors vous avez exécuté le ver en local...
???



Exécuté un fichier qui était en fait le ver.

En passant l'antivirus du site de Securser.com, j'ai trouvé
199 fichiers infectés dont 1 Netsky.P, et 198 agobot.mz!


La description est là:
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_AGOBOT.MZ

On ne pouvait pas les nettoyer, je les ai supprimés. Le
rapport de l'AV indique: "désinfectés"


Bien! Vérifiez qu'il n'y a pas de processus "WINDOWSRX.EXE" dans
le gestionnaire de tâches (par ALT+CTRL+SUPPR). Si oui,
terminez-le.

Et l'autre PC du réseau, il est propre?

Aviez-vous désactivé la restauration système automatique
auparavant?

Si non: <copié>
0- Déconnection d'internet en débrachant carrément le cable.

1- Désactive la restauration système (sous WinME et XP).
Aide: http://www.lacave.net/~jokeuse/usenet/faq-fcsv.html#a8.5

2- Redémarre en mode sans échec (touche F8 au tout début du
chargement de win), choix "safe mode" ou "mode sans échec",

3- Passe un coup d'antivirus (configuré en désinfection automatique),

4- Remettre la restauration système lorsque le ménage est fait.

</copié>

Avant de reconnecter, vérifiez que la configuration du firewall.

Vérifiez aussi que votre pc est patché contre ça:
http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx

En consultant les propriétés d'un document de la file
d'attente de l'imprimante, je vois:
propriétaire: invité
avertir: invité
c'est qui celui-là?


Un compte créé par Agobot. Supprimez-le.

--
joke0


Odile
Le #1470587
A ce stade, je décroche, pardon!
Cela dépasse mes compétences et je vais encore me faire traiter de
"bidouilleuse" par des gens
mal intentionnés
Je vais me faire aider par quelqu'un sur place.
Merci tout de même d'avoir pris du temps pour me donner toutes ces
précisions
Odile
Odile
Le #1134064

Mais non, comment voulez-vous progresser si vous ne mettez pas
les mains dans le cambouis?

joke0


...je ne parlais évidemment pas de gens d'ici!

joke0
Le #1133934
Salut,

Odile:
...je ne parlais évidemment pas de gens d'ici!


Moi non plus.

--
joke0

Publicité
Poster une réponse
Anonyme