计算机网络病毒第9册.docx

1、计算机百科知识计算机百科知识 计算机网络病毒 (九 ) 本书编写组 编 山东科学技术出版社图 书 在 版 编 目 (CIP)数 据 计 算 机 百 科 知 识 /本 书 编 写 组 编 济南 山东科学 技术出版社 2003ISBN 7-5331-1651-8计 本 计算机网络 基本知识 汇编 TP39中国版本图书馆 CIP 数据核字(2003)第 004271 号山东科学技术出版社出版发行 (济 南 市 玉 函 路 16 号 250001)全国各地新华书店经销 莒县新华印刷厂印刷开本 787 1092 1/32 印张 240 字数 4 000 千字2003 年 7 月第 1 版 2003 年

2、7 月第 1 次印刷印数 1 1 000 册书号 ISBN 7-5331-1651-8/ D 112定价 698.00 元IIR.B目 录 国内外防毒行业发展 .防 范 计 算 机 病 毒 的 十 种 措 施 .计算机病毒最常见的几种类型 .识别计算机病毒 作案 方式 .计算机病毒警告中常用的专有名词索引 .如何完全清除震荡波(WORM .SASSER)病毒 病毒报告 震荡波 (WORM.SASSER) .如何快速识别震荡波 (WORM.SASSER)病 毒 错 误 未 定 义 书 签 病毒报告 震荡波杀手 W ORM.CYCLE.A 病毒报告 假警察 ( WORM.WIN32.DABBE R

3、.A) 病 毒 报 告 QQ 叛徒 (TROJAN.QQBOT.A).病毒报告 混 合 蠕 虫 WORM.FORBOT.A . 卡构变种 M WORM. KORGO.M . 魔 力 守 望 者 TROJAN.PSW.MLWATCHER QQ 登陆器变种 B HACK.QQLOGIN .B 大 学 生 杀 手 TROJAN. UNFA .QQ 叛徒变种 C TROJAN.QQBOT.C 灰鸽子变种 I BACKDOOR.HUIGE ZI.I .当计算机染上宏病毒怎么处理 .检 查 压 缩 文 件 病 毒 技 术 有 效 地 防 范 病 毒 的 侵 袭 II对付邮件炸弹的攻击 .全球百万台电脑瘫痪

4、 .马吉斯 病毒令人防不胜防 .台 湾 数 十 万 台 电 脑 瘫 掉 CIH 病 毒 详 细 介 绍 .邮件病毒 罗密欧与朱丽叶 .毁灭性病毒 I LOVE YOU .国内发现首例 海南岛 病毒 .病毒美女多 世界小姐病毒又肆虐 网络病毒肆虐 比尔 盖茨的邮箱遭殃 .专家警告 无 线 病 毒 将 肆 虐 .删除 SIRCAM 病 毒 的 方 法 . CAM 先生 病 毒 令 数 十 万 人 中 招 防 SIRCAM 病毒 HOT MAIL 升 级 安 全 系 统 .大麻 病 毒 可 能 会 演 化 成 恶 性 病 毒 .红色代码 病毒 8 月 1 日 再 发 威 OFFENSI VE 病 毒

5、 正 在 传 播 .红色代码变种 CODERED.D 现 身 欢乐时光 HAPPY TIME .CIH 病毒大事记 19982004 年 .如何快速识别震荡波(WORM .SASSER)病毒 网上惊现漏洞攻击代码 冲击波 疫情有可能重演 震荡波 E 变 种 全 面 分 析 报 告 震荡波 F 技术报告 .3震荡波杀手 病毒比拼 冲击波杀手 病 毒 详解微软 MS04015 安 全 漏 洞 QQ 叛徒 技 术 分 析 网银大盗 技术分析报告 乒乓男孩 病 毒 技 术 分 析 QQ 乐 技术分析报告 WORD 文档杀手 技 术 报 告 . ADODB.ST REAM 对象文件安装漏洞介绍 常见病毒

