Sai


disconnected
主题工具

新病毒“振荡波”的概况和处理方法总括,补丁、专杀下载

... 发表于 2004-5-6 21:02  ... 16355 次点击

目录:

1.振荡波介绍
2.微软补丁下载(含WINDOWS语言版本不符解决办法)
3.专杀工具下载



--------------------------------------------------------------------------------


“振荡波”病毒(I-Worm/Sasser )
新浪科技讯 就在瑞星公司于4月29日晚刚发布一级安全警报之后,5月1日上午,瑞星全球反病毒监测网率先截获利用这个重大漏洞的高危病毒——“振荡波”病毒(I-Worm/Sasser ),该病毒将使互联网和用户电脑系统再次面临重大危险,其破坏程度有可能超过“冲击波”。

  在瑞星发布的一级安全警报中称,目前有90%以上的Windows2000/XP/2003用户没有给一个系统漏洞打上补丁程序,而“振荡波”病毒正是通过这个被微软定义为最高级别的漏洞进行传播的,因此瑞星反病毒工程师预测将有众多电脑被该病毒攻击,极有可能造成大规模泛滥。

  根据分析,“振荡波”病毒会在网络上自动搜索系统有漏洞的电脑,并直接引导这些电脑下载病毒文件并执行,因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网,就有可能被感染。

  “振荡波”病毒的发作特点,类似于去年夏天造成大规模电脑系统瘫痪的“冲击波”病毒,那就是造成电脑反复重启。

  
  简要技术分析

  瑞星反病毒专家王耀华介绍,该病毒会通过FTP的5554端口攻击电脑,使系统文件崩溃,造成电脑反复重启。病毒如果攻击成功,会在C:\WINDOWS目录下产生名为avserve.exe的病毒体,用户可以通过查找该病毒文件来判断是否中毒。

  “振荡波”病毒会随机扫描IP地址,对存在有漏洞的计算机进行攻击,并会打开FTP的5554端口,用来上传病毒文件,该病毒还会在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中建立:"avserve.exe"=%windows%\avserve.exe的病毒键值进行自启动。

  该病毒会使“安全认证子系统”进程━━LSASS.exe崩溃,出现系统反复重启的现象,并且使跟安全认证有关的程序出现严重运行错误。


  如何防范“振荡波”

  首先,用户必须迅速下载微软补丁程序,对于该病毒的防 范,http://www.microsoft.com/china/tech...ms04-011.mspx

  如果用户已经被该病毒感染,首先应该立刻断网,手工删除该病毒文件,然后上网下载补丁程序,并升级杀毒软件或者下载专杀工具。手工删除方法:查找该目录C:\WINDOWS目录下产生名为avserve.exe的病毒文件,将其删除。


--------------------------------------------------------------------------------

补丁下载网址,for WINDOWS XP:

KB835732
http://www.microsoft.com/downloads/details...splayLang=zh-cn

KB828741
http://www.microsoft.com/downloads/details...splayLang=zh-cn

KB837001
http://www.microsoft.com/downloads/details...splayLang=zh-cn

windows 2000

KB835732
http://www.microsoft.com/downloads/details...splaylang=zh-cn

KB828741
http://www.microsoft.com/downloads/details...splayLang=zh-cn

KB837001
http://www.microsoft.com/downloads/details...splayLang=zh-cn

其他winnt内核版本的windows用户,可以先打开以上的页面,然后按左边的“windows 安全与更新”,再输入补丁代号搜索,很轻松便可以找到各版本的补丁。

--------------------------------------------------------------------------------


关于安装补丁时,提示语言版本不同的解决方法

刚刚请教的我们系里的高手.....:)
偶可不大懂,也没遇到这个问题,因为装的是正版XP。
这个问题只可能在winxp中出现,如果是在其他版本出现请不要照搬方法

出现原因:

安装的盗版winXP,该版本免激活,而且可以升级。但是微软在那个大家熟知的rpc漏洞的补丁中做了手脚,使得盗版xp不能再安装补丁。

解决方法:(已经测试,但仍强烈建议先备份注册表)

建立一个注册表文件,内容如下:(“1004”为简体(新加坡)版,应改为你自己的系统语言代码,见文末)

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\Language]
"InstallLanguage"="0804"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Nls\Language]
"InstallLanguage"="0804"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language]
"InstallLanguage"="0804"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001


前面三个“0804”表示的是简体中文版本,RPC补丁就检查这几个键值。在XP下执行这个注册表文件,然后重新启动到安全模式,打上中文版的补丁,这时不要重新启动,修改上面的那个注册文件,将前三个“0804”修改成你原来XP系统的语言代码,例如“1004”为简体(新加坡)版。然后存盘,再次执行,否则的话,XP会要求你用原盘再次激活。

查XP系统的语言的,可以看system32目录下的shell32.dll的语言版本就可以知道,0409代表英文,0404为中文(台湾)。


--------------------------------------------------------------------------------


去这里下 “震荡波(Worm.Sasser)”病毒专杀工具(瑞星)

下载地址:http://it.rising.com.cn/service/technology/RS_sasser.htm

或者
诺顿的专杀工具(可杀震荡波变种):
http://securityresponse.symantec.com/avcen...er/FxSasser.exe


--------------------------------------------------------------------------------

本主题共有 5 条回复 | 回到顶部
#1 - 2004-5-15 19:37
雨琳 地球
复杂啊.......
#2 - 2004-5-16 10:44
奇迹 地球 说:看不懂啊
#3 - 2004-5-16 19:48
Sai 桂林
中了毒就要你欲哭无泪
#4 - 2004-5-24 20:35
adachina 桂林
这只是小病毒嘛,没必要这么紧张的额!
#5 - 2005-7-6 15:13
Sai-伪 地球
呵呵,小病毒……害了不少人丢饭碗哦……
看完之后有话想说?那就帮楼主加盖一层吧!

在回复之前你需要先进行登录
用户名 / UID
密码
Project Parasynthesis | Based on Discuz! 5.5.0 | Thanks to Livid
About | Help | Developer | N2Design
清除 Cookies - 联系我们 - 无名杂志 - Archiver - Mobile
Processed in 0.048664 second(s), 7 queries, Gzip enabled