W32.Welchia.Worm - Rimozione

Rimozione utilizzando lo strumento di rimozione di W32.Welchia.Worm
Symantec Security Response ha sviluppato uno strumento per ripulire le infezioni di W32.Welchia.Worm. Si tratta del metodo più semplice a disposizione ed è quello da provare per primo. Per ottenere lo strumento di rimozione di W32.Welchia.Worm, leggere il documento "Strumento di rimozione di W32.Welchia.Worm".

Rimozione manuale
Come alternativa all'utilizzo dello strumento di rimozione, è possibile rimuovere questa minaccia manualmente. Le istruzioni seguenti riguardano tutti i prodotti antivirus di Symantec attuali e recenti, comprese le linee di prodotti Symantec AntiVirus e Norton AntiVirus.

1. Disattivare Ripristino configurazione di sistema (Windows XP).
2. Aggiornare le definizioni dei virus.
3. Riavviare il computer o terminare il processo del worm.
4. Eseguire una scansione completa del sistema ed eliminare tutti i file rilevati come W32.Welchia.Worm.
5. Eliminare i valori dal registro.
6. Eliminare il file Svchost.exe.

Per dettagli su ciascuno di questi passaggi, leggere le seguenti istruzioni.

1. Disattivazione di Ripristino configurazione di sistema (Windows XP).
Se viene eseguito Windows XP, si consiglia di disattivare temporaneamente Ripristino configurazione di sistema. Questa funzionalità, che è attivata in modo predefinito, viene utilizzata da Windows XP per ripristinare i file sul computer nel caso vengano danneggiati. Se un virus, worm o Trojan infetta un computer, Ripristino configurazione di sistema potrebbe eseguirne il backup.

Windows impedisce che programmi esterni, compresi i programmi antivirus, modifichino Ripristino configurazione di sistema. Di conseguenza, i programmi o gli strumenti antivirus non possono rimuovere eventuali minacce presenti nella cartella Restore del sistema. Il risultato è che Ripristino configurazione di sistema può potenzialmente ripristinare un file infetto sul computer, anche se tutti i file infetti sono stati rimossi dalle altre posizioni.

Inoltre, una scansione virus potrebbe rilevare una minaccia nella cartella Restore del sistema anche se la minaccia è stata rimossa.

Per istruzioni sulla disattivazione di Ripristino di sistema, consultare la documentazione Windows o uno degli articoli seguenti:

• "Come disattivare o attivare Ripristino configurazione di sistema in Windows Me"
• "Come disattivare o attivare Ripristino configurazione di sistema in Windows XP"

Per ulteriori informazioni e un'alternativa alla disattivazione di Ripristino configurazione di sistema in Windows Me consultare il documento del Knowledge Base di Microsoft Antivirus Tools Cannot Clean Infected Files in the _Restore Folder numero: Q263455.

2. Aggiornamento delle definizioni dei virus
Prima di pubblicare le definizioni dei virus sui nostri server, Symantec Security Response ne effettua test approfonditi per certificarne la qualità. Per ottenere le definizioni dei virus più recenti sono disponibili due metodi:

• Esecuzione di LiveUpdate, che è il metodo più semplice per ottenere le definizioni dei virus. Queste definizioni dei virus vengono pubblicate sui server di LiveUpdate una volta alla settimana, generalmente il venerdì, a meno che non si verifichino epidemie di rilievo. Per determinare se le definizioni per questa minaccia sono disponibili tramite LiveUpdate, consultare Definizioni dei virus (LiveUpdate).
• Scaricamento delle definizioni tramite Intelligent Updater: Le definizioni dei virus di Intelligent Updater vengono pubblicate quotidianamente, nei giorni lavorativi statunitensi (dal lunedì al venerdì). Le definizioni vanno scaricate dal sito Web di Symantec Security Response e installate manualmente. Per determinare se le definizioni per questa minaccia sono disponibili tramite Intelligent Updater, consultare Definizioni dei virus (Intelligent Updater).
  
  Le Definizioni dei virus Intelligent Updater sono disponibili all'indirizzo: http://securityresponse.symantec.com/avcenter/defs.download.html. Per istruzioni dettagliate leggere Come aggiornare i file delle definizioni dei virus mediante Intelligent Updater.
  

3. Riavvio del computer in modalità provvisoria o terminazione dei servizi del worm

Windows 95/98/Me
Riavviare il computer in modalità provvisoria. Tutti i sistemi operativi Windows a 32 bit, tranne Windows NT, possono essere riavviati in modalità provvisoria. Per informazioni sulla procedura, consultare il documento Come avviare il computer in modalità provvisoria.

Windows NT/2000/XP
Per interrompere i servizi del Worm:
1. Aprire Servizi in Strumenti di amministrazione situato nel Pannello di controllo.
2. Scorrere la lista nel riquadro di destra e cercare i nomi seguenti:
   • Network Connections Sharing
   • WINS Client
3. Se si trovano questi servizi, fare clic con il tasto destro del mouse su di essi, quindi fare clic su Interrompi.
4. Uscire da Servizi.
   

4. Scansione ed eliminazione dei file infetti

1. Avviare il programma antivirus Symantec in uso, quindi controllare che sia configurato per eseguire la scansione di tutti i file.
   • Per i prodotti consumer Norton AntiVirus: leggere il documento Come configurare Norton AntiVirus per effettuare una scansione di tutti i file.
   • Per i prodotti enterprise Symantec AntiVirus: leggere il documento Come verificare che il prodotto antivirus Symantec Corporate sia impostato per eseguire la scansione di tutti i file.
2. Eseguire una scansione completa del sistema.
3. Se vengono rilevati file infettati con W32.Welchia.Worm, fare clic su Elimina.

5. Eliminazione dei valori dal registro

---

ATTENZIONE: Prima di modificare il registro di sistema si raccomanda vivamente di eseguirne una copia di backup. Modifiche errate al Registro di sistema possono provocare perdite di dati e danni irreversibili ai file. Modificare unicamente le chiavi specificate. A questo proposito, consultare il documento Come eseguire il backup del Registro di sistema di Windows.

---

1. Fare clic su Start, quindi su Esegui. (Viene visualizzata la finestra di dialogo Esegui).
2. Digitare regedit
   
   Quindi fare clic su OK. (Si pare l'Editor di registro).
   
   
3. Andare alla chiave:
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
   
   
4. Eliminare le sottochiavi:
   
   RpcPatch
   
   e:
   
   RpcTftpd
   
   
5. Uscire dall'Editor di registro.
   

6. Eliminazione del file Svchost.exe
Accedere alla cartella %System%\Wins ed eliminare il file Svchost.exe.

DETTAGLI TECNICI