“震盪波”變種F病毒

病毒信息：

病毒名稱: Worm.Sasser.f

中文名稱: 震盪波變種 E

病毒長度: 74,752 位元組

威脅級別: 3A

病毒類型: 蠕蟲

病毒別名: W32.Sasser.f.Worm[Symantec]

受影響系統: Windows 2000, Windows XP, Windows 2003

· 堵塞網路。病毒的攻擊行為可讓系統不停的倒計時重啟；

· 和最近出現的大部分蠕蟲病毒不同，該病毒並不通過郵件傳播，而是通過命令易受感染的機器

下載特定檔案並運行，來達到感染的目的。

傳染條件：該自運行的蠕蟲通過使用 Windows 的一個漏洞來傳播 [MS04-011 vulnerability

(CAN-2003-0907)]

系統修改：

A 、將自身複製到 %SystemRoot%\\\\napatch.exe ( 通常為 C:\\\\WinNT\\\\ 或 C:\\\\Windows)

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run

下添加如下鍵值 :

"napatch.exe" = %SystemRoot%\\\\napatch.exe

B 、拷貝其本身至系統目錄：

%System%\\\\<5 位隨機數字 >_up.exe

C 、在 C 盤根目錄創建以下檔案：

C:\\\\win2.log( 該檔案用以記錄本地主機的 IP 地址 )

D 、使用 AbortSystemShutdown API 來防止系統重啟或關機。

E 、它開啟 TCP 連線埠 5554 來建立一個 FTP 伺服器，用來當作感染其他機器的伺服器。

F 、通過 TCP445 連線埠掃描隨機的 IP 地址，當連線成功時，被感染的計算機向被連線機器發動溢出攻擊，被攻擊的計算機將會自動連線被感染計算機的 5554 連線埠並通過 FTP 下載蠕蟲的副本，名稱一般為 4 到 5 個數字加上 "_up" 的組合，如 (78456_up.exe).

G 、由於該病毒本身編寫的漏洞存在，它運行一段時間後會導致 LSASS.EXE 的崩潰，當 LSASS.EXE 崩潰時系統默認會重啟。

H 、和最近出現的大部分蠕蟲病毒不同，該病毒並不通過郵件傳播，而是通過命令易受感染的機器下載特定檔案並運行，來達到感染的目的。

檔案名稱為： napatch.exe

I 、創建了互斥體 billgate 用於判斷是否已運行。

解決方案:

· 請升級毒霸到5月11日的病毒庫可完全處理該病毒；

· 手工解決方案

首先，若系統為WinMe或WinXP，則請先關閉系統還原功能；

相關詞條