家计算机病毒应急处理中心:

清除Worm.MyDoom.a,Worm.MyDoom.b病毒：
当前系统不是日文系统的话，并统中了Worm.MyDoom的话,病毒将尝试清除掉。并清楚病毒
留下的后门。 　

补丁下载：
当前系统是英文，韩文或简繁中文的话，病毒将利用系统注册表尝试判断去microsoft的网
站下载相应的补丁包。并运行。 　

漏洞攻击：
病毒随机产成ip地址尝试利用以下四个漏洞进行攻击。（病毒的一个漏洞溢出点是从本地
系统的动态库中搜出：ws2_32.dll,rtutils.dll，mprapi.dll，这样对使用同样系统的局域网
攻击目标成功率将提高。）
1.DCOM RPC
2.WebDav vulnerability.
3.Workstation Service vulnerability
4.Locator service vulnerability. 　

病毒后门：
病毒监听一个随机的端口做为一个http服务器：当收到Get WksPatch.exe请求后， 向请求发
送WksPatch.exe文件。

国家计算机病毒应急处理中心通过对互联网的监测，于2004年5月1日发现一种利用微软近期公布漏洞的新蠕虫病毒，我们将其命名为“震荡波”蠕虫病毒，并已接到江苏、宁夏、北京、黑龙江、辽宁和广东等地区用户报告。

该病毒主要利用微软SSL安全漏洞进行攻击。微软证书服务中使用的PCT（Private Communication Technology）协议在处理客户端请求的时候存在一个远程缓冲区溢出漏洞，该协议是基于Microsoft IIS 5 WEB平台的Microsoft SSL（Secure Sockets Layer）库的实现。

病毒名称： "震荡波"病毒 Worm_Sasser
其它英文命名：暂无
感染系统：WinNT/Win2000/WinXP/Win2003
病毒长度：15872字节
　病毒特征：

　1、生成病毒文件
　　　　
病毒运行后，在%Windows％目录下生成自身的拷贝，名称为avserve.exe，文件长度为15872字节，和在%System%目录下生成其它病毒文件

例如:

c:\win.log : IP地址列表

c:\WINNT\avserve.exe : 蠕虫病毒文件本身

c:\WINNT\system32\11113_up.exe : 可能生成的蠕虫文件本身

c:\WINNT\system32\16843_up.exe : 可能生成的蠕虫文件本身

2、修改注册表项

病毒创建注册表项，使得自身能够在系统启动时自动运行，在
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run下创建
"avserve"=”c:\WINNT\avserve.exe”

3、通过系统漏洞主动进行传播

病毒主动进行扫描，当发现网络中存在微软SSL安全漏洞时，进行攻击，然后在受攻击的系统中生成名为cmd.ftp的ftp脚本程序，通过TCP端口5554下载蠕虫病毒。

4、危害性

受感染的系统可能死机或者造成重新启动，同时由于病毒扫描A 类或B类子网地址，目标端口是TCP 445会对网络性能有一定影响，尤其局域网可能造成瘫痪。并可以在TCP 9996端口创建远程Shell。该病毒在传播和破坏形式上与“冲击波”病毒相类似。


清除该病毒的相关建议：

1、安全模式启动
　　重新启动系统同时按下按F8键，进入系统安全模式

2、注册表的恢复

　　　　　点击"开始--〉运行"，输入regedit,运行注册表编辑器，依次双
　　　击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>
　　　CurrentVersion>Run ，并删除面板右侧的"avserve"="c:\winnt\avserve.exe"

　3、删除病毒释放的文件

　　　　　点击"开始--〉查找--〉文件和文件夹"，查找文　　　
件"avserve.exe"和"*_up.exe"，并将找到的文件删除。

4、安装系统补丁程序

到以下微软网站下载安装补丁程序：

http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx

或者在ＩＥ浏览器的工具－>Windows Update升级系统。

5、重新配置防火墙

重新配置边界防火墙或个人防火墙关闭TCP端口5554;

