I-Worm/Sasser.d

I-Worm/Sasser.d病毒為震盪波的最新變種。與該病毒前的版本相同，也是通過微軟的最新LSASS漏洞進行傳播。

基本介紹

• 中文名：I-Worm/Sasser.d
• 病毒類型：網路蠕蟲
• 病毒大小：16384位元組
• 感染系統：Windows 2000/2003/XP

傳播方式：網路

傳播過程及特徵：

1.感染系統為：Windows 2000、Windows Server 2003、Windows XP

2.利用微軟的漏洞：MS04-011

補丁下載地址:www.microsoft.com/technet/security/bulletin/MS04-011.mspx

3.病毒在某些Windows2000系統下運行，會報錯：

The procedure entry point IcmpSendEcho could

not be located in the dynamic link library

iphlpapi.dll.

4.病毒運行後，將自身複製為%Windir%\Skynetave.exe

5.在註冊表啟動項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\Run下添加鍵值："skynetave" = %Windir%\skynetave.exe，這樣病毒在Windows啟動時就得以運行。

6.隨機在網路上搜尋機器，並試圖通過TCP的445連線埠來進行感染計算機。

7.病毒搜尋計算機後，將通過TCP連線埠9995傳送一個建立FTP檔案伺服器的程式到被感染計算機，然後通過TCP連線埠5554打開一個FTP服務將蠕蟲病毒下載到被感染的計算機上肆機運行。

江民KV系列用戶處理對策:

(1)安裝系統補丁程式:www.microsoft.com/technet/security/bulletin/MS04-011.mspx

(2)利用江民黑客防火牆關閉TCP連線埠455，9995，5554。

(3)升級江民防毒軟體KV2004到最新病毒庫,來全盤搜尋整個系統。

(4)刪除病毒增加的註冊表鍵值。

(5)開啟KV2004的各項監視開關來預防病毒的入侵。

註：%Windir%為變數，一般為C:\Windows 或 C:\Winnt。