冲击波（Worm.Blaster）病毒详细解决方案

	设为首页		友情链接
	在线留言		发表文章
	加入收藏		广告联系

服务器

数据库

Solaris

专题：

SOA

您现在的位置： IT公社 IT community >> 防病毒 >> 病毒查杀 >> 教程正文

用户登录

新用户注册

专题栏目

最新推荐

冲击波（Worm.Blaster）…
冲击波病毒源代码

　　冲击波（Worm.Blaster）病毒详细解决方案

热荐 ★

冲击波（Worm.Blaster）病毒详细解决方案

【导读】冲击波（Worm.Blaster）病毒是利用微软公司在7月21日公布的RPC漏洞进行传播的，只要是计算机上有RPC服务并且没有打安全补丁的计算机都存在有RPC漏洞，具体涉及的操作系统是：Windows2000、XP、Server 2003。该病毒感染系统后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启, 不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响，DNS和IIS服务遭到非法拒绝等。 警惕程度：★★★★

病毒名称：Worm.Blaster

发作时间：随机

病毒类型：蠕虫病毒

传播途径：网络/RPC漏洞

依赖系统：Microsoft Windows NT 4.0 / Microsoft Windows 2000 / Microsoft Windows XP /Microsoft Windows Server 2003

病毒尺寸：6,176 字节

病毒发作现象：

冲击波（Worm.Blaster）病毒是利用微软公司在7月21日公布的RPC漏洞进行传播的，只要是计算机上有RPC服务并且没有打安全补丁的计算机都存在有RPC漏洞，具体涉及的操作系统是：Windows2000、XP、Server 2003。

该病毒感染系统后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启, 不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响，DNS和IIS服务遭到非法拒绝等。下面是弹出RPC服务终止的对话框的现象：

病毒详细说明：

1. 病毒运行时会将自身复制到window目录下，并命名为： msblast.exe。

2. 病毒运行时会在系统中建立一个名为：“BILLY”的互斥量，目的是病毒只保证在内存中有一份病毒体，为了避免用户发现。

3. 病毒运行时会在内存中建立一个名为：“msblast.exe”的进程，该进程就是活的病毒体。

4. 病毒会修改注册表，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加以下键值："windows auto update"="msblast.exe"，以便每次启动系统时，病毒都会运行。

5. 病毒体内隐藏有一段文本信息：

I just want to say LOVE YOU SAN!!

billy gates why do you make this possible ? Stop making money and fix your software!!

6. 病毒会以20秒为间隔，每20秒检测一次网络状态，当网络可用时，病毒会在本地的UDP/69端口上建立一个tftp服务器，并启动一个攻击传播线程，不断地随机生成攻击地址，进行攻击，另外该病毒攻击时，会首先搜索子网的IP地址，以便就近攻击。

7. 当病毒扫描到计算机后，就会向目标计算机的TCP/135端口发送攻击数据。

8. 当病毒攻击成功后，便会监听目标计算机的TCP/4444端口作为后门，并绑定cmd.exe。然后蠕虫会连接到这个端口，发送tftp命令，回连到发起进攻的主机，将msblast.exe传到目标计算机上并运行。

9. 当病毒攻击失败时，可能会造成没有打补丁的Windows系统RPC服务崩溃，Windows XP系统可能会自动重启计算机。该蠕虫不能成功攻击Windows Server2003，但是可以造成Windows Server2003系统的RPC服务崩溃，默认情况下是系统反复重启。

10. 病毒检测到当前系统月份是8月之后或者日期是15日之后，就会向微软的更新站点"windowsupdate.com"发动拒绝服务攻击，使微软网站的更新站点无法为用户提供服务。

手工清除方案：

一、 DOS环境下清除该病毒：

1.当用户中招出现以上现象后，用DOS系统启动盘启动进入DOS环境下，进入C盘的操作系统目录.

操作命令集：

C:

CD C:\windows (或CD　c:\winnt)

2. 查找目录中的“msblast.exe”病毒文件。

命令操作集：

dir msblast.exe /s/p

3.找到后进入病毒所在的子目录，然后直接将该病毒文件删除。

Del msblast.exe

二、在安全模式下清除病毒

如果用户手头没有DOS启动盘，还有一个方法，就是启动系统后进入安全模式，然后搜索C盘，查找msblast.exe文件，找到后直接将该文件删除，然后再次正常启动计算机即可。

给系统打补丁方案：

当用户手工清除了病毒体后，应上网下载相应的补丁程序，用户可以先进入微软网站，下载相应的系统补丁，给系统打上补丁。以下是补丁的具体下载地址：

· Windows 2000 ：

http://microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=en (连接到第三方网站)

· Windows XP 32 位版本：

http://microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=en (连接到第三方网站)

用户也可以直接登陆瑞星网址：

http://it.rising.com.cn/newSite/Channels/info/virus/TopicDatabasePackage/12-145900547.htm来下载相应的微软补丁程序。

或者利用杀毒工具解决

频道声明：本频道的文章除部分特别声明禁止转载的专稿外，可以自由转载.但请务必注明出出处和原始作者文章版权归本频道与文章作者所有.对于被频道转载文章的个人和网站,我们表示深深的谢意。

原始作者:佚名	录入时间:2006-10-13
信息来源:不详	投稿信箱:itqoo@126.com

教程录入：admin 责任编辑：admin

上一个教程：认识病毒——计算机病毒分类

下一个教程：什么是特洛伊木马及其6个特性

【字体：小大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】

　网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！）

- 关于我们 - 合作伙伴 - 友情链接 - 广告刊登 - 投稿热线 - 在线留言 - 版权声明 - 联系方式 -
	IT公社版权所有粤ICP备05127012号
	Copyrigh@2005-2006 itqoo.com.Inc All Rights Reserved 推荐分辨率 1024*768
	联系站长：E-Mail:itqoo@126.com MSN:urchincc@hotmail.com QQ:
	特别感谢:亿太网络提供空间支持