北京信息安全中心毒霸联合发布3.11热门病毒

北京信息安全中心毒霸联合发布3.11热门病毒

2004年03月11日14:38:06　金山毒霸安全资讯网　

　　北京信息安全测评中心、金山毒霸联合发布2004年03月11日热门病毒

　　据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：

　　“安哥”变种ZL(Hack.Win32.Agobot.zl)，利用微软件漏洞快速传播，还可能通过弱密码攻击远程系统，从而获得通过网络共享的方式进行传播。病毒会利用mIRC软件开启危险级极高的后门，让黑客远程控制受感染的系统。以下是病毒详情：

　　病毒信息：

　　病毒名称: Hack.Win32.AgoBot.zl
　　病毒长度: 115,738bytes
　　中文名称: 安哥变种ZL
　　威胁级别: 2A
　　病毒类型: 黑客，后门
　　受影响系统:WinNT/Win2000/WinXP/Win2003

　　技术特点：

　　· 传染条件：

　　　 A、该病毒通过已知的以下三个微软漏洞进行主动传播：Remote Procedure Call (RPC)、
　　　　 Distributed Component Object Model (DCOM) 缓冲区溢出漏洞、
　　　　 IIS5/WEBDAV 缓冲区溢出漏洞、 RPC Locator 漏洞

　　　 B、病毒还可以通过弱密码攻击远程系统进行主动传播

　　　 C、可利用mIRC软件进行远程控制和传播

　　· 系统修改：（点击查看详情）

A、在注册表主键:
　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
　中添加如下键值：
　 "nVidia Chip4 = nvchip4.exe"
　以便病毒可以自启动

B、拷贝自身到系统目录：
　 %System%\nvchip4.exe

C、使用以下用户和密码攻击远程系统，攻击成功，则会上传病毒

用户名：
Admin 　admin 　administrador 　Administrador 　Administrat 　Administrateur
administrator 　Administrator 　admins 　computer 　Convidado 　Coordinatore
database 　Default 　default 　Guest 　Inviter 　kanri 　kanri-sha 　login
mysql 　netbios 　Ospite 　OWNER 　owner 　Owner 　server 　Standard
student 　teacher 　Verwalter 　wwwadmin

密码：
000000 　00000000 　111111 　11111111 　121212 　123123 　12345 　123456
1234567 　12345678 　123456789 　1234qwer 　123abc 　123asd 　123qwe 　54321
654321 　88888888 　abc123 　admin123 　alpha 　asdfghjkl 　changeme 　enable
foobar 　godblessyou 　homework 　ihavenopass 　Internet 　Login 　metal
mybaby 　mybox 　mypass 　oracle 　passwd 　Password 　password 　password123
patrick 　penis 　poiuytrewq 　private 　pussy 　qwerty 　qwertyuiop 　red123
school 　secret 　secrets 　super 　superman 　supersecret 　sybase 　test123
vagina 　werty 　xxyyzz 　zxcvbnm

D、可允许有恶意的用户利用这些被感染的系统进行DoS（拒绝服务）式攻击

　　· 发作现象：（点击查看详情）

　　解决方案:

　　· 请使用金山毒霸2004年03月9日的病毒库可完全处理该病毒；

　　· 请立即为您的系统打上最新补丁，并将系统的管理员密码设置的更强状，推荐使用数字加字母
　　　不少于8位的组合；

　　· 手工解决方案：（点击查看详情）

　　　首先，对于WinMe和Windows XP系统，请先关闭“系统还原功能”
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Windows9x,WindowsMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows\system），分别输入以下命令，以便删除病毒程序：
　　C:\windows\system>del nvchip4.exe
　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"nVidia Chip4 = nvchip4.exe"
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
　　在右边的面板中, 找到并删除如下项目：
　　"nVidia Chip4 = nvchip4.exe"
　　关闭注册表编辑器。

　　对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：

　　步骤一，使用进程序管里器结束病毒进程
　　右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务
　　管理器中，单击“进程”标签，在例表栏找到病毒进程“nvchip4.exe”，单击“结束进程按
　　钮”，点击“是”，结束病毒进程，然后关闭“Windows任务管理器”；

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入系统安装目录（Winnt或windows)，找到文件
　　“winlogon.exe”，将它删除；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"nVidia Chip4 = nvchip4.exe"

　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
　　在右边的面板中, 找到并删除如下项目：
　　"nVidia Chip4 = nvchip4.exe"

　　关闭注册表编辑器．