冲击波病毒简介及解决方法

一、简介


      【病毒名称】冲击波 ( Worm.Blaster )

  【病毒类型】蠕虫病毒

  【依赖系统】WINDOWS NT/2000/XP

  【传播途径】网络/RPC漏洞

  【病毒症状】

  “冲击波”病毒Worm.msBlast是第一个利用RPC漏洞进行攻击和传染的病毒!漏洞存在于Windows NT、Windows 2000、     Windows XP和微软最新主要操作系统Windows Server 2003。

 

  受感染的机器将会出现下列症状:

 

  1、莫名其妙地死机或重新启动计算机或显示60秒倒计时关机;

  2、IE浏览器不能正常地打开链接;

  3、不能复制粘贴;

  4、有时出现应用程序异常,比如Word异常;

  5、网络变慢;

  6、最重要的是,在任务管理器里有一个叫“msblast.exe”的进程在运行!

 

  【病毒危害】

 

  系统操作异常、不停重启、甚至导致系统崩溃。另外,该病毒还会对微软的一个升级网站进行拒绝服务攻击,导致该网站堵塞,使用户无法通过该网站升级系统。该病毒还会使被攻击的系统丧失更新该漏洞补丁的能力。

 

  【感染步骤】

  病毒运行时会不停地利用IP扫描技术寻找网络上系统为Win2K或XP的计算机,找到后就利用DCOM RPC缓冲区漏洞攻击该系统。

 

二、杀毒方法

  1. 病毒通过微软的最新RPC漏洞进行传播,因此用户应先给系统打上RPC补丁,补丁地址:

  http://www.pc558.net/down/html/96.html

  2. 病毒运行时会建立一个名为:“BILLY”的互斥量,使病毒自身不重复进入内存,并且病毒在内存中建立一个名为:“msblast”的进程,用户可以用任务管理器将该病毒进程终止。

  3. 病毒运行时会将自身复制为:%systemdir%/msblast.exe,用户可以手动删除该病毒文件。

  注意:%Windir%是一个变量,它指的是操作系统安装目录,默认是:“C:/Windows”或:“c:/Winnt”,也可以是用户在安装操作系统时指定的其它目录.

  4. 病毒会修改注册表的HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run项,在其中加入:"windows auto update"="msblast.exe",进行自启动,用户可以手工清除该键值。

  5. 病毒会用到135、4444、69等端口,用户可以使用防火墙软件将这些端口禁止或者使用“TCP/IP筛选” 功能,禁止这些端口。

 

三、典型案例

 

症状:

 

电脑总不定时弹出svchost.exe错误。Svchost.exe错误提示 在浏览网页时,经常弹出如下信息:Svchost.exe应用程序错误,“Ox09f3a68”指令引用的“Oxe09f3a68”内存不能为“read”。

 

解决办法:


  从描述的现象来看,很可能是系统没有安装RPC冲击波补丁,当然并非所有的Svchost.exe错误提示都是RPC漏洞造成的。在启动的时候,Svchost.exe检查注册表中的位置来构建需要加载的服务列表,这就会使多个Svchost.exe在同一时间运行。

  如果你在控制台发现有多个Svchost.exe进程并且CPU一直保持极高的占用率,那么就应该运行service.msc,把不必要的服务关掉。
并且搜索Svchost.exe文件,正常的只会找到一个在:“C:/Windows/System32”目录下的Svchost.exe程序。如果你在其他目录下发现Svchost.exe程序的话,那很可能就是中毒了。还有一种确认Svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径,所以要使用第三方的进程察看工具。如果已经中毒在安全模式下杀吧,注意把杀毒软件升级。

你可能感兴趣的:(冲击波病毒简介及解决方法)