警惕程度：★★★★ 發(fā)作時(shí)間：隨機(jī)病毒類型：蠕蟲(chóng)病毒 傳播途徑：網(wǎng)絡(luò)/RPC漏洞 依賴系統(tǒng):Microsoft Windows NT 4.0 / Microsoft Windows 2000/ Microsoft Windows XP/Microsoft Windows Server 2003
了避免用戶發(fā)現(xiàn)。 3. 病毒運(yùn)行時(shí)會(huì)在內(nèi)存中建立一個(gè)名為：“msblast.exe”的進(jìn)程，該進(jìn)程就是活的病毒體。 4. 病毒會(huì)修改注冊(cè)表，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加以下鍵值："windows auto update"="msblast.exe"，以便每次啟動(dòng)系統(tǒng)時(shí)，病毒都會(huì)運(yùn)行。 5. 病毒體內(nèi)隱藏有一段文本信息： I just want to say LOVE YOU SAN!! billy gates why do you make this possible ? Stop making money and fix your software!! 6. 病毒會(huì)以20秒為間隔，每20秒檢測(cè)一次網(wǎng)絡(luò)狀態(tài)，當(dāng)網(wǎng)絡(luò)可用時(shí)，病毒會(huì)在本地的UDP/69端口上建立一個(gè)tftp服務(wù)器，并啟動(dòng)一個(gè)攻擊傳播線程，不斷地隨機(jī)生成攻擊地址，進(jìn)行攻擊，另外該病毒攻擊時(shí)，會(huì)首先搜索子網(wǎng)的IP地址，以便就近攻擊。 7. 當(dāng)病毒掃描到計(jì)算機(jī)后，就會(huì)向目標(biāo)計(jì)算機(jī)的TCP/135端口發(fā)送攻擊數(shù)據(jù)。 8. 當(dāng)病毒攻擊成功后，便會(huì)監(jiān)聽(tīng)目標(biāo)計(jì)算機(jī)的TCP/4444端口作為后門(mén)，并綁定cmd.exe。然后蠕蟲(chóng)會(huì)連接到這個(gè)端口，發(fā)送tftp命令，回連到發(fā)起進(jìn)攻的主機(jī)，將msblast.exe傳到目標(biāo)計(jì)算機(jī)上并運(yùn)行。 9. 當(dāng)病毒攻擊失敗時(shí)，可能會(huì)造成沒(méi)有打補(bǔ)丁的Windows系統(tǒng)RPC服務(wù)崩潰，Windows XP系統(tǒng)可能會(huì)自動(dòng)重啟計(jì)算機(jī)。該蠕蟲(chóng)不能成功攻擊Windows Server2003，但是可以造成Windows Server2003系統(tǒng)的RPC服務(wù)崩潰，默認(rèn)情況下是系統(tǒng)反復(fù)重啟。 10. 病毒檢測(cè)到當(dāng)前系統(tǒng)月份是8月之后或者日期是15日之后，就會(huì)向微軟的更新站點(diǎn)"發(fā)動(dòng)拒絕服務(wù)攻擊，使微軟網(wǎng)站的更新站點(diǎn)無(wú)法為用戶提供服務(wù)。
病毒類型：蠕蟲(chóng)病毒 傳播途徑：網(wǎng)絡(luò)/RPC漏洞 依賴系統(tǒng): WINDOWS NT/2000/XP病毒介紹 該變種病毒于2002年8月29日被瑞星全球反病毒監(jiān)測(cè)網(wǎng)國(guó)內(nèi)率先截獲。該病毒變種在原始病毒上沒(méi)有做大的改動(dòng)，破壞力和“沖擊波”病毒相同，只是重新改變了病毒互斥量、病毒文件名、注冊(cè)表鍵值、攻擊網(wǎng)址和病毒體內(nèi)字符串,從而有效地躲避了殺毒軟件的追殺。 病毒運(yùn)行時(shí)會(huì)掃描網(wǎng)絡(luò)，尋找操作系統(tǒng)為WINDOWS NT、2000、XP的計(jì)算機(jī)，然后通過(guò)RPC漏洞進(jìn)行感染，并且綁定端口，危害系統(tǒng)。