个人产品
企业产品
安全信息
病毒专栏 | 漏洞专栏 | 木马专栏 | 防护专栏 | 安全业界 | 毒霸活动 | 热点专题 | 漫画安全 | 期刊订阅
[an error occurred while processing this directive]
告诉您的位置:首页 > 病毒专栏 > 病毒档案 > 正文
"震荡波"变种C(Worm.Sasser.c)技术分析报告
2004年05月03日00:05:43 金山毒霸安全资讯网 
病毒信息:

  病毒名称: Worm.Sasser.c
  中文名称: 震荡波变种C
  病毒长度: 15,872 字节
  威胁级别: 3A
  病毒类型: 蠕虫
  受影响系统:
WinNT/Win2000/WinXP/Win2003
  发现日期: 2004.05.02
  处理日期: 2004.05.02

 发作现象:

  · 使用AbortSystemShutdown API来防止系统重启或关机;
  · 它开启TCP端口5554来建立一个FTP服务器,用来当作感染其他机器的服务器;
  · 通过TCP445端口扫描随机的IP地址,当连接成功时,被感染的计算机向被连接机器发动溢出攻
    击,被攻击的计算机将会自动连接被感染计算机的5554端口并通过FTP下载蠕虫的副本,名称一
    般为4到5个数字加上"_up"的组合,如(78456_up.exe);
  · 由于该病毒本身编写的漏洞存在,它运行一段时间后会导致LSASS.EXE的崩溃,当LSASS.EXE崩
    溃时系统默认会重启。
  · 同时开启1027个线程攻击;

  特别说明:和最近出现的大部分蠕虫病毒不同,该病毒并不通过邮件传播,而是通过命令易受感染的机器下载特定文件并运行,来达到感染的目的。
  文件名为:avserve2.exe

  其他细节:该自运行的蠕虫通过使用Windows的一个漏洞来传播[MS04-011 vulnerability (CAN-2003-0907)],关于该漏洞的更多信息请访问:
http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx

  该变种是.b变种的源码重新编译后,用同样的加壳工具加壳。

 系统修改:(点击查看详情)

 解决方案:

  · 请使用金山毒霸2004年05月02日的病毒库可完全处理该病毒;

  · 手工解决方案
 
    首先,若系统为WinMe,则请先关闭系统还原功能;
    毒霸论坛:反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能


  步骤一使用进程序管里器结束病毒进程
  右键单击任务栏,弹出菜单,选择“任务管理器”,调出“Windows任务管理器”窗口。在任务
  管理器中,单击“进程”标签,在例表栏内找到病毒进程“avserve2.exe”,单击“结束进程
  按钮”,点击“是”,结束病毒进程,然后关闭“Windows任务管理器”;

  步骤二
查找并删除病毒程序
  通过“我的电脑”或“资源管理器”进入系统目录(Winnt或windows),找到文件
  "avserve2.exe",将它删除;然后进入系统目录(Winnt\system32或windows\system32),找到文
  件"*_up.exe", 将它们删除;

  步骤三,清除病毒在注册表里添加的项
  打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter;
  在左边的面板中, 双击(按箭头顺序查找,找到后双击):
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  在右边的面板中, 找到并删除如下项目:
  "avserve2.exe" = %SystemRoot%\avserve2.exe
  关闭注册表编辑器.

    【责任编辑:May】
【我要发表评论】【内容指正】【论坛】【推荐给好友】·【 】【打印】·【顶部】【关闭窗口
【相关文章】 【去论坛】
· 金山毒霸再次截获"震荡波"变种C 警报再升级 2004-05-03 02:53
· 金山软件防杀恶蠕虫“震荡波”病毒解决方案 2004-05-03 01:48
· “震荡波”防治技巧:不用下载补丁也可防杀 2004-05-03 01:47
· 新浪科技:“震荡波”技术细节以及处理方法 2004-05-03 01:34
· 金山分析"震荡波"在向多变种高危害方向发展 2004-05-03 01:16
· 金山毒霸教你快速判断感染"震荡波"病毒四招 2004-05-03 01:15
· “震荡波”与“冲击波”两蠕虫病毒技术对比 2004-05-02 21:01
· 如何快速识别“震荡波”(Worm.Sasser)病毒? 2004-05-02 20:14
· 趋势科技:Windows漏洞又现 震荡波趁隙而入 2004-05-02 19:41
· 慢热型Sasser恶蠕虫病毒正利用多个端口传播 2004-05-02 18:19
·金山毒霸单机版讨论区
·金山网镖讨论区
·金山毒霸网络版讨论区
·毒霸在线业务专题讨论区
·安全软件讨论区
·病毒救援
【相关专题】
· 金山“安全体验风暴”专题 2003-08-21 21:01
· 大停电,“冲击波”病毒之罪?专题 2003-08-16 21:19
· RPC漏洞攻击——“冲击波”肆虐专题 2003-08-12 17:17
[an error occurred while processing this directive]
[an error occurred while processing this directive]
·全民围剿 新春无毒 
·
毒霸、网镖新功能体验版 
·
毒霸网络版2.0 sp1发布 
·
毒霸6新禧礼包惊喜登场
·
毒霸网络版 人人有礼
·毒霸网络版“租用服务”
·
金山毒霸网络版大事件
·第三次缉毒万里行专题
·JPEG图片病毒专题
·金山引爆“双响炮”计划
·金山毒霸6增强版介绍
·
十面埋伏围剿木马发布会
·
6.12北京用户产品座谈会
·
金山"网游防火墙"产品
·
反电子垃圾新功略专题
·“金山毒霸再获桂冠”
·金山“安全体验风暴”
·“冲击波”病毒之罪?
·全球黑客攻击专题
·金山毒霸V金山网镖V介绍
·金山V攻略详解专题
·金山毒霸&智冠捆绑销售
·金山软件爱心服务活动
·2003年病毒疫情调查专题
更多...
[an error occurred while processing this directive]
·病毒短信 ·在线杀毒
·病毒上报 ·专杀工具
·产品答疑 ·
媒体合作
金山简介 | 业务合作 | 广告服务 | 招聘信息 | 客服中心 | 网页报错 | 添加毒霸到QQ上
© 2007 Kingsoft Corp. 增值电信业务经营许可证B2-20040288号