6、的症状,专杀工具 第 3 只眼: 病毒开启摄像头偷窥隐私 魔力守望者 病毒档案 .2004 年上半年 10 大 病 毒 排 行 .2004 年 上 半 年 病 毒 发 展 趋 势 .五毒虫 变种 AC 分析报告 五毒虫 中毒后 3 个典型症状 . 恶鹰变种 AO 病 毒 档 案 . SCO 炸弹变种 N(WORM.NOVARG.N)病 毒 档 案 大无极变种 D 病 毒 档 案 神 速 木 马 (TROJAN.MUMU)病 毒 档 案 埃瓦(WORM.COLEVO)病毒档案 .窥 探 者 病 毒 建 后 门 窥 探 用 户 信 息 . 911 病毒介绍 . 布 莱 尔 WORM.BL ARE

7、蠕虫病毒 秋 天 童 话 病 毒 变 种 分 析 .4小邮差变种 C(WORM.MIMAIL.C)档 案 小邮差(W ORM.MIMAIL.E) 变种分析 安哥(H ACK.AGOBOT 3.AW)病毒分析 . SCO 炸 弹 (WORM.NOVA RG)病 毒 分 析 报 告 计算机网络病毒 国内外防毒行业发展随着计算机技术发展得越来越快 使得计算机病 毒技术与计算机反病毒技术的对抗也越来越尖锐 据 统计 现在基本上每天都要出现几十种新病毒 其中 很多病毒的破坏性都非常大 稍有不慎 就会给计算 机用户造成严重后果 下面我们以介绍国内防毒行业 的发展为主 我国计算机反病毒技术的研究和发展 是从

8、研制 防 病 毒 卡 开 始 的 防 病 毒 卡 的 核 心 实 际 上 是 一 个 软 件 只不过将其固化在 ROM 中 它的出发点是想以不 变应万变 通过动态驻留内存来监视计算机的运行情 况 根据总结出来的病毒行为规则和经验来判断是否 有病毒活动 通过截获中断控制权规则和经验来判定 是否有病毒活动 并可以截获中断控制权来使内存中 的病毒瘫痪 使其失去传染别的文件和破坏信息资料 的能力 这就是防病毒卡 带毒运行 功能的基本原 理 防病毒卡主要的不足是与正常软件特别是国产的 软件有不兼容的现象 误报 漏报病毒现象时有发生 降低了计算机运行速度 升级困难等 从防病毒技术 上说是不成熟的 病毒知变

9、万化 技术手段越来越高 企图以一种不变的技术对付病毒是不可能的 防病毒 卡的动态监测技术 病毒行为规则的研究 对于发现计算机网络病毒 计算机病毒起了很大的作用 这些技术是防病毒卡换 精华 但是作为一个产品 只有这部分技术是远远不 够的 这部分技术也没有太大的实际意义 所以防病 毒卡的使用者在减少 随着防病毒卡的衰落 解病毒软件则日益风行 解 病 毒 软 件 最 重 要 的 功 能 是 将 病 毒 彻 底 干 净 地 予 以 清除 如果说防病毒卡是治标的话 那么解病毒软件 则是治本 第一代反病毒技术是采取单纯的病毒特征判断 将病毒从带毒文件中清除掉 这种方式可以准确地清 除病毒 可靠性很高 后来

10、病毒技术发展了 特别是 加密和变形技术的运用 使得这种简单的静态扫描方 式 失 去 了 作 用 随 之 而 来 的 反 病 毒 技 术 也 发 展 了 一 步 第 二 代 反 病 毒 技 术 是 采 用 静 态 广 谱 特 征 扫 描 方 法检测病毒 这种方式可以更多地检测出变形病毒 但另一方面误报率也提高 尤其是用这种不严格的特 征判定方式去清除病毒带来的风险性很大 容易造成 文件和数据的破坏 所以说静态防病毒技术也有难以 克服的缺陷 第 三 代 反 病 毒 技 术 的 主 要 特 点 是 将 静 态 扫 描 技 术和动态仿真跟踪技术结合起来 将查找病毒和清除计算机网络病毒 病毒合二为一 形