目前国家计算机病毒应急处理中心已经将发现的病毒样本通知各防病毒厂家，目前各厂家正在进行产品升级。同时提醒广大计算机用户注意监测其变种出现，一旦发现请立即与国家计算机病毒应急处理中心取得联系。
“震荡波”让用户无法修补系统 瑞星全球独家发布内存补丁
　[快讯]针对微软MS04-011漏洞的“震荡波”病毒来势汹汹，目前已有大量被感染用户向瑞星技术服务部门求助。在4月29日瑞星发布的一级安全警报中表示，根据瑞星互联网攻防实验室的监测，有90％以上的用户没有下载微软的补丁程序。

　　根据瑞星技术服务部门的监测，目前“震荡波”病毒已经开始在全球泛滥，预计在未来数日内将会迅速蔓延。虽然瑞星已经升级了杀毒软件并且向非瑞星用户提供免费的专杀工具，但是一个非常重要的问题是，许多被感染的用户由于病毒的破坏，已经无法正常上网下载补丁程序和反病毒软件。

　　针对这一严峻形势，瑞星宣布于5月2日凌晨两点、用中英文两种版本全球发布其独家的内存补丁工具。该补丁程序数据量非常小(80K)、很容易下载，适用于所有被“震荡波”病毒威胁和已经被感染的用户。该补丁程序下载地址为：

http://download.rising.com.cn/zsgj/RavSasser.exe

　　如果用户来不及下载、或者由于版本问题无法下载微软的补丁程序，或下载的补丁无法正常安装，请立刻下载瑞星提供的、只有80K大小内存补丁工具。该程序拥有三个明显的优点：一是数据量非常小，可以在机器重启之前迅速下载；二是适用于所有无法正常下载微软补丁程序的用户；三是该补丁集成在瑞星“震荡波”专杀工具中，因此瑞星的“震荡波”专杀工具既能查杀“震荡波”病毒，又能有效防止利用MS04-011漏洞的后续版本的病毒。

　　瑞星研发部总经理王耀华表示,这是全球首次由反病毒厂商向用户提供内存补丁工具,解决了用户无法正常下载微软补丁程序、以及杀了毒再中毒的问题,是全球安全业界的一个创举,受益者不光包括国内用户,还有国外的用户。

用户无法正常下载微软补丁程序的原因如下：
1、 已经感染此病毒，系统无法正常运行。
2、 已经感染此病毒，造成电脑连续重启，而微软的补丁程序非常大，根本来不及下载。
3、 未感染病毒，但是系统版本太低，如是NT或者2000操作系统，但是从未打过Service Pack，也有可能无法打补丁。
4、由于版本等其它原因，无法正常下载和安装微软补丁程序。

该内存补丁工具适用于以下几种用户:
1、该补丁适合于所有未打过或者无法打上微软官方MS04-011漏洞补丁的电脑，也适合于由于业务需要能打补丁、但不能进行系统重启的核心业务电脑。
2、该补丁能自动检测操作系统类型，动态生成内存补丁，并立即生效，适合于Windows 2000系列操作系统，以及Windows XP系列操作系统。
3、由于版本等其它原因，无法正常下载和安装微软补丁程序。

微软承认SSL安全补丁瑕疵 可引起Win2000系统死机
4月29日消息，微软已经在一篇知识库的文章中证实，微软为修复一个严重的SSL安全漏洞所发布的补丁存在瑕疵，可引起某些Windows 2000系统锁死或者不能启动。

这个补丁是修复一个非常严重的安全漏洞的。安全专家称，最近几天已经发现有人在利用这个安全漏洞。

这篇知识库的文章的题目异乎寻常的长：“在你安装微软MS04-011号安全公告中说明的安全更新软件之后，你的计算机将停止响应，你不能登录Windows，或者你的计算机中的CPU的使用率将达到100%。”

据这篇文章介绍，由于Windows设法反复安装那些无法安装的驱动程序，于是就出现了这个问题。微软承认，这个问题是补丁中的一个瑕疵。微软正在研究解决方案。

这篇文章还提供了一些特别的例子，北电网络虚拟专用网的客户安装了这个补丁，并且把“IP安全策略代理”（IPSec Policy Agent）设置为手动或者自动启动方式。结果，却把这项功能关闭了。不过这些问题是很普通的。安全补丁没有必要包含这些专门的驱动程序。

如何完全清除震荡波(Worm.Sasser)病毒
5月1日，“震荡波(Worm.Sasser)”病毒在网络出现，由于该病毒是通过漏洞进行传播的，因此这几日用户如果上网极有可能会感染该病毒，然后出现系统反复重启、机器运行缓慢，出现系统异常的出错框等现象，如果用户出现了上述现象，则需要对该病毒进行清除。

