“震盪波”變種B(Worm.Sasser.b)

“震盪波”變種B(Worm.Sasser.b)

震盪波”變種B(Worm.Sasser.b)是一種計算機病毒,病毒長度是15,872 位元組

基本介紹

  • 中文名:震盪波變種B
  • 外文名:Worm.Sasser.b
  • 威脅級別:3A
  • 病毒別名: W32.Sasser.B.Worm [Symantec]
  • 病毒類型蠕蟲
  • 受影響系統:WinNT/Win2000/WinXP/Win2003
  • 發現日期:2004.05.02
  • 處理日期:2004.05.02
病毒發作現象,特別說明,解決方案:,

病毒發作現象

使用AbortSystemShutdown API來防止系統重啟或關機。
它開啟TCP連線埠5554來建立一個FTP伺服器,用來當作感染其他機器的伺服器。通過TCP445連線埠掃描隨機IP位址,當連線成功時,被感染計算機向被連線機器發動溢出攻擊,被攻擊的計算機將會自動連線被感染計算機的5554連線埠並通過FTP下載蠕蟲的副本,名稱一般為4到5個數字加上"_up"的組合,如(78456_up.exe).由於該病毒本身編寫的漏洞存在,它運行一段時間後會導致LSASS.EXE的崩潰,當LSASS.EXE崩潰時系統默認會重啟。同時開啟100多個執行緒攻擊。

特別說明

和最近出現的大部分蠕蟲病毒不同,該病毒並不通過郵件傳播,而是通過命令易受感染的機器下載特定檔案並運行,來達到感染的目的。
檔案名稱為:avserve2.exe
其他細節:該自運行的蠕蟲通過使用Windows的一個漏洞來傳播[MS04-011 vulnerability (CAN-2003-0907)],關於該漏洞的更多信息請訪問:
http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx
系統修改:
A、拷貝自身到:
%Windir%\avserve2.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
下添加如下鍵值:
"avserve2.exe" = %SystemRoot%\avserve2.exe
B、拷貝其本身至系統目錄:
%System%\<5位隨機數字>_up.exe
C、在C糟根目錄創建以下檔案:
C:\win.log(該檔案用以記錄本地主機的IP位址)

解決方案:

· 請使用金山毒霸2004年05月02日的病毒庫可完全處理該病毒;
· 手工解決方案
首先,若系統為WinMe,則請先關閉系統還原功能;
毒霸論壇:反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系統還原”功能)
步驟一,使用進程式管里器結束病毒進程
右鍵單擊系統列,彈出選單,選擇“任務管理器”,調出“Windows任務管理器”視窗。在任務
管理器中,單擊“進程”標籤,在例表欄內找到病毒進程“avserve2.exe”,單擊“結束進程
按鈕”,點擊“是”,結束病毒進程,然後關閉“Windows任務管理器”;
步驟二,查找並刪除病毒程式
通過“我的電腦”或“資源管理器”進入系統目錄(Winnt或windows),找到檔案
"avserve2.exe",將它刪除;然後進入系統目錄(Winnt\system32或windows\system32),找到文
件"*_up.exe", 將它們刪除;
步驟三,清除病毒在註冊表里添加的項
打開註冊表編輯器: 點擊開始>運行, 輸入REGEDIT, 按Enter;
在左邊的面板中, 雙擊(按箭頭順序查找,找到後雙擊):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
在右邊的面板中, 找到並刪除如下項目:
"avserve2.exe" = %SystemRoot%\avserve2.exe
關閉註冊表編輯器.

相關詞條

熱門詞條

聯絡我們