11、成一个整体解决方案 能够全面实 现防 查 消等反病毒所必备的各种手段 以驻留内 存 方 式 防 止 病 毒 的 入 侵 凡 是 检 测 到 的 病 毒 都 能 清 除 不会破坏文件和数据 随着病毒数量的增加和新 型病毒技术的发展 静态扫描技术将会使查毒软件速 度降低 驻留内存防毒模块容易产生误报 第 四 代 反 病 毒 技 术 则 是 针 对 计 算 机 病 毒 的 发 展 而基于病毒家族体系的命名规则 基于多位 CRC 校验 和扫描机理 启发式智能代码分析模块 动态数据还 原 模 块 能 查 出 隐 蔽 性 极 强 的 压 缩 加 密 文 件 中 的 病 毒 内 存 解 毒 模 块 自 身

12、免 疫 模 块 等 先 进 的 解 毒 技 术 较好的解决了以前防毒技术顾此失彼 此消彼长 的状态 防范计算机病毒的十种措施众 所 周 知 计 算 机 病 毒 是 隐 藏 在 计 算 机 数 据 源 中 利用系统数据源进行繁殖并生成 能影响计算机 正 常 运 行 并 通 过 系 统 数 据 共 享 的 途 径 进 行 传 染 的 程 序 具有灵活性 传播性 隐蔽性 潜伏性 可激发 性 和 破 坏 性 等 特 点 一般地 它通过软盘 机器 (硬 盘 )和 网 络 这 三 种 渠 道 进 行 传 播 它 的 运 行 属 于 非 授 权入侵 计算机病毒轻则占用系统资源 干扰计算机的正计算机网络病毒

13、常工作 重则可能摧毁数据和整个系统 使计算机完 全崩溃 具有极大的危害性 因此 如何预防和消除 病 毒 并 将 病 毒 带 来 的 危 害 降 至 最 小 是 我 们 每 个 计 算 机用户所面临的亟待解决的问题和严峻考验 随着科学技术的飞速发展 目前信息的交流越来 越频繁 越来越多的软件 游戏以及网络的开放性使 我们潜在感染病毒的威胁越来越大 但是 只要我们 采取一定的防范措施并养成良好的使用习惯 就可以 将病毒感染的可能性减小到最低限度 为了预防和消除病毒的感染 应注意采取以下几 点措施 (1)给计算机安装防病毒卡 各种防病毒卡(如瑞 星卡等)对防止病毒的入侵有较好的预防作用 (2)设 置

14、 开 机 密 码 控 制 输 入 和 输 出 设 备 禁止 和预防任何未授权的人使用你的微机 (3)尽量使用硬盘引导系统 并 且 在 系 统 启 动 时 即安装病毒预防或疫苗软件 如在系统启动时将 BIOS 的 VIRus Warning 设置为 EnabLe 在 Windows 95 的 启动栏中装入 V Bootsafe.exeNorton Scan 或 LanDesk vIRus PRotect(InteL 网络防毒疫苗 软件)等病毒检查或扫描程序 (4)使用套装正版软件 不 使 用 或 接 受 未 经 许 可计算机网络病毒 的软件 (5)使用软盘写保护标签 对 所 有 外 来 的 软

15、件 使 用 前 作 细 致 检 查 (购 买 新 的 软 件 磁 盘 时 注意检查盘 片的扇区分配表是否有坏族 坏族一般是病毒的隐藏 之地) 切忌和其他人共用软件磁盘 (6)请玩家们在 PLay 前首先将 Game 彻底地 KILL 一下 以免中毒 (7)使 用 规 范 的 公 告 牌 和 网 络 不 要 从 非 正 规 的 公告牌中卸载可执行程序 (8)对 已 联 网 的 微 机 注 意 访 问 控 制 不允许任 何对微机的未授权访问 (9)不 忽 视 任 何 病 毒 征 兆 定 期 用 杀 毒 软 件 (如 KV300 AV95 KILL 系列 Norton AntIVIRus CPAV

