红色蠕虫病毒的预防、检查以及系统恢复方法

tripofdream 2001-08-19 04:02:52

加精

最近很很多人问过这个问题，看来这个病毒的影响很大，请大家注意。

红色蠕虫病毒极其变种利用微软web服务器IIS 4.0或5.0中的一个安全缺陷，攻破目的计算机系统，并通过自动扫描感染方式继续传播蠕虫。

红色蠕虫病毒影响以下的计算机系统：安装有IIS 4.0或者IIS 5.0且未打补丁的 Windows NT 4.0和Windows 2000计算机。

请采取以下措施保护你的计算机系统。

检查系统是否感染红色蠕虫病毒

不提供 Web 服务的计算机，请立即停止 IIS 的运行
（1）Windows NT 4.0：打开控制面板，双击“服务”，双击“World Wide Web Publishing Service”，选择“已禁用” （2）Windows 2000：打开控制面板，双击“管理工具”，双击“服务”，双击“IIS Admin Service”，在启动类型处选择“已禁用”

若系统已被感染，推荐采用killrc2.exe或微软公司提供的工具软件 CodeRedCleanup.exe 清杀病毒

给系统打补丁，预防进一步感染
（1）Windows NT 4.0：先安装 Service Pack 6a，然后安装补丁程序 CHSQ300972i.exe
（2）Windows 2000：先安装Service Pack 1或 Service Pack 2，然后安装补丁程序 Q300972_W2k_SP3_x86_cn.exe
（3）也可直接从微软公司网站下载补丁程序 http://www.microsoft.com/technet/security/bulletin/MS01-033.asp
（4）重新启动系统
（5）再次运行 CodeRedCleanup.exe 清除程序，以防止重新启动后再次被蠕虫感染

手工消除病毒的方法（以下步骤仅供参考，可以不做）
（1）将机器从网络上断开，以避免重复感染和感染其它机器
（2）立即停止IIS服务。打开控制面板，打开"服务"，点击World Wide Web Publishing Service. 选择"已禁用"。
（3）按Ctrl+Alt+Delete，选择“任务管理器” 选择“进程”标签，检查是否进程中有两个"exploer.exe"。如果您找到两个"exploer.exe"，说明木马已经在您的机器上运行了，您应当立刻杀掉木马程序；否则，说明您还没有执行木马程序，您可以转到第（5）步。
（4）在“任务管理器”菜单中选择：查看->选定列->线程计数，按确定。这时您会发现显示框中增加了新的一列"线程数"。检查两个"exploer.exe", 显示只有一个线程的"exploer.exe "就是木马程序。您应当立刻结束这个进程。
（5）重新启动系统，运行cmd，在cmd窗口中运行以下命令（或下载批处理文件　ftp://ftp.ccert.edu.cn/pub/clean.bat），以删除蠕虫病毒留下的后门。
　　　　C:
　　　　CD C:　　　　ATTRIB -h -s -r explorer.exe
　　　　Del explorer.exe
　　　　Del C:\inetpub\scripts\root.exe
　　　　Del C:\progra~1\Common~1\System\MSADC\Root.exe
　　　　D:
　　　　CD D:　　　　Attrib -h -s -r explorer.exe
　　　　Del explorer.exe
　　　　Del D:\inetpub\scripts\root.exe
　　　　Del D:\progra~1\Common~1\System\MSADC\Root.exe
　　　　忽略其中任何错误。

（6）修改被蠕虫改动过的注册表：
　　运行regedit
　　选择：
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet　　Services\W3SVC\Parameters\Virtual Roots
　　选择/C,选择删除；选择/D, 选择删除。
　　选择：/MSADC，将217换为201。
　　选择：/scripts，将271换为201。
　　对于Windows 2000系统，需要打开：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon
　　将SFCDisable改为0。

（7）重新启动系统

（8）执行步骤4，给系统打补丁

微软公司杀毒工具软件 CodeRedCleanup.exe 使用方法：
（1）从下列地址下载此工具：
　http://www.microsoft.com/Downloads/Release.asp?ReleaseID=31878
（2）在命令行窗口中运行： c:\> CodeRedCleanup.exe
　　或者 c:\> CodeRedCleanup.exe -disable (如果您不需要IIS服务)
（3）重新启动系统
（4）安装补丁或者采取其他解决措施
（5）再次运行此清除程序，以防止重新启动后再次被蠕虫感染。
（6）重新启动系统。

参考网站
　　[1] eEye 的分析报告：　http://www.eeye.com/html/advisories/coderedII.zip
　　[2] CERT Incident Note IN-2001-09 ：　http://www.cert.org/incident_notes/IN-2001-09.html
　　[3] Symantec CodeRed.v3：　http://www.sarc.com/avcenter/venc/data/codered.v3.html
　　[4] 【绿盟紧急安全公告】防范"CodeRedII"蠕虫!
http://security.nsfocus.com/showQueryL.asp?libID=580

...全文