流行蠕蟲病毒的防治和快速反應(yīng)機(jī)制

流行蠕蟲病毒的防治和快速反應(yīng)機(jī)制

報(bào)告人：邱志金（Mstar）

2004.5.11

流行蠕蟲病毒的防治和快速反應(yīng)機(jī)制“震蕩波”(W32.Sasser)病毒流行病毒的常見特征流行病毒的防治建立快速反應(yīng)機(jī)制“震蕩波”的基本特征、感染判斷和清除基本特征感染判斷病毒清除“震蕩波”的基本特征、感染判斷和清除基本特征病毒感染系統(tǒng)：WindowsNT/2000/XP/2003變種類型：Worm.Sasser.b/c/d/e傳播方式：利用微軟系統(tǒng)漏洞遠(yuǎn)程執(zhí)行代碼，打開FTP的5554端口上傳病毒文件“震蕩波”的基本特征、感染判斷和清除感染判斷出現(xiàn)系統(tǒng)錯(cuò)誤對(duì)話框，莫名其妙地死機(jī)或重新啟動(dòng)計(jì)算機(jī)；任務(wù)管理器里有一個(gè)叫"avserve.exe"、"avserve2.exe"或者"skynetave.exe"的進(jìn)程在運(yùn)行；在系統(tǒng)目錄下，產(chǎn)生一個(gè)名為avserve.exe、avserve2.exe、skynetave.exe的病毒文件；注冊(cè)表H_L_M\SOFTWARE\Microsoft\Windows\CurrentVersion\Run項(xiàng)中存在"avserve.exe"="%Windir%\avserve.exe值；系統(tǒng)速度極慢，CPU占用100%?！罢鹗幉ā钡幕咎卣鳌⒏腥九袛嗪颓宄《厩宄褂脤⒐ぞ撸ㄏ葰⒍驹俅蜓a(bǔ)?。螺d）手工消除（詳細(xì)請(qǐng)看）斷網(wǎng)打補(bǔ)丁清除內(nèi)存中的病毒進(jìn)程刪除病毒文件刪除注冊(cè)表鍵值流行病毒的常見特征利用微軟系統(tǒng)的漏洞通過網(wǎng)絡(luò)采用掃描方式尋找有漏洞的機(jī)器修改系統(tǒng)注冊(cè)表，增加自啟動(dòng)項(xiàng)或服務(wù)系統(tǒng)進(jìn)程中出現(xiàn)不正常的進(jìn)程CPU使用率很高，導(dǎo)致機(jī)器慢甚至死機(jī)流行病毒的防治定期系統(tǒng)自動(dòng)升級(jí)（廈大升級(jí)服務(wù)器）網(wǎng)絡(luò)防火墻（Norton防火墻，瑞星防火墻等）病毒防火墻（Norton，瑞星，金山毒霸，KV等）注冊(cè)表和進(jìn)程監(jiān)控（HackerEliminatorv1.2）常用的病毒信息網(wǎng)站諾頓（Norton）-/region/cn/瑞星-.cn/金山毒霸-/KV-/中國(guó)教育和科研計(jì)算機(jī)網(wǎng)緊急響應(yīng)組國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心建立快速反應(yīng)機(jī)制通告最新病毒