16、冰岛杀毒软件等)对机器和软盘进行检测 (10)对系统的一些重要信息作备份 一般至少作 出 CMOS 硬盘分区表和引导区记录等参数的备份( 可 用 Debug 或 Norton UtILIty 的 Disk TooL 等) 因为 有些病毒很猖獗(比如 CMOS 病毒 一旦感染 将可能 使你的所有硬盘参数丢失) 如 果 没 有 这 些 参 数 备 份 的话 你的计算机则可能完全崩溃 总之 对于计算机病毒要以预防为主 尽量远离 病毒感染源 只有这样才能给计算机一个洁净而安全计算机网络病毒 的生存环境 计算机病毒最常见的几种类型大 家 有 没 有 想 到 过 有 的 病 毒 可 以 钻 到 别 的 程

17、 序 的 身体 里 面 ?有 的 病 毒 能 够 取 其 他 程 序 的 部 分 而 代 之 ?这 些 就 是 病 毒 辞 典 将 要 讲 到 的 内 容 这次给大 家带来的是 DOS 病毒 Windows 病毒 入侵型 病 毒 嵌入式病毒 外壳类病毒 和 病毒制造工 具 DOS 病毒指针对 DOS 操作系统开发的病毒 目前几乎没 有新制作的 DOS 病毒 由于 Win9x 病 毒的出现 DOS 病毒几乎绝迹 但 DOS 病毒在 Win9x 环境中仍可以进 行感染活动 因此若执行染毒文件 Win9x 用户也 会 被感染 我们使用的杀毒软件能够查杀的病毒中一半 以上都是 DOS 病毒 可见 DO

18、S 时代 DOS 病毒的泛滥程 度 但这些 众 多 的 病 毒 中 除 了 少 数 几 个 让 用 户 胆 战 心惊的病毒之外 大部分病毒都只是制作者出于好奇 或对公开代码进行一定变 形而制作的病毒 Windows 病毒主要指针对 Win9x 操作系统的病毒 现在的电 脑用户一般都安装 Windows 系统 Windows 病毒一 般感染 Win9x 系统 其中最典型的病毒有 CIH 病毒计算机网络病毒 但 这 并 不 意 味 着 可 以 忽 略 系 统 是 WinNT 系 列 包 括 Win2000 的计算机 一些 Windows 病毒不仅在 Win9x 上正常感染 还可以感染 WinNT

19、上的其它文件 主要 感染的文 件扩展名为 EXE SCR DLL OCX 等 入侵型病毒可 用 自 身 代 替 正 常 程 序 中 的 部 分 模 块 或 堆 栈 区 因此这类病毒只攻击某些特定程 序 针对性强 一般情况下难以发现 清除起来较困难 嵌入式病毒这 种 病 毒 将 自 身 代 码 嵌 入 到 被 感 染 文 件 中 当 文件被感染后 查 杀 和 清 除 病 毒 都 非 常 不 易 不过 编写嵌入式病毒比较困难 所以这种病毒数量不多 外壳类病毒这 种 病 毒 将 自 身 代 码 附 着 于 正 常 程 序 的 首 部 或 尾部 该类病毒的种类繁多 大多 感 染 文 件 的 病 毒 都

20、是这种类型 病毒生成工具通常是以菜单形式驱动 只 要 是 具 备 一 点 计 算 机知识的人 利 用 病 毒 生 成 工 具 就 可 以 像 点 菜 一 样 轻易地制造出计算机病毒 而且可以设计出非常复杂 的具有偷盗和多形性特征的病毒 计算机网络病毒 识别计算机病毒 作案 方式你知道吗 计算机病毒的 作案 方式五花八门 按 照 危 害 程 度 的 不 同 ,可 分 为 以 下 几 种 类 型 暗藏型 病毒 该病毒进入电子系统后能够潜伏下来 到预定 时间或特定事件发生时 再出来为非作歹 杀手型病毒 也 叫 暗杀型病毒 这种病毒钻 入机器后 专门用来篡改和毁伤某一个或某一组特定 的文件 数据作案

