avserve2.exe

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Danas upalim komp, krenem da radim nesto i odjednom poruka da ce se iskljuciti za 60 sec (pao RPC). Skenirao sam komp svim alatima koje imam za msblastera i slicne, avg nista nije nasao, i tek sam task manageru video da se na svakih par sekundi pojavi proces 'avserve2' i nestane, i za to vreme se kursor promeni kao da radi nesto u pozadini.
Elem, obrisao sam ga iz startupa i premestio fajl na drugo mesto (dok ne saznam sta je) i vise nemam problema. Fajl se inace nalazio u c:\windows i velicine je 15.872 kb

Zna li neko sta je ovo?

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Znaci gasi mi se komp za 60, skenirao sam za blast nista nije nasao, ista poruka za Remote Procedure Call proces i sve sam skenirao sa avastom. Samo nisam uspeo da nadjem avserve2.exe ni na hardu ni u startupu ni proces nisam primetio.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Nisi primetio ni da si usao sa drugo "Ja"

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Radi se izgleda o Crviću .. worm.win32.sasser.B verzija ..
zakrpa: http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

više informacija:
Worm.Win32.Sasser.b
[ 05/02/2004 22:14, GMT +03:00, Moscow ]
Danger : moderate risk

This worm spreads via the Internet using a vulnerability in the Microsoft Windows LSASS service. The vulnerability is described in Microsoft Security Bulletin MS04-011, which can be found at:

http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

The worm is written in C/C++ using Visual C compiler. It is approximately 15KB in size, and packed using ZiPack.
Propagation
When launching, the worm registers itself in the system registry autorun key:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
avserve2.exe = %WINDIR%\avserve2.exe

The worm scans IP addresses, searching for computers which have the vulnerability described in MS04-011. A vulnerable computer will launch the command packet "cmd.exe" on TCP port 9996, and will then accept commands to download and launch copies of the worm.

Downloading is carried out via FTP protocol.

In order to do this the worm launches an FTP server on TCP port 5554 and on request from the victim computer loads a copy of itself. The copy of the worm will be loaded under the name "_up.exe", where "_" is a random number.
I skidajte novije definicije virusa za čišćenje virusa sa kompa ..

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Tacno. Danas sam skinuo najnoviji update za AVG (prethodni sam skinuo pre dva dana) i detektovao ga je i uspesno obrisao.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

"KAV" taj virus ima u svojoj definiciji još od 5 Februara ove godine.

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

izgleda da kreće polako da se širi ..

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Citat: "KAV" taj virus ima u svojoj definiciji još od 5 Februara ove godine

Verujem, ali video si i sam kako KAV radi kod mene...