流行病毒大全－－PKUCERT安全提醒（1）

煎饼

CCERT关于防范W32.Sasser蠕虫公告(2004/5/10)

3 o! `; C3 u* e" A* a
9 X0 L0 ?5 a  N, F+ X内容来源：www.ccert.edu.cn
: U! F0 _  U' r8 q, `发布日期：2004-05-01

# \  E% z7 u: ^4 E2 H* D影响系统：Windows 2000, Windows Server 2003, Windows XP
1 y% n/ L; W9 r
8 @( \4 x; r: M$ n. U% e8 y蠕虫别名：W32/Sasser.worm [McAfee] 震荡波[瑞星]
: Q. i% q' Z4 r
& f7 @' H' A4 ^) Z+ g; g# T蠕虫信息：
, t4 L) y* D. G* G) x3 @. o9 Y' U    W32.Sasser蠕虫是一个利用微软操作系统的Lsass缓冲区溢出漏洞（ MS04-011漏洞信
8 r7 u$ V5 W) `2 O- `息请参见http://www.ccert.edu.cn/announce/show.php?handle=101 ）进行传播的
$ F0 [; D) I3 O: F蠕虫。由于该蠕虫在传播过程中会发起大量的扫描，因此对个人用户使用和网络运行都会
) ]; e% m' c+ Q% @' x造成很大的冲击。
% }9 D5 Q. U# U2 c1 i  O: ]- _
- j% E$ G+ N$ f) u. w( u9 v8 q详细信息：
4 `" q1 r% f7 `8 m  `蠕虫感染系统后会做以下操作：
    1.在系统中创建一个互斥体以保证系统中在任何时候有且只有一个蠕虫进程在运行。
" \7 b% R2 p* X8 o; `9 E4 ^; d   
    2.将自身拷贝为%Windir%\avserve.exe或者%Windir%\avserve2.exe（注意%windir%是个变
      量，它根据系统版本和安装路径不同而有所不同，通常情况是c:\windows或者c:\winnt）
( `9 k* D+ Q8 k$ A   
5 M. U$ A, \, h% V( u    3.修改注册表，在
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
      项中添加"avserve.exe"="%Windir%\avserve.exe"值这个操作保证蠕虫在系统重新
. s% P$ ~% [; ?. R( T      启动后能够自动运行。
   
    4.利用AbortSystemShutdown函数（系统意外中断错误重起函数）使系统重新启动
   
    5.开启一个FTP服务在TCP 5554端口，用来向其他被感染的机器传送蠕虫程序
, q# d3 c3 {) K1 a- X$ w. I; _' @
: v" f) w$ H3 X5 g    6.产生随机的网络地址，尝试连接这些地址的TCP 445端口并发送攻击程序,一旦攻
. ]! V5 i: Q$ v* A/ ^      击成功，蠕虫会在被攻击的机器的TCP 9996端口上创建一个远程的shell,然后利用
8 ]$ [! ~' i% Y6 z" b; t, |      这个远程的shell执行命令让被攻击的机器连接到发起攻击的机器的FTP 5554端口
      上下载蠕虫文件并运行。这个被下载来的蠕虫文件名是由4-5个随机的阿拉伯数字
      和_up.exe组成的（如23423_up.exe）
     
8 M1 J* \) ?4 q2 O9 `     随机的地址按如下规则生成：
        * 50%的机会是由系统随机生成的
        * 25%的机会随机生成的ip地址的前八位（二进制）与本地的IP地址的前八位
          相同，也就是说在被感染IP地址相同的A类地址段中随机生成
        * 25%的机会随机生成的ip地址的前16位（二进制）与本地IP地址的前十六
+ i9 P7 g" l: q2 S. V& \         位相同，也就是说在被感染IP地址相同的B类地址中随机生成
6 g# d  |* S) i# c" {5 e. C6 s0 z& ?- s
& i* E1 K! l' E' d4 h     7.发起128个线程对上面产生的IP地址进行扫描。新的变种会发起1024个线程扫描。蠕虫的
# Y' U8 f& v: N: F0 `4 `       这个操作会占用大量的系统资源，可能使CPU的负载到达100%无法响应系统的正常请求。
+ }6 M2 C" t& O* E( H& G. Y: p

检测控制方法
$ ]& \( y. U+ N. [4 O* t* h1 r
个人用户控制方法：
) Q/ E4 K( i5 y0 _8 a
* 安装相应的补丁程序
* 如果无法及时安装补丁程序，请使用防火墙阻断以下端口的数据连接
4 f1 X! W+ D/ I8 Z. m. i. U' n4 z  X  135/tcp
2 B$ i/ e/ T- G. g$ {2 X( ^' F  139/tcp
  445/tcp
6 |# l  {9 P( m8 j' ?) W  1025/tcp
1 ~$ }& u: v" Z3 W  f  5554/tcp
  9996/tcp

网络控制方法：
; b) n4 b- g% J, G: R1 T
  在边界路由器上添加如下规则阻断445端口上的数据
* |/ y  N+ C, h  access-list 110 deny tcp any any eq 445