21、后 不 留 任 何 痕 迹 霸道型病 毒 该病毒能够中断整个计算机的工作 迫使信息系 统瘫痪 超载型病毒 该病毒进入计算机后能大量复 制和繁殖 抢占内存和硬盘空间 使机器因 超载 而无法工作 间谍型病毒 该病毒能从计算机中寻找特定信息 和数据 并将其发送到指定的地点 借此窃取情报 强制隔离型病毒 该病毒主要用来破坏电脑网络 系统的整体功能 使各个子系统与控制中心以及各子 系统间相互隔离 进而造成整个系统肢解瘫痪 欺骗型病毒 该病毒能打入系统内部 对系统程 序进行删改或给敌方系统注入假情报 造成其决策失 误的病毒 干扰型病毒 该病毒通过对计算机系统或工作环 境进行干扰和破坏 达到消耗系统资源 降

22、低处理速计算机网络病毒 度 干扰系统运行 破坏计算机的各种文件和数据的 目的 从而使其不能正常工作 计算机病毒警告中常用的专有名词索引ActIveX 恶意程序码ActIveX 控制项可供 Web 开发人员建立含有功能 更丰富的互动式动态 Web 网页 例如 HouseCall 趋 势科技的免费线上扫描程序 ActIveX 控制项是一种 内嵌在 Web 网页的元件物件 当使用者检视网页时便 会被启动 在许多情况中 可将 Web 浏览器的浏览器 安全设定设成 高 来停止执行这些 ActIveX 控制 项 不过 黑客或病毒作者以及其他恶意人士可能会 使用 ActIveX 恶意程序码当作武器来攻击电脑

23、 您必 须删除它们 才能够移除恶意 ActIveX 控制项 别名目 前 尚 无 公 认 的 病 毒 以 及 恶 意 程 序 码 的 命 名 规 则 每一个病毒可能有多种不同的名称或别名 请参 阅病毒种类中趋势科技病毒命名规则的说明 启动磁区型病毒启 动 磁 区 型 病 毒 会 感 染 磁 碟 的 启 动 磁 区 或 分 割 区表格 电脑系统最容易受到启动磁区型病毒攻击 如 果 您 使 用 中 毒 的 磁 片 开 机 的 话 即 使 开 机 不 成 功也会使病毒感染硬碟 另外 有少数病毒可以从执计算机网络病毒 行档感染启动磁区这些病毒称为复合式病毒 但不多 见 系统一旦感染后 启动磁区型病毒会企

24、图感染该 电脑上使用的每一个磁碟 通常 磁区型病毒大部份 都可以完全清除 发现日期指某病毒第一次被发现 知道 的日期 说明这是列出在 TRend 病 毒 百 科 全 书 中 之 病 毒 的 简 明摘要 按一下 Tech DetaILs 技术说明 标签 可取得某种病毒的技术性说明 破坏性病毒除了自我复制外 有些病毒还具有将病毒传染出 去的能力破坏现象 病毒具有破坏性的定义是指该病 毒会对您的系统所执行的破坏现象 例如破坏或删除 文件 将硬碟格式化以及进行拒绝服务等攻击 加密型病毒指 病 毒 含 有 特 殊 的 程 序 可 将 病 毒 码 本 身 加 密 来 避开防毒软体的侦测 TRend MIc

25、Roa 的 防 毒 产 品 具 有病毒码本身解密以及侦测这种病毒的能力 执行档型病毒执 行 档 型 病 毒 会 感 染 执 行 档 通 常 是 指 副 档 名 为 .com 或 .exe 的 文 件 这 种 病 毒 大 部 份 都 只 是计算机网络病毒 企 图 以 感 染 其 他 主 机 程 序 的 方 式 进 行 复 制 散 播 不 过 有些会因为覆盖原始程序码而导致原始程序被破坏 这种病毒有一小部份非常具有破坏性?A 会在预设的 时间企图将硬碟格式化或执行一些其他恶意动作 在 许多情况下 执行档病毒可完全从中毒档案清除 如 果病毒已经覆盖一部份程序码 则原始档案将无法复 原 在外散播病毒清