用戶感染了該病毒后，計(jì)算機(jī)會(huì)出現(xiàn)各種異常情況，如：彈出RPC服務(wù)終止的對(duì)話框、系統(tǒng)反復(fù)重啟、不能收發(fā)郵件、不能正常復(fù)制文件、無(wú)法正常瀏覽網(wǎng)頁(yè)，復(fù)制粘貼等操作受到嚴(yán)重影響，DNS和IIS服務(wù)遭到非法拒絕服務(wù)等，另外，病毒大面積地泛濫還能使整個(gè)網(wǎng)絡(luò)系統(tǒng)癱瘓。 病毒體內(nèi)的字符串被改為：“I dedicate this particular strain to me ANG3L - hope yer enjoying yerself and don’t forget the promise for me B/DAY !!!!”。 病毒攻擊的網(wǎng)站被改為病毒的發(fā)現(xiàn)與清除 1. 病毒通過(guò)微軟的最新RPC漏洞進(jìn)行傳播，因此用戶應(yīng)先給系統(tǒng)打上RPC補(bǔ)丁。 2. 病毒運(yùn)行時(shí)會(huì)建立一個(gè)名為：“SILLY”的互斥量，使病毒自身不重復(fù)進(jìn)入內(nèi)存，并且病毒在內(nèi)存中建立一個(gè)名為：“mslaugh.exe”的進(jìn)程，用戶可以用任務(wù)管理器將該病毒進(jìn)程終止。 3. 病毒運(yùn)行時(shí)會(huì)將自身復(fù)制為：%systemdir%\ mslaugh.exe,用戶可以手動(dòng)刪除該病毒文件。 注意：%Windir%是一個(gè)變量，它指的是操作系統(tǒng)安裝目錄，默認(rèn)是：“C:\Windows”或：“c:\Winnt”,也可以是用戶在安裝操作系統(tǒng)時(shí)指定的其它目錄。%systemdir%是一個(gè)變量，它指的是操作系統(tǒng)安裝目錄中的系統(tǒng)目錄，默認(rèn)是：“C:\Windows\system”或：“c:\Winnt\system32”。 4. 病毒會(huì)修改注冊(cè)表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run項(xiàng)，在其中加入：“Windows Automation = mslaugh.exe”，進(jìn)行自啟動(dòng)，用戶可以手工清除該鍵值。 5. 病毒會(huì)用到135、4444、69等端口，用戶可以使用防火墻軟件將這些端口禁止或者使用“TCP/IP篩選” 功能，禁止這些端口。 6. 病毒體內(nèi)存在有以下內(nèi)容的字符串：“I dedicate this particular strain to me ANG3L - hope yer enjoying yerself and dont forget the promise for me B/DAY !!!!” 7. 病毒運(yùn)行時(shí)會(huì)對(duì)網(wǎng)站發(fā)起拒絕式服務(wù)攻擊。 用戶如果在自己的計(jì)算機(jī)中發(fā)現(xiàn)以上全部或部分現(xiàn)象，則很有可能中了沖擊波V（Worm.Blaster.E）病毒。為避免用戶遭受損失，瑞星公司已于截獲該病毒當(dāng)天就進(jìn)行了升級(jí)，瑞星殺毒軟件2003版、瑞星在線殺毒、瑞星殺毒軟件“下載版”，這三款產(chǎn)品每周三次同步升級(jí)，15.50.20版已可清除此病毒，目前瑞星用戶只需及時(shí)升級(jí)手中的軟件即可徹底攔截此病毒。瑞星反病毒專家的安全建議 1. 建立良好的安全習(xí)慣。例如：對(duì)一些來(lái)歷不明的郵件及附件不要打開(kāi)，不要上一些不太了解的網(wǎng)站、不要執(zhí)行從 Internet 下載后未經(jīng)殺毒處理的軟件等，這些必要的習(xí)慣會(huì)使您的計(jì)算機(jī)更安全。 2. 關(guān)閉或刪除系統(tǒng)中不需要的服務(wù)。默認(rèn)情況下，許多操作系統(tǒng)會(huì)安裝一些輔助服務(wù)，如FTP 客戶端、Telnet和 Web 服務(wù)器。這些服務(wù)為攻擊者提供了方便，而又對(duì)用戶沒(méi)有太大用處，如果刪除它們，就能大大減少被攻擊的可能性。 3. 經(jīng)常升級(jí)安全補(bǔ)丁。