查杀“震荡波”病毒

---

精华序号：42
来自论坛：小熊在线 《网络论坛》
内容说明：五一”黄金周第一日，一个新的病毒--“震荡波(Worm.Sasser)”开始在互联网肆虐。该病毒利用Windows平台的Ls

---

• 警告！！！！！！！！！！！！！！！(199字) jojolau (121568)于2004/05/02(08:00:24)..

五一”黄金周第一日，一个新的病毒--“震荡波(Worm.Sasser)”开始在互联网肆虐。该病毒利用Windows平台的Lsass漏洞进行传播，中招后的系统将开启128个线程去攻击其他网上的用户，可造成机器运行缓慢、网络堵塞，并让系统不停的进行倒计时重启。其破坏程度有可能超过“冲击波”。值得注意的是，早在4月13日，微软对此漏洞发布过级别为严重的安全公告:http://www.microsoft.com/china/technet/security/bulletin/ms04-011.mspx

• 补丁打不上，提示语言不同---胡扯！，不过可能是我的xp连sp1也没得缘故！ 惨哪！！！(空) fbizhang (121662)于2004/05/02(19:02:33)..

• ◎ 不知是谁胡扯。你的xp极有可能是新加坡破解版之类的。幸好没升级sp1，不然早封了。(空) 笑精灵 (121723)于2004/05/02(22:49:33)..

• ◎ 微软补丁打不上，提示语言问题。(135字) 狙击者 (122220)于2004/05/05(19:30:15)..

我的是集成了sp1的所谓新加坡破解版，shell32.dll 的语言版本是中国（新加坡）
在修改了注册表内HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\Language里的defaule和install 项的键值后在安全模式下安装也失败了，哪位兄弟有办法搞定？我现在不能重装机，代价太大！
各位帮忙!

• WINXPSP1才能继续升级啊(空) weissyang (121663)于2004/05/02(19:10:33)..

• 我的机器目前还没感染，是不是和开路由有关系？(12字) 鄂人 (121599)于2004/05/02(12:54:22)..

还是先打补丁再说。。。。

• 我 用2000的,最近速度很慢,且经常掉线!!!!!!!!是不是和开路由有关系？有谁知道怎么回事????????? 我 用2000的,最近速度很慢,且经常掉线!!!!!!!!是不是和开路由有关系？有谁知道怎么回事????????? 我 用2000的,最近速度很慢,且经常掉线!!!!!!!!是不是和开路由有关系？有谁知道怎么回事????????? 我用2000的,最近速度慢,且经常掉线!是不是和开路由有关系?哪位知道,请指点!!!!!!谢谢!!!!!!!!!!!!!!!!(空) 林间叶 (121806)于2004/05/03(13:42:39)..

• ◎ 这是我个人的意见，请做参考(62字) guicailang (121897)于2004/05/03(21:37:25)..

要么中病毒了，可以先查查毒。或者你开太多程序了。 点出任务管理器看看。把没必要的关掉。
还有就是你很长时间没进行磁盘整理了。

• 来自symantec的消息，此病毒已有变种！！！(124字) jojolau (121597)于2004/05/02(12:53:07)..

这个变种自启动的程序名叫avserve2.exe，那些XXXXX_up.exe也可能出现在进程中。手动杀除该变种时，需要终止的进程为avserve2.exe和XXXXX_up.exe（如果有的话）。

参考：
http://securityresponse.symantec.com/avcenter/venc/data/w32.sasser.b.worm.html

• 为何不给我机会~~~~让偶也看看中毒后滴效果啊~~~~~~~~~~~~~~~~~~(73字) cstrike (121596)于2004/05/02(12:12:55)..

• ◎ 安装这个补丁就没事了(58字) 许多狼 (121590)于2004/05/02(11:13:25)..

http://download.microsoft.com/download/f/a/4/fa45d805-82aa-4731-8619-40319436a26d/WindowsXP-KB835732-x86-CHS.EXE

• 中毒状况(55字) jojolau (121571)于2004/05/02(08:10:54)..

Uses the AbortSystemShutdown API to hinder attempts to shut down or restart the computer.
电脑无故关闭或重启！！！

• 这是m$对LSASS 漏洞入侵代码的了解。(142字) jojolau (121601)于2004/05/02(13:09:35)..