26、单在 外 散 播 病 毒 清 单 含 有 目 前 已 经 发 现 之 广 泛 感 染 使 用 者 电 脑 的 病 毒 的 清 单 这 个 清 单 是 由 防 毒 研 究 者 Joe WeLLs 维护并更新 WeLLs 除了定期更新这个清 单外 并和世界各地的防毒研究团体密切合作 其中 包括 TRend MIcRo 当 ICSA 指导防毒产品的病毒测 试时 会使用 在外散播 清单当作比较分析的基本 如何完全清除震荡波(Worm.Sasser)病毒5 月 1 日 震荡波(Worm.Sasser) 病毒在网络 出现 由于该病毒是通过漏洞进行传播的 因此这几 日用户如果上网极有可能会感染该病毒 然后出

27、现系 统反复重启 机器运行缓慢 出现系统异常的出错框 等现象 如果用户出现了上述现象 则需要对该病毒 进行清除 一 手工清除四部曲 计算机网络病毒 1 断网打补丁 如果不给系统打上相应的漏洞补丁 则连网后依然 会 遭 受 到 该 病 毒 的 攻 击 用 户 应 该 先 到 以 下 地 址 http:/www.M ty/Bulletin/ms04011.mspx 下 载 相 应 的 漏 洞 补 丁 程 序 然 后 断 开 网 络 运 行 补 丁 程 序 当 补 丁 安 装 完 成后再上网 2 清除内存中的病毒进程 要想彻底清除该病毒 应该先清除内存中的病毒进程 用户可以按 CTRL+SHIFT+

28、ESC 三或者右键单击 任务栏 在弹出菜单中选择 任务管理器 打开任务 管理器界面 然后在内存中查找名为 avserve.exe 的进程 找到后直接将它结束 3 删除病毒文件 病 毒 感 染 系 统 时 会 在 系 统 安 装 目 录 默 认 为 C:WINNT 下产生一个名为 avserve.exe 的病毒文件并在系统目录下(默认为 C:WINNTSystem32)生成一 些名为_UP.exe 的病毒文件 用户可以 查找这些文件 找到后删除 如果系统提示删除文件 失败 则用户需要到安全模式下或 DOS 系统下删除这 些文件 计算机网络病毒 4 删除注册表键值 计算机网络病毒 该病毒会在电脑注

29、册表的 HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrent VersionRu n 项中建立名为 avserve.exe 内容为 %WINDOW S%avserve.exe 的病毒键值 为了防止病毒下次系 统启动时自动运行 用户应该将该键值删除 方法是 在 运行 菜单中键入 REGEDIT 然后调出注册表 编辑器 找到该病毒键值 然后直接删除 二 自动清除三部曲 1 使用瑞星杀毒软件进行清除 用 户 可 以 将 瑞 星 杀 毒 软 件 标 准 版 或 下 载 版 产 品升级到 16.24.42 版本 并进行系统盘和内存的杀毒 2使用瑞星在线杀毒

30、进行清除 用 户 还 可 以 使 用 瑞 星 免 费 的 在 线 杀 毒 产 品 http:/online.R 查找系统中是否 存在病毒 然后用在线杀毒进行清除 3 使用瑞星免费专杀工具进行清除 用户还可以到 http:/It.R 网址下载免费的 震 荡波病毒专杀工具 然后对电脑进行病毒扫描 病毒报告 震荡波 (Worm.Sasser)计算机网络病毒 此 蠕 虫 病 毒 利 用 微 软 操 作 系 统 的 缓 冲 区 溢 出 漏 洞 MS04011 进 行 远 程 主 动 攻 击 和 传 染 导致系计算机网络病毒 统异常和网络严重拥塞 具有极强的危害性 一 病毒评估 1 病毒中文名 震荡波 2