據(jù)統(tǒng)計(jì)，有80%的網(wǎng)絡(luò)病毒是通過(guò)系統(tǒng)安全漏洞進(jìn)行傳播的，象紅色代碼、尼姆達(dá)等病毒，所以我們應(yīng)該定期到微軟網(wǎng)站去下載最新的安全補(bǔ)丁，以防范未然。 4. 使用復(fù)雜的密碼。有許多網(wǎng)絡(luò)病毒就是通過(guò)猜測(cè)簡(jiǎn)單密碼的方式攻擊系統(tǒng)的，因此使用復(fù)雜的密碼，將會(huì)大大提高計(jì)算機(jī)的安全系數(shù)。 5. 迅速隔離受感染的計(jì)算機(jī)。當(dāng)您的計(jì)算機(jī)發(fā)現(xiàn)病毒或異常時(shí)應(yīng)立刻斷網(wǎng)，以防止計(jì)算機(jī)受到更多的感染，或者成為傳播源，再次感染其它計(jì)算機(jī)。 6. 了解一些病毒知識(shí)。這樣就可以及時(shí)發(fā)現(xiàn)新病毒并采取相應(yīng)措施，在關(guān)鍵時(shí)刻使自己的計(jì)算機(jī)免受病毒破壞：如果能了解一些注冊(cè)表知識(shí)，就可以定期看一看注冊(cè)表的自啟動(dòng)項(xiàng)是否有可疑鍵值；如果了解一些內(nèi)存知識(shí)，就可以經(jīng)?？纯磧?nèi)存中是否有可疑程序。 7. 最好是安裝專業(yè)的防毒軟件進(jìn)行全面監(jiān)控。在病毒日益增多的今天，使用毒軟件進(jìn)行防毒，是越來(lái)越經(jīng)濟(jì)的選擇，不過(guò)用戶在安裝了反病毒軟件之后，應(yīng)該經(jīng)常進(jìn)行升級(jí)、將一些主要監(jiān)控經(jīng)常打開(kāi)（如郵件監(jiān)控）、遇到問(wèn)題要上報(bào)， 這樣才能真正保障計(jì)算機(jī)的安全。
沖擊波VI
警惕程度：★★★★★ 發(fā)作時(shí)間：隨機(jī) 病毒類型：蠕蟲(chóng)病毒 傳播途徑：網(wǎng)絡(luò)/RPC漏洞 依賴系統(tǒng): WINDOWS NT/2000/XP病毒介紹 2003年9月2日，瑞星全球反病毒監(jiān)測(cè)網(wǎng)國(guó)內(nèi)率先截獲了沖擊波病毒的第六個(gè)變種--沖擊波VI（Worm.Blaster.F）。該變種的病毒代碼與“沖擊波V”大體相同，只是個(gè)別代碼有變化，因此瑞星殺毒軟件無(wú)需升級(jí)就可以自動(dòng)攔截并查殺。 據(jù)瑞星反病毒工程師分析，該病毒變種并不是“沖擊波”病毒作者本人編寫(xiě)的，而是一些好事者為了讓沖擊波繼續(xù)泛濫而進(jìn)行改寫(xiě)的，因此沒(méi)有給系統(tǒng)打上安全補(bǔ)丁的用戶應(yīng)立刻去微軟網(wǎng)站安裝相應(yīng)的安全補(bǔ)丁。 該病毒和前三個(gè)變種病毒一樣，沒(méi)有在原始病毒上做大的改動(dòng)，傳染和破壞能力與"沖擊波"病毒相同。作者將病毒體內(nèi)的字符更換為：“What You Should Know About the Blaster Worm and Its Variants.（你應(yīng)該了解沖擊波蠕蟲(chóng)及其變種）”，將病毒體換為：“enbiei.exe”，將病毒鍵值換為 "="enbiei.exe"”，將攻擊的網(wǎng)站換為：“手中沒(méi)有殺毒軟件的用戶應(yīng)注意根據(jù)這些特征進(jìn)行手工清除病毒。病毒的發(fā)現(xiàn)與清除 1. 病毒通過(guò)微軟的最新RPC漏洞進(jìn)行傳播，因此用戶應(yīng)先給系統(tǒng)打上RPC補(bǔ)丁。 2. 病毒會(huì)在內(nèi)存中建立一個(gè)名為：“enbiei.exe”的進(jìn)程，用戶可以用任務(wù)管理器將該病毒進(jìn)程終止。 3. 病毒運(yùn)行時(shí)會(huì)將自身復(fù)制為：%systemdir%\ enbiei.exe,用戶可以手動(dòng)刪除該病毒文件。 注意：%Windir%是一個(gè)變量，它指的是操作系統(tǒng)安裝目錄，默認(rèn)是：“C:\Windows”或：“c:\Winnt”,也可以是用戶在安裝操作系統(tǒng)時(shí)指定的其它目錄。