2004-5-6 21:02
Sai
新病毒“振荡波”的概况和处理方法总括，补丁、专杀下载
目录：
1.振荡波介绍
2.微软补丁下载（含WINDOWS语言版本不符解决办法）
3.专杀工具下载
--------------------------------------------------------------------------------
“振荡波”病毒(I-Worm/Sasser )
新浪科技讯 就在瑞星公司于4月29日晚刚发布一级安全警报之后，5月1日上午，瑞星全球反病毒监测网率先截获利用这个重大漏洞的高危病毒——“振荡波”病毒(I-Worm/Sasser )，该病毒将使互联网和用户电脑系统再次面临重大危险，其破坏程度有可能超过“冲击波”。
在瑞星发布的一级安全警报中称，目前有90%以上的Windows2000/XP/2003用户没有给一个系统漏洞打上补丁程序，而“振荡波”病毒正是通过这个被微软定义为最高级别的漏洞进行传播的，因此瑞星反病毒工程师预测将有众多电脑被该病毒攻击，极有可能造成大规模泛滥。
根据分析，“振荡波”病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网，就有可能被感染。
“振荡波”病毒的发作特点，类似于去年夏天造成大规模电脑系统瘫痪的“冲击波”病毒，那就是造成电脑反复重启。
简要技术分析
瑞星反病毒专家王耀华介绍，该病毒会通过FTP的5554端口攻击电脑，使系统文件崩溃，造成电脑反复重启。病毒如果攻击成功，会在C:\WINDOWS目录下产生名为avserve.exe的病毒体，用户可以通过查找该病毒文件来判断是否中毒。
“振荡波”病毒会随机扫描IP地址，对存在有漏洞的计算机进行攻击，并会打开FTP的5554端口,用来上传病毒文件，该病毒还会在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中建立："avserve.exe"=%windows%\avserve.exe的病毒键值进行自启动。
该病毒会使“安全认证子系统”进程━━LSASS.exe崩溃，出现系统反复重启的现象，并且使跟安全认证有关的程序出现严重运行错误。
如何防范“振荡波”
首先，用户必须迅速下载微软补丁程序，对于该病毒的防 范，[url]http://www.microsoft.com/china/tech...ms04-011.mspx[/url]
如果用户已经被该病毒感染，首先应该立刻断网，手工删除该病毒文件，然后上网下载补丁程序，并升级杀毒软件或者下载专杀工具。手工删除方法：查找该目录C:\WINDOWS目录下产生名为avserve.exe的病毒文件，将其删除。
--------------------------------------------------------------------------------
[color=red]补丁下载网址，for WINDOWS XP：[/color]
KB835732
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=3549ea9e-da3f-43b9-a4f1-af243b6168f3&DisplayLang=zh-cn]http://www.microsoft.com/downloads/details...splayLang=zh-cn[/URL]
KB828741
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=d488bbbb-da77-448d-8ff0-0a649a0d8fc3&DisplayLang=zh-cn]http://www.microsoft.com/downloads/details...splayLang=zh-cn[/URL]
KB837001
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=ea17d1cb-075e-4b63-bc45-06ebbf41c6b5&DisplayLang=zh-cn]http://www.microsoft.com/downloads/details...splayLang=zh-cn[/URL]
[color=red]windows 2000[/color]
KB835732
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=0692c27e-f63a-414c-b3eb-d2342fbb6c00&displaylang=zh-cn]http://www.microsoft.com/downloads/details...splaylang=zh-cn[/URL]
KB828741
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=fbd38c36-d1d3-47a2-a5d5-6c8f27fdcc40&DisplayLang=zh-cn]http://www.microsoft.com/downloads/details...splayLang=zh-cn[/URL]
KB837001
[URL=http://www.microsoft.com/downloads/details.aspx?FamilyID=5813346a-7ec2-4f57-a199-8375da0ad816&DisplayLang=zh-cn]http://www.microsoft.com/downloads/details...splayLang=zh-cn[/URL]
[color=red]其他winnt内核版本的windows用户，可以先打开以上的页面，然后按左边的“windows 安全与更新”，再输入补丁代号搜索，很轻松便可以找到各版本的补丁。[/color]
--------------------------------------------------------------------------------
关于安装补丁时，提示语言版本不同的解决方法
刚刚请教的我们系里的高手.....：）
偶可不大懂，也没遇到这个问题，因为装的是正版XP。
这个问题只可能在winxp中出现，如果是在其他版本出现请不要照搬方法
出现原因：
安装的盗版winXP，该版本免激活，而且可以升级。但是微软在那个大家熟知的rpc漏洞的补丁中做了手脚，使得盗版xp不能再安装补丁。
解决方法：（已经测试，但仍强烈建议先备份注册表）
建立一个注册表文件，内容如下：(“1004”为简体(新加坡)版，应改为你自己的系统语言代码，见文末）
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\Language]
"InstallLanguage"="0804"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Nls\Language]
"InstallLanguage"="0804"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language]
"InstallLanguage"="0804"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\MUILanguages]
"UIFontSubstitute"=dword:00000001
"1004"="1"
"0804"="1"
"MatchSystemLocale"=dword:00000001
前面三个“0804”表示的是简体中文版本，RPC补丁就检查这几个键值。在XP下执行这个注册表文件，然后重新启动到安全模式，打上中文版的补丁，这时不要重新启动，修改上面的那个注册文件，将前三个“0804”修改成你原来XP系统的语言代码，例如“1004”为简体(新加坡)版。然后存盘，再次执行，否则的话，XP会要求你用原盘再次激活。
查XP系统的语言的，可以看system32目录下的shell32.dll的语言版本就可以知道，0409代表英文，0404为中文(台湾)。
--------------------------------------------------------------------------------
去这里下 “震荡波(Worm.Sasser)”病毒专杀工具（瑞星）
下载地址：[url]http://it.rising.com.cn/service/technology/RS_sasser.htm[/url]
或者
诺顿的专杀工具（可杀震荡波变种）：
[URL=http://securityresponse.symantec.com/avcenter/FxSasser.exe]http://securityresponse.symantec.com/avcen...er/FxSasser.exe[/URL]
--------------------------------------------------------------------------------