31、 病毒英文名 Worm.Sasser 3 病毒大小15,872 字节 4 病毒类型 蠕虫病毒 5 病毒危险等级 6 病毒传播途径 网络 7 病毒依赖系统 Windows NT/2000/XP 二 病毒的破坏 1 中毒的系统运行缓慢 同 时 系 统 运 行 中 极 有 可能出现如定时关机 非法操作等异常 2 网络带宽严重被占用 对 网 络 的 正 常 使 用 造 成极大影响 三 病毒报告 这是一个类似冲击波的病毒 利用微软操作系统 的缓冲区溢出漏洞 MS04011 远程执行代码 受感 染的操作系统有 Microsoft Windows NT Workstation4.0 Service Pack

32、6a Microsoft Windows NT Server4.0 Service Pack6a 计算机网络病毒 Microsoft Windows NT Server4.0 终 端 服 务 器 版 Service Pack6 Microsoft Windows2000 Service Pack2,Micro soft Windows2000 Service Pack3,和 Microsoft W indows2000 Service Pack4 Microsoft Windows XP 和 Microsoft Windows XP Service Pack1 Microsoft Window

33、s XP64Bit Edition Service Pack1 Microsoft Windows XP64Bit Edition Version 2003 Microsoft Windows Server2003 Microsoft Windows Server200364Bit Edition 请 用 户 立 即 给 爱 机 打 最 新 的 补 丁 http:/www.M 病毒的破坏行为 1 .首先拷贝自身到 Windows 目录 名为%WINDOWS%avserve.exe(15,872 字节) 然后登记到自启动项 HKEY_LOCAL_MACHINESOFTWAREMicrosoft

34、WindowsCurrent VersionRun avserve.exe = %WINDOWS% 计算机网络病毒 avserve.exe 计算机网络病毒 2.开辟线程 在本地开辟后门 监听 TCP5554 端 口 做为 FTP 服务器等待远程控制命令 病毒以 FTP 的形式提供文件传送 黑客可以通过这个端口偷窃用 户机器的文件和其他信息 3 病毒开辟 128 个扫描线程 以本地 IP 地址为 基础 取随机 IP 地址 疯狂的试探连接 445 端口 试图利用 Windows 的 LSASS 中存在一个缓冲区溢出 漏洞进行攻击 一旦攻击成功会导致对方机器感染此 病毒并进行下一轮的传播 攻击失败也

35、会造成对方机 器 的 缓 冲 区 溢 出 ,导 致 对 方 机 器 程 序 非 法 操 作 ,以 及 系统异常等 病毒占用大量的系统和网络资源 中毒的机器变 得很慢 由于 Windows NT 以上操作系统中广泛存在 此漏洞 该病毒在网络上传播迅速 造成网络瘫痪 四 病毒解决方案 1.立即打系统补丁 安 装 微 软 针 对 此 漏 洞 的 操 作 系 统 补 丁 程 序 : http:/www.M letin/MS04011.mspx 2.进行升级 瑞星公司将于当天进行升级 升级后的软件版本 号为 16.24.42 该版本的瑞星杀毒软件可以彻底查杀计算机网络病毒 此病毒 瑞星杀毒软件标准版和网

36、络版的用户可以直 接 登 陆 瑞 星 网 站 http:/www.R 下 载升级包进行升级 或者使用瑞星杀毒软件的 智能 升级 功能 3.使用专杀工具 鉴于该病毒的危害性比较严重 瑞星公司还为手中 暂 时 没 有 杀 毒 软 件 的 用 户 提 供 了 免 费 的 病 毒 专 杀 工具 用户可以到 http:/It.R ice/technoLogy/tooL.htm 网址进行免费下载 并进 行该病毒的清除 4.使用在线杀毒和下载版 用 户 还 可 以 使 用 瑞 星 公 司 的 在 线 杀 毒 与 下 载 版产品清除该病毒 这两款产品有多种支付途径 用户 可以登陆网址 http:/online