一、手工清除四部曲。

1、断网打补丁。

如果不给系统打上相应的漏洞补丁，则连网后依然会遭受到该病毒的攻击，用户应该先到以下地址http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx下载相应的漏洞补丁程序，然后断开网络，运行补丁程序，当补丁安装完成后再上网。

2、清除内存中的病毒进程

要想彻底清除该病毒，应该先清除内存中的病毒进程，用户可以按CTRL+SHIFT+ESC三或者右键单击任务栏，在弹出菜单中选择“任务管理器”打开任务管理器界面，然后在内存中查找名为“avserve.exe”的进程，找到后直接将它结束。

3、删除病毒文件

病毒感染系统时会在系统安装目录（默认为C:\WINNT）下产生一个名为avserve.exe的病毒文件，并在系统目录下(默认为C:\WINNT\System32)生成一些名为<随机字符串>_UP.exe的病毒文件，用户可以查找这些文件，找到后删除，如果系统提示删除文件失败，则用户需要到安全模式下或DOS系统下删除这些文件。

4、删除注册表键值

该病毒会在电脑注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run项中建立名为“avserve.exe”，内容为：“%WINDOWS%\avserve.exe”的病毒键值，为了防止病毒下次系统启动时自动运行，用户应该将该键值删除，方法是在“运行”菜单中键入“REGEDIT” 然后调出注册表编辑器，找到该病毒键值，然后直接删除。

二、自动清除三部曲

1、使用瑞星杀毒软件进行清除

用户可以将瑞星杀毒软件标准版或下载版产品升级到16.24.42版本，并进行系统盘和内存的杀毒。

2、使用瑞星在线杀毒进行清除

用户还可以使用瑞星免费的在线杀毒产品（http://online.rising.com.cn/）查找系统中是否存在病毒，然后用在线杀毒进行清除。

3、使用瑞星免费专杀工具进行清除

用户还可以到http://it.rising.com.cn/service/technology/RS_sasser.htm 网址下载免费的“震荡波病毒专杀工具”然后对电脑进行病毒扫描。

"震荡波"与"冲击波"病毒横向对比与分析
背景介绍：

　　冲击波（Worm.Blaster）病毒2003年8月12日全球爆发，该病毒由于是利用系统漏洞进行传播，因此，没有打补丁的电脑用户都会感染该病毒，从而使电脑出现系统重启、无法正常上网等现象。

　　2004年5月1日，"震荡波(Worm.Sasser)"病毒在网络出现，该病毒也是通过系统漏洞进行传播的，感染了病毒的电脑会出现系统反复重启、机器运行缓慢，出现系统异常的出错框等现象。
　　两大恶性病毒的四大区别：

　　一、 利用的漏洞不同冲击波（Worm.Blaster）病毒利用的是系统的RPC漏洞，病毒攻击系统时会使RPC服务崩溃，该服务是Windows操作系统使用的一种远程过程调用协议。震荡波(Worm.Sasser)病毒利用的是系统的LSASS服务，该服务是操作系统的使用的本地安全认证子系统服务。

　　二、 产生的文件不同冲击波（Worm.Blaster）病毒运行时会在内存中产生名为msblast.exe的进程，在系统目录中产生名为msblast.exe的病毒文件，震荡波(Worm.Sasser)病毒运行时会在内存中产生名为avserve.exe的进程，在系统目录中产生名为avserve.exe的病毒文件。

　　三、 利用的端口不同冲击波（Worm.Blaster）病毒会监听端口69,模拟出一个TFTP服务器，并启动一个攻击传播线程,不断地随机生成攻击地址，尝试用有RPC漏洞的135端口进行传播。震荡波(Worm.Sasser)病毒会本地开辟后门，听TCP的5554端口，然后做为FTP服务器等待远程控制命令，并疯狂地试探连接445端口。

　　四、 攻击目标不同冲击波（Worm.Blaster）病毒攻击所有存在有RPC漏洞的电脑和微软升级网站，而震荡波(Worm.Sasser)病毒攻击的是所有存在有LSASS漏洞的电脑，但目前还未发现有攻击其它网站的现象。