我们目前对此漏洞问题所了解的信息如下：

• 只有 Windows 2000 和 Windows XP 才会遭受匿名用户的远程攻击。虽然 Windows Server 2003 和 Windows XP 64-Bit Edition Version 2003 也存在同样的问题，但只有本地管理员才有可能利用该漏洞。

• Microsoft Windows NT 4.0 不受该问题的影响。

• ◎ 补两副毒发时的图：(75字) jojolau (121577)于2004/05/02(09:01:31)..

• 冲击波病毒在XP和2003中都会出现(41字) 不会玩电脑的网络高手 (121788)于2004/05/03(12:24:00)..

老兄，你的图是怎么拷贝下来的．我以前中冲击波病毒的时候都是照着这个样子自己打得字．

• re(300字) jojolau (121569)于2004/05/02(08:00:48)..

该蠕虫生成文件avserve.exe，位于windows目录下，大小15872字节。
windows目录（%windows%）指的是windows安装到的目录，在windows XP默认为C:\windows目录，在windows NT、windows 2000默认为C:\winnt目录。

该蠕虫在注册表以下位置
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
添加自启动项
"avserve.exe"=%windows%\avserve.exe

此外，
在系统盘根目录下还生成win.log文件，默认为c:\win.log。
在系统文件目录生成XXXXX_up.exe文件，XXXXX是随机的。
系统文件目录（%System%），
对于NT、2000，默认为C:\WINNT\system32\
对于XP，默认为C:\WINDOWS\system32\

• 提供一个专杀工具(166字) jojolau (121570)于2004/05/02(08:08:06)..

http://securityresponse.symantec.com/avcenter/FxSasser.exe.
The W32.Sasser.Worm Removal Tool does the following: （此专杀工具将做以下动作）
1.Terminate the W32.Sasser viral processes （终止sasser病毒进程）
2.Delete the W32.Sasser files （删除sasser文件）
3.Delete the registry values that the worm adds（在注册表内删除病毒建立的条目）

• rising提供的工具更小一点！(24字) jojolau (121609)于2004/05/02(13:29:03)..

http://download.rising.com.cn/zsgj/RavSasser.exe

• 老大你早点发这个啊，我就不用重装系统3次了(17字) zhuang_yi (121589)于2004/05/02(11:09:37)..

一个天杀的，往我FTP上传了一个，我靠

• 手工清除方法(1096字) jojolau (121574)于2004/05/02(08:28:56)..

1.终止以下进程：
avserve.exe
xxxxx_up.exe (其中xxxxx代表4～5位的数字，比如：74354_up.exe).
2.如果你使用windows me或者windows xp建议你关闭系统还原：
因为windwos禁止其它程序（包括杀毒软件）修改系统还原点。
3.升级你的杀毒软件，进行全盘杀毒：
个人建议到安全模式下进行杀毒
4.删除病毒建立的以下注册表条目：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

"avserve.exe"="%Windir%\avserve.exe"

最后要记得打windows的补丁哦！！！

微软的相关补丁！下载您的系统对应的补丁，然后安装。还要注意语言版本。

Microsoft Windows NT Workstation 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=7F1713FC-F95C-43E5-B825-3CF72C1A0A3E

Microsoft Windows NT Server 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=67A6F461-D2FC-4AA0-957E-3B8DC44F9D79

Microsoft Windows NT Server 4.0 终端服务器版 Service Pack 6
http://www.microsoft.com/downloads/details.aspx?FamilyId=62CBA527-A827-4777-8641-28092D3AAE4F&displaylang=en

Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3, 和 Microsoft Windows 2000 Service Pack 4
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=0692C27E-F63A-414C-B3EB-D2342FBB6C00

Microsoft Windows XP 和 Microsoft Windows XP Service Pack 1
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=3549EA9E-DA3F-43B9-A4F1-AF243B6168F3

Microsoft Windows XP 64-Bit Edition Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=C6B55EF2-D9FE-4DBE-AB7D-73A20C82FF73&displaylang=en

Microsoft Windows XP 64-Bit Edition Version 2003
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en

Microsoft Windows Server 2003
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=EAB176D0-01CF-453E-AE7E-7495864E8D8C

Microsoft Windows Server 2003 64-Bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en

• ◎ 已加精华(空) 半夜在街上咬耳朵的小老鼠 (121584)于2004/05/02(10:13:03)..

---

本论坛由小熊在线（www.beareyes.com）joyt制作及维护