37、.R 用在线杀毒产品 或者登陆网址 http:/go.Risin 5.打电话求救 如果遇到关于该病毒的其它问题 用户可以随时拨打瑞星反病毒急救电话 01082678800 来寻求反病 毒专家的帮助 6.手动清除 计算机网络病毒 1 打开注册表编辑器,删除如下键值: HKLMSoftwareMicrosoftWindowsCurr ent VersionRun avserve.exe = %WINDOWS% avserve.exe 2 打 开 任 务 管 理 器 查 看 是 否 存 在 进 程 名 为 : avserve.exe,终止它 3 删除%WINDOWS%avserve.exe 注%W

38、INDOWS% 是指系统的 Windows 目录 在 Windows 9X/ME/XP 下 默认为:C:WINDOWS,Win2K 下默认为:C:WINNT 五 安全建议 1.建立良好的安全习惯 例如 不要轻易打开一 些来历不明的邮件及附件 不要上一些不太了解的网 站 不要运行从互联网上下载的未经杀毒处理的软件 等 这些必要的习惯会使您的计算机更加安全 2.关 闭 或 删 除 系 统 中 不 需 要 的 服 务 默 认 情 况 下 操作系统会安装一些辅助服务 如 FTP 客户端 TeLnet 和 Web 服务器 这些服务为攻击者提供了方 便 而又对用户没有太大作用 如果删除它们 就能 大大减少

39、被攻击的可能性 增强电脑的安全 3.经常升级安全补丁 据统计 大部分网络病毒 都是通过系统安全漏洞进行传播的 象冲击波 大无 极 SCO 炸弹 网络天空等 漏洞的存在 会造成杀 毒杀不干净的状况 所以应该定期到微软网站去下载计算机网络病毒 最新的安全补丁 堵住系统的漏洞 4.使用复杂的密码 有许多网络病毒是通过猜测简单密码的方式攻击系统的 因此使用复杂的密码 将会大大提高计算机的安全系数 减少被病毒攻击的 概率 5.迅速隔离受感染的计算机 当您的计算机发现 病毒或异常时应立刻断网 以防止计算机受到更多的 感染 或者成为传播源 再次感染其它计算机 6.了解一些病毒知识 这样您就可以及时发现新 病

40、毒并采取相应措施 在关键时刻使自己的计算机免 受病毒破坏 如果能了解一些注册表知识 就可以定 期看一看注册表的自启动项是否有可疑键值 如果能 了解一些内存知识 就可以经常看看内存中是否有可 疑程序 7.最好是安装专业的防毒软件进行全面监控 在 病毒日益增多的今天 使用毒软件进行防毒 是越来 越经济的选择 不过用户在安装了反病毒软件之后 应该经常进行升级 将一些主要监控打开 如邮件监 控 遇到问题要及时上报 这样才能真正保障计算 机的安全 病 毒 报 告 震 荡 波 杀 手 Worm.Cycle.a利用微软的 LSASS 漏洞进行传播 该病毒会清除计算机网络病毒 震荡波 和 冲击波 但 同 样

41、会 造 成 网 络 堵 塞 和 系统异常重启 传播感染速度可能会非常快 另外 病 毒 在 系 统 时 间 为 5 月 18 日 时 对 BBC.COM BBCNEWS.com 和 IRNA.com(伊斯兰共和新闻社)进行拒 绝服务攻击 从 病 毒 体 里 留 下 的 信 息 来 看 该病毒 的作者可能是对伊朗政府不满的人 他在病毒里公布 信息说对伊朗的人权和自由不满意 以病毒攻击的方 式来进行发泄 一 病毒评估 1 病毒中文名 震荡波杀手 2 病毒英文名 Worm.Cycle.a 3 病毒别名 W32.Cycle(Symantec) 4 病毒大小10,240 字节 5 病毒类型 蠕虫病毒 6 病毒危险等级 7 病毒传播途径 网络,文件感染 8 病毒依赖系统 Windows NT/2000/XP二 技术细节 病毒运行后将自己复制到%WINDIR%system 目录 下 文件名 svchost.exe 并在注册表 HKEY_LOCAL_M ACHINESoftwareMicrosoftWindowsCurrent Ver sionRun 及 HKEY_CURRENT_USERSoftwareMicrosof