中了‘冲击波’，死而复生

happinessprayer 2003-08-15 10:04:25

作为9X的小类版主，我用的OS却是XP、、、、、、

相信我，我真不是汉奸、、、、、、这是有‘历史原因’的。

呃，这次中了‘冲击波’，很爽，因为用的是双绞线接入的宽带，也不敢上网，杀毒的时候费了一番周折(去SYMATEC下载专杀的时候，我是眼睁睁看着RPC非法的倒计时，还剩2秒关机的时候，下载完毕，当时有看见曙光的愉悦)，我现在见个人就问：今天你中了吗？用宽带就这点好处，这种‘时髦’总能赶得上。

清除用了SYMANTEC公司(就是传说中的NORTON)出的专杀工具，带破坏复原功能。用国产的也行，RISING效果不是太好，我第一个用的就是RISING，什么也没查出来。
地址：http://securityresponse.symantec.com/avcenter/FixBlast.exe

这里是microsoft的各版本OS的相关补丁
http://www.microsoft.com/china/security/Bulletins/MS03-026.asp
兄弟们赶快去打上，省得再中

友情散分(由于我们的政策，每人只散1分)

...全文

59 22 打赏收藏转发到动态举报

写回复

用AI写文章

22 条回复

切换为时间正序

请发表友善的回复…

发表回复

悠云guo 2003-08-16

打赏
举报

对了，斑竹顺便指导一下小弟这个：
http://expert.csdn.net/Expert/topic/2151/2151754.xml?temp=.9054376

悠云guo 2003-08-16

打赏
举报

目前出现了几个新的变种，只是修改文件名为：penis32.exe、teekids.exe，在注册表中的键值也相应变化。虽然目前影响范围还不大，也需要引起注意。

这是绿盟上的说明，但都没发现，可系统还是有症状啊。
http://www.nsfocus.net/index.php?act=advisory&do=view&adv_id=28

computeradsl 2003-08-16

打赏
举报

我晕哦￣　.

happinessprayer 2003-08-16

打赏
举报

：)

人来得差不多了，现在散分给大家，原则上，我们是不准散分的，这次算是友情散吧，一人就一分，别嫌少啊，也别在大版面前打小报告(开玩笑的：))

谢谢参与，

ck866 2003-08-16

打赏
举报

我重起了2次才搞定

kuangren 2003-08-16

打赏
举报

呵呵，我早打补丁了

Shawy5250 2003-08-16

打赏
举报

哈哈，我们楼那天局域网集体中招，我们屋头天晚上拔了网线忘了插上，结果集体幸免遇难。

happinessprayer 2003-08-15

打赏
举报

buffoon(悠云)

病毒行为和传播方式：

　　1、病毒运行时会建立一个名为“BILLY”的互斥线程，当病毒检测到系统有该线程的话则不会重复驻入内存。病毒会在内存中建立一个名为“msblast”的进程。

　　2、病毒运行时会将自身复制为：%systemdir%\msblast.exe，%systemdir%指的是操作系统安装目录中的系统目录，Windows 2000/XP/2003默认为C:\Winnt\system32。

　　3、在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下添加名为

　　“windows auto update”的启动项目，值为“msblast.exe”，使得每次启动计算机时自动加载病毒。

　　4、感染病毒的计算机会尝试连接20个随机的IP地址，并且对有此漏洞的计算机进行攻击，然后该病毒会休息(sleep)1.8秒，然后扫描下20个随机的IP地址。病毒扫描IP地址（A.B.C.D，如：IP为192.168.0.1时，A=192 B=168 C=0 D=1）符合如下规则：
　　①3／5的可能当D等于0时，A、B、C为0到255的随机数。

　　②另外2／5的可能，病毒扫描子网并取得染毒计算机的IP地址，提取其中的A、B值，并设置D值为0，然后提取C的值。如果C的值小于等于20的时候，病毒不对其进行改变。例如：染毒计算机的IP地址为192.168.16.3则病毒将从192.168.16.0开始扫描；如果C的值大于20，则病毒会从C减去19和C值之间随机选择一个数。例如：感染计算机的IP地址为192.168.135.161，则病毒将扫描的IP地址为192.168.{115-134}.0。

　　5、病毒会在感染病毒的本机通过TCP135端口向那些IP地址的计算机发送“缓冲区溢出”的请求（即攻击代码），然后被攻击的计算机将在TCP4444端口开启一个Command Shell。

　　6、监听UDP69端口，当接收到受攻击的机器发来的允许使用DCOM RPC运行远程指令的消息后，将发送Msblast.exe 文件，并让受攻击的计算机执行它，至此受攻击的计算机也感染此病毒。

　　7、如果当前日期是8月或者当月日期是15日以后，病毒将发起对windowsupdate.com的拒绝服务（DoS）攻击。

　　注意：当计算机出现如图一所示的错误提示时本机不一定已经感染病毒，而是其他染毒的计算机正在试图对它进行攻击，所以查不到病毒也是正常的，只要打上补丁即可解决。不过仍然建议安装完补丁后对系统进行全盘扫描。

转自<华军软件网>，原文：http://news.onlinedown.net/info/7569.htm