Comment éliminer le ver Blaster

Comment éliminer Blaster sur mon ordinateur ?

Il est impératif d'installer le patch Microsoft MS03-026, pour cela il est impératif d'aller sur le site
microsoft windows update (http://windowsupdate.microsoft.com/).
Nous vous conseillons d'installer tous les patches recommandés par le site windowsupdate.

Sous Windows XP, je vous recommande de désactiver la restauration système avant de continuer.
Pour ce faire, faites un clic droit sur Poste de Travail puis propriétés, allez ensuite sur l'onglet Restauration système puis décochez la case "Désactiver la Restauration du système"

Blaster fonctionne très certainement sur votre ordinateur, il faut arrêter le processus avant d'aller sur le site windowsupdate, pour ce faire, faites un CTRL - ALT- SUPPR puis cherchez un process nommé msblast.exe puis arrêtez ce processus.

Arrêtez aussi des processus qui se nommeraient PENIS32.EXE, TEEKIDS.EXE, MSPATCH.EXE, MSLAUGH.EXE, ENBIEI.EXE

Faites ensuite une recherche sur votre système de fichier pour trouver un fichier msblast.exe qui se trouverait
dans les dossiers système et supprimez le. Procédez de la même façon pour les fichiers cités précédemment.
Surtout vider la poubelle après l'opération.

Si vous êtes sous windows XP, Windows NT ou Windows 2000, alors il faudra éditer votre base de registre pour le supprimer:

Lancez un Regedit (Menu Démarrer - Exécuter - Regedit)

Positionnez vous au niveau de l'entrée HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Vous devriez trouver un lien

windows auto update = msblast.exe

Supprimez ce lien puis fermez l'éditeur.

Le premier problème que vous pourriez renconter c'est que le PC redémarre en permanence en vous affichant un message du type "Windows doit redémarrer à cause d'un appel RPC". Vous pouvez et devez bloquer ce redémarrage pour que vous puissiez mettre à jour votre ordinateur.

Pour ce faire, cliquez sur le menu démarrer puis sur exécuter et tapez :

shutdown -a

Ceci va permettre d'arrêter le processus de redémarrage, du moins pour quelques minutes...
Pour éviter le redémarrage intempestif de votre ordinateur, suivez la procédure suivante :

Maintenant, il se peut que votre ordinateur soit encore infecté par une autre variante de Blaster ou par un Trojan.
L'un des effet que l'on rencontre parfois est le suivant :

Dans ce cas, il faut impérativement redémarrer votre ordinateur en mode sans échec puis lancer votre antivirus qui doit être à jour.

En mode sans échec, vous pouvez alors lancer regedit (menu démarrer, exécuter puis regedit),

Positionnez vous au niveau de l'entrée HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Vous devriez trouver un lien à droite vers "Service Controller" qui lance un process nommé CSRRS.EXE, il s'agit d'un trojan, supprimez le lien

Supprimez aussi le fichier qui se trouve dans c:\windows\system32\CSRRS.EXE (a ne pas confondre avec CSRSS.EXE)

Comment éliminer Blaster sur mon réseau ?

Les antivirus sur tous vos postes sont obligatoires, ils doivent aussi être mis à jour.
Chaque poste sur le réseau doit avoir au moins le patch MS03-026 installé. Il est fortement recommandé d'installer tous les patches critiques disponibles sur le site windowsupdate. Pour simplifier vos mise à jour dans votre réseau, vous pouvez mettre en place un serveur SUS (cf http://www.laboratoire-microsoft.org/articles/win/sus/)

Supprimez tftp.exe ou au moins renommez le si vous ne l'utilisez pas, cela réduira la contamination sur le réseau.

Bloquez le traffic réseau sur votre firewall

Bloquez le traffic udp en direction du port 69 , il est utilisé par le serveur TFTP pour répandre blaster

Bloquez le traffic tcp sur le port 135, il est utilisé par le processus RPC

Bloquez le traffic tcp sur le port 4444, il est utilisé par le ver pour se connecter

Ce que je conseille à tous les administrateurs réseau de faire est de télécharger un petit outil Microsoft qui
permet de détecter les machines qui ne sont pas patchées correctement contre le ver Blaster, il ne nomme KB824146Scan.

Vous pouvez le télécharger ici : http://www.microsoft.com/downloads/details.aspx?FamilyId=13AE421B-7BAB-41A2-843B-FAD838FE472E&displaylang=fr

Dès que vous l'avez installé, lancez le en spécifiant une plage d'adresses IP :

Par exemple, je veux détecter les machines "dangereuses" sur mon réseau 192.168.1.x :

KB824146Scan 192.169.1.1-192.168.1.254

Vous aurez ensuite les informations suivantes :

Statistics:

Patched with both KB824146 (MS03-039) and KB823980 (MS03-026) .... 10
Patched with only KB823980 (MS03-026) ............................ 4
Unpatched ........................................................ 0
TOTAL HOSTS SCANNED .............................................. 14

DCOM Disabled .................................................... 0
Needs Investigation .............................................. 0
Connection refused ............................................... 6
Host unreachable ................................................. 230
Other Errors ..................................................... 0
TOTAL HOSTS SKIPPED .............................................. 236

TOTAL ADDRESSES SCANNED .......................................... 250

Tous les Articles du Laboratoire Microsoft

F.A.Q.

Quelles sont les différentes actions de filtrage IPSec ?

Quel type d’authentification utilise IPSec ?

Quel mode IPSec utiliser ?

Comment sécuriser des communications pour un serveur d’application WEB ?

Quelles ont les 4 méthodes que prend en charger Windows 2000 pour authentifier des clients Unix sur un réseau Windows :

	SUPINFO Institute of Information Technology Laboratoire Microsoft		Laboratoire Microsoft \| Blog \| Forum \| FaqXP \| CertifExpress