[教学] 危險病毒通告--WORM_MSBLAST.A

emilccp

一隻名為WORM_MSBLASR.A的新型駭客病毒，正透過微軟 Windows 系統的漏洞，
橫掃攻擊全球各地電腦用戶。
該蠕蟲作者有計畫地將中毒的電腦於 8/15 開始，持續攻擊 windowsupdate.com 網站。

已經確定全系列的 NT-Based 系統皆受影響.

Windows 2000 從 SP0, SP1, SP2, SP3, SP4 全部受影響.
Windows XP 從 SP0, SP1 全部受影響.
Microsoft Windows NTR 4.0
Microsoft Windows NT 4.0 Terminal Services Edition
Microsoft Windows Server 2003

此次WORM_MSBLASR.A傳染途徑和年初爆發的「 SQL警戒病毒」相似，
受病毒感染的電腦會利用 Windows系統漏洞採取阻斷服務攻擊 135連接埠中RPC
(remote Procedure Call ) Buffer Overrun的弱點，造成電腦無法正常作業或當機停擺及網路壅塞，
同時再透過69與4444連結埠去攻擊感染更多的電腦。

目前已知在美洲、南美洲、歐洲與台灣均有災情陸續傳出，
並且造成某些伺服器停擺及企業Intranet網路壅塞無法使用。


影響系統：

Microsoft Windows NT
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows 2003

　

※ 怎樣確定自己的電腦已經中毒！？

⊙ 如果你的電腦動不動就跟你說要重新開機 (60 秒)



⊙ 或是：

   [開始]->執行->輸入 Taskmgr，看一下有沒有 MSBLAST.EXE 這個程式正在運作，
   如果有，也表示你已經中毒！


◎ 決解方法：

此病毒是利用Microsoft MS03-026漏洞進行感染、散播。
請盡速下載安裝修補程式
（參閱：http://www.microsoft.com/taiwan/security/bulletins/MS03-026.asp）。
　


如果您的電腦受到此蠕蟲感染，可以依下列方式解決：

☆ 停止惡意程式 :
　

1. 停止對外連接的網路，將網路線拔除！
2. 這個步驟可以終止在記憶體中執行的惡意程式。
3. 開啟Windows工作管理員(Task Manager)，請按鍵盤Ctrl+Shift+Esc，
    或是[開始]->執行->輸入 Taskmgr，然後點選處理程序(process)標籤。
4. 在所有的程序中，找出程序名稱: MSBLAST.EXE 　
5. 點選此惡意程序,並按下方的結束處理程序按鈕。
6. 請關閉工作管理員，再開啟一次工作管理員 ，檢查該惡意程序是否確實被停止。
7. 關閉工作管理員。


★ 移除登入檔的自動啟動程序 :

1. 這個步驟從登錄檔(registry)中移除自動啟動蠕蟲的程式，
    以避免開機時自動執行惡意程式。

2. 開啟登錄編輯程式，請點選[開始]->執行->輸入 Regedit，然後按下確定鈕。

3. 在左方的子視窗中，依下列順序點選…
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右方的子視窗中，點選並刪除下列的值：
    "Windows auto update" = MSBLAST.EXE

5. 關閉登錄編輯程式。

6. 用檔案總管（視窗鍵+E），到 C:\Windows\System32 這個目錄下面找到 MSBLAST.EXE
    在檔案上按滑鼠右鍵->選"內容"->取消"唯讀"，然後把這個程式刪除。

7. 安裝修補程式，然後重開機！

8. 恢復對外的網路連接，接回網路線！

　

◇ 安裝修補程式：
請參閱：http://www.microsoft.com/taiwan/security/bulletins/MS03-026.asp



＊ 參考網站：

賽門鐵克：
http://securityresponse.symantec ... 2.blaster.worm.html

趨勢科技：
http://www.trendmicro.com/vinfo/ ... Name=WORM_MSBLAST.A
　


§ 相關新聞：

http://www.cert.org.tw/document/ ... t_sn=TW-CA-2003-076

http://tw.stock.yahoo.com/n/2003/08/12/c/596.html
　

　

備註：別忘了，若您的電腦沒有中毒，也請盡快安裝修正檔！


========================================================================

本文內容取自：

HiNet緊急安全事件通報(請用戶立即參考本文解決方式，做好防護措施)

[ Last edited by emilccp on 6-12-2004 at 11:04 AM ]

CoolerTBS

要怎样知道我的　ｘｐ　是　３２ｂｉｔ　ｏｒ　6４ｂｉｔ　ｖｅｒｓｉｏｎ？？

戦零

現在的差不多家用電腦都是用32bit的。
除非你是用AMD 64在配合64bit的Windows XP。

但現在64bit的XP還沒有出來。只是測試版而已。
應該是沒什麽人用。

Mentos

hahaha ..!!!
我用的是 windows Me ... !!!
muahahahha

sou11ess

这不是很久的事情了吗？
fix patch和使用virus removal就可以解决

我还觉得gaobot比较难对付

戦零

sou11ess 于 7-12-2004 02:21 PM  说 :
这不是很久的事情了吗？
fix patch和使用virus removal就可以解决

我还觉得gaobot比较难对付

這個放出來是讓那些中了又不會解決的人來看的.....
不然他們就一直來問.....

MooMoo

我也有这种情况发生,可是我检查后并没有发现MSBLAST.EXE这个file,我好象中了gaobot这个病毒,哪我应该怎样解决??

戦零

MooMoo 于 19-12-2004 09:57 PM  说 :
我也有这种情况发生,可是我检查后并没有发现MSBLAST.EXE这个file,我好象中了gaobot这个病毒,哪我应该怎样解决??

Gaobot有分很多种。詳情移除法參考這兒吧。
http://search.symantec.com/custom/us/query.html

Mentos很好笑噢～～～
小心路上给人家丢石头才知道～～～

其实建议大家开启windows xp 的内建防火墙就可以减少这类事件了。
不然最方便的就是升级到windows xp sp2 就解决了。