“震盪波”變種C(Worm.Sasser.c)

病毒信息

病毒名稱: Worm.Sasser.c

中文名稱: 震盪波變種C

威脅級別: 3A

病毒類型: 蠕蟲

受影響系統: WinNT/Win2000/WinXP/Win2003

發現日期: 2004.05.02

處理日期: 2004.05.02

· 使用AbortSystemShutdown API來防止系統重啟或關機；

· 它開啟TCP連線埠5554來建立一個FTP伺服器，用來當作感染其他機器的伺服器；

· 通過TCP445連線埠掃描隨機的IP位址，當連線成功時，被感染的計算機向被連線機器發動溢出攻

擊，被攻擊的計算機將會自動連線被感染計算機的5554連線埠並通過FTP下載蠕蟲的副本，名稱一

般為4到5個數字加上"_up"的組合，如(78456_up.exe)；

· 由於該病毒本身編寫的漏洞存在，它運行一段時間後會導致LSASS.EXE的崩潰，當LSASS.EXE崩

潰時系統默認會重啟。

· 同時開啟1027個執行緒攻擊；

特別說明：和最近出現的大部分蠕蟲病毒不同，該病毒並不通過郵件傳播，而是通過命令易受感染的機器下載特定檔案並運行，來達到感染的目的。

檔案名稱為：avserve2.exe

其他細節：該自運行的蠕蟲通過使用Windows的一個漏洞來傳播[MS04-011 vulnerability (CAN-2003-0907)]，關於該漏洞的更多信息請訪問：

http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx

該變種是.b變種的源碼重新編譯後，用同樣的加殼工具加殼。

系統修改：

A、拷貝自身到：

%Windir%\\avserve2.exe

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

下添加如下鍵值:

"avserve2.exe" = %SystemRoot%\\avserve2.exe

B、拷貝其本身至系統目錄：

%System%\\<5位隨機數字>_up.exe

C、在C糟根目錄創建以下檔案：

C:\\win.log(該檔案用以記錄本地主機的IP位址)

請使用金山毒霸2004年05月02日的病毒庫可完全處理該病毒；

手工解決方案

首先，若系統為WinMe，則請先關閉系統還原功能；

（毒霸論壇：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系統還原”功能）

步驟一，使用進程式管里器結束病毒進程

右鍵單擊系統列，彈出選單，選擇“任務管理器”，調出“Windows任務管理器”視窗。在任務