北京信息安全中心毒霸联合发布3.23热门病毒

北京信息安全中心毒霸联合发布3.23热门病毒

2004年03月23日12:24:47　金山毒霸安全资讯网　

　　北京信息安全测评中心、金山毒霸联合发布2004年03月23日热门病毒

　　据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：

　　“莱卡”变种C（Worm.Raleka.c）蠕虫病毒，利用RPC漏洞进行传播，影响NT以上系统，造成系统不稳定，甚至系统崩溃的现像。以下是病毒详情：

　　病毒信息：

　　病毒名称: Worm.Raleka.c
　　中文名称: 莱卡变种C
　　威胁级别: 2C
　　病毒别名: W32.HLLW.Fizzer.B@mm [Symantec]
　　　　　　　 W32/Fizzer.b@MM [McAfee]
　　　　　　　 Win32/Fizzer.B@mm [RAV]
　　　　　　　 I-Worm.Fizzer.b [KAV]
　　病毒类型: 蠕虫
　　受影响系统: WinNT/Win2000/WinXP/Win2003

　　技术特点：

· 发作条件：

这个蠕虫在TCP 135端口上扫描随机的IP地址范围以搜索容易攻击的系统。它试图使用MS03-026修补的的DCOM RPC漏洞。一旦Exploit代码被发送到一个系统，它将通过TFTP从某个远程系统下载和执行MSBLAST.EXE文件。

· 系统修改：

该蠕虫将创建注册表键:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill
从而获得自动运行机会。

· 发作现象：

典型的症状是在没有用户输入的情况下，系统每隔几分钟重新启动。客户可能还会看到：

A、存在不同寻常的TFTP*文件；
B、在WINDOWS SYSTEM32目录中存在msblast.exe文件；
C、如果是irc用户，有时会出现不正常的频道加入和文件传输；
D、自动从Internet下载文件；
E、向别的机器发动RPC漏洞攻击，端口为135.

　　解决方案:

　　· 金山毒霸已经于3月23日对该病毒进行了应急处理，请升级最新版可完全查该病毒；

　　· 更新windows,防止重复感染，补丁路径
　　　 http://www.microsoft.com/china/security/bulletins/ms03-026.asp；

　　· 手工清除：

　　　首先，对于Windows XP系统，请先关闭“系统还原功能”
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是对于系统是Win NT,Win 2000,Win XP,Win 2003 sever：

　　步骤一，在启动系统时按“F5”，进入“安全模式”

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入系统目录（Winnt\system32或windows\system32)，找
　　到文件“msBlast.exe”，将它们删除；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run