%systemdir%是一個(gè)變量，它指的是操作系統(tǒng)安裝目錄中的系統(tǒng)目錄，默認(rèn)是：“C:\Windows\system”或：“c:\Winnt\system32”。 4. 病毒會(huì)修改注冊(cè)表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run項(xiàng)，在其中加入：“進(jìn)行自啟動(dòng)，用戶可以手工清除該鍵值。 5. 病毒會(huì)用到tcp/135、udp/69等端口，用戶可以使用防火墻軟件將這些端口禁止。 6. 病毒體內(nèi)存在有以下內(nèi)容的字符串：“What You Should Know About the Blaster Worm and Its Variants.（你應(yīng)該了解沖擊波蠕蟲(chóng)及其變種）”。 7. 病毒運(yùn)行時(shí)會(huì)對(duì)“網(wǎng)站發(fā)起SYN洪水攻擊。 用戶如果在自己的計(jì)算機(jī)中發(fā)現(xiàn)以上全部或部分現(xiàn)象，則很有可能中了沖擊波VI（Worm.Blaster.F）病毒。由瑞星公司對(duì)“沖擊波”系列病毒的查殺代碼進(jìn)行了優(yōu)化，用戶無(wú)需升級(jí)手中的軟件即可查殺該病毒。瑞星殺毒軟件2003版、瑞星在線殺毒、瑞星殺毒軟件“下載版”，這三款產(chǎn)品每周三次同步升級(jí)，15.48.10版已可清除此病毒，目前瑞星用戶只需升級(jí)到該版本即可徹底攔截此病毒。瑞星反病毒專家的安全建議 1. 建立良好的安全習(xí)慣。例如：對(duì)一些來(lái)歷不明的郵件及附件不要打開(kāi)，不要上一些不太了解的網(wǎng)站、不要執(zhí)行從 Internet 下載后未經(jīng)殺毒處理的軟件等，這些必要的習(xí)慣會(huì)使您的計(jì)算機(jī)更安全。 沖擊波病毒 2. 關(guān)閉或刪除系統(tǒng)中不需要的服務(wù)。默認(rèn)情況下，許多操作系統(tǒng)會(huì)安裝一些輔助服務(wù)，如 FTP 客戶端、Telnet 和 Web 服務(wù)器。這些服務(wù)為攻擊者提供了方便，而又對(duì)用戶沒(méi)有太大用處，如果刪除它們，就能大大減少被攻擊的可能性。 3. 經(jīng)常升級(jí)安全補(bǔ)丁。據(jù)統(tǒng)計(jì)，有80%的網(wǎng)絡(luò)病毒是通過(guò)系統(tǒng)安全漏洞進(jìn)行傳播的，象紅色代碼、尼姆達(dá)等病毒，所以我們應(yīng)該定期到微軟網(wǎng)站去下載最新的安全補(bǔ)丁，以防范未然。 4. 使用復(fù)雜的密碼。有許多網(wǎng)絡(luò)病毒就是通過(guò)猜測(cè)簡(jiǎn)單密碼的方式攻擊系統(tǒng)的，因此使用復(fù)雜的密碼，將會(huì)大大提高計(jì)算機(jī)的安全系數(shù)。 5. 迅速隔離受感染的計(jì)算機(jī)。當(dāng)您的計(jì)算機(jī)發(fā)現(xiàn)病毒或異常時(shí)應(yīng)立刻斷網(wǎng)，以防止計(jì)算機(jī)受到更多的感染，或者成為傳播源，再次感染其它計(jì)算機(jī)。 6. 了解一些病毒知識(shí)。這樣就可以及時(shí)發(fā)現(xiàn)新病毒并采取相應(yīng)措施，在關(guān)鍵時(shí)刻使自己的計(jì)算機(jī)免受病毒破壞：如果能了解一些注冊(cè)表知識(shí)，就可以定期看一看注冊(cè)表的自啟動(dòng)項(xiàng)是否有可疑鍵值；如果了解一些內(nèi)存知識(shí)，就可以經(jīng)?？纯磧?nèi)存中是否有可疑程序。 7. 最好是安裝專業(yè)的防毒軟件進(jìn)行全面監(jiān)控。在病毒日益增多的今天，使用毒軟件進(jìn)行防毒，是越來(lái)越經(jīng)濟(jì)的選擇，不過(guò)用戶在安裝了反病毒軟件之后，應(yīng)該經(jīng)常進(jìn)行升級(jí)、將一些主要監(jiān)控經(jīng)常打開(kāi)（如郵件監(jiān)控）、遇到問(wèn)題要上報(bào)， 這樣才能真正保障計(jì)算機(jī)的安全。