/ L" [* x1 C/ ^* V; T- g0 W$ D( }查杀办法：

3 b  Y5 ?9 h& _5 y检查是否被感染的方法：
9 d4 `% B; Y( d$ T如果系统中存在以下特征就表明您已被W32.Sasser蠕虫感染了
, @. i8 ~# R( u' R    * 系统进程中存在名为avserve.exe的进程
    * 系统目录中存在avserve.exe文件
    * 注册表中HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项
: r/ P3 p$ U! U! I7 G8 q- Q& b5 x      中存在"avserve.exe"="%Windir%\avserve.exe值

; b+ G3 k9 @2 Y3 r注意蠕虫在传播过程中如果失败，会导致系统产生异常错误重起，如果您的系统
发现这种情况，请尽快安装相应的补丁程序。
" A# t) P3 T" D" O* |
手动清除方法：

- _3 }- P4 ]; k2 Z3 e1 Z& r       1.下载相应的补丁程序到本地硬盘上：
( g/ w- v& v$ q0 I9 ]9 p$ F) e       winnt workstation 4.0 中文版+sp6补丁 中文版  繁体中文版 英文版
2 k6 V9 u; }2 z& |  w  b       winnt server 4.0 中文版+sp6补丁中文版 繁体中文版 英文版
, ~/ J, m' t2 u: r       window2000 +（sp1或sp2或sp3或sp4）补丁中文版 繁体中文版 英文版
# x% m6 }' E% e5 V: k       winxp 中文版+sp1补丁中文版 繁体中文版 英文版
       win2003 补丁中文版 繁体中文版 英文版
2 y+ ]  V" R6 f+ y+ ?      
      2.结束系统进程中的下列进程  
% m! z+ P6 Q% b; t        * avserve.exe或者avserve2.exe
        * 由4-5个随机的阿拉伯数字和_up.exe组成的名字进程（如23423_up.exe）

0 L# h1 B, p7 e# i      3.升级系统的杀毒软件到最新的病毒库
/ z7 u- M2 J" z% P# F1 H/ l
      4.使用杀毒软件进行全盘扫描，发现病毒后选择删除
8 E2 r7 y7 Y4 s: B8 X
5 X* m+ u& F! D% Q7 ~" s; d$ m. D      5.编辑注册表程序删除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中
2 ?. m1 H' ]3 J& Z6 o        的"avserve.exe"="%Windir%\avserve.exe值
- H! R' S( |+ i; {+ C% Z9 h2 l+ t- t
: h9 V+ K9 {" o4 T      6.安装补丁程序后重新启动机器

/ A2 q4 V8 y; V) D  g- k使用专杀工具清除方法：
' {6 \$ e9 x2 B: ?. t0 e        1、下载专杀工具 FxSasser.exe
; {' J9 ~3 e. S6 `0 ~. m
6 J* t; r; K& N+ v        2、关闭其他应用程序运行专杀工具
+ Z' b$ H) p* h
. N0 Z5 t6 v: p6 i, Y/ Y
9 q6 y2 ^4 r7 t# R( l% h参考网站：
$ w+ _2 P- g$ nhttp://vil.nai.com/vil/content/v_125007.htm
http://securityresponse.symantec.com/avcenter/venc/data/w32.sasser.worm.html

% w9 G' z- P) _* O* |; p3 s4 _! J中国教育和科研计算机网紧急响应组（CCERT）
# ^* l/ X6 A( `. C) V7 H/ e! Z2004 年5月1日
1 D& D2 J4 H3 K/ P: C2 {, s6 jCCERT 关于防范MyDoom病毒的安全公告(MyDoom.A,MyDoom.B) 。(2004/2/5)
. y( }& Q2 z- I% W( i; x
病毒名称：MyDoom
病毒别名：Shimgapi,Novarg, W32/Mydoom， 诺维格, SCO 炸弹，悲惨命运
病毒变种: MyDoom.A,MyDoom.B

9 o! A% M0 r2 x- P, N感染系统：Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT,
" ]/ q  s' V' t0 b/ U2 r: e           Windows Server 2003, Windows XP
1 O" \/ y7 {, ^5 _1 B发现日期：2004/01/27(MyDoom.A)， 2004/01/28(MyDoom.B)

病毒简介:
    MyDoom是一种通过电子邮件附件和P2P网络Kazaa传播的病毒,当用户打开并运行附件内的病
毒程序后，病毒就会以用户信箱内的电子邮件地址为目标，伪造邮件的源地址，向外发送大量
带有病毒附件的电子邮件，同时在用户主机上留下可以上载并执行任意代码的后门（TCP 3127
到3198范围内）。
' m" E& v) g7 v& L% l% l
　　MyDoom病毒还设定了自2月1日起向www.sco.com和www.microsoft.com网站发起大量连接
请求而造成DDOS攻击，一直持续到3月1日(但DDOS攻击停止后蠕虫留下的后门不会自动消除)。
Mydoom.B还阻止被感染机器访问一些著名反病毒厂商的网站。

$ t1 B7 N. [( {5 D* y+ W, |9 |
% [1 h' g, r9 x- }  }个人防范建议:
    1. 立即更新您的防病毒软件，如果怀疑您的系统受到感染，立即彻底扫描整个系统；
    2. 不要轻易打开下述特征的电子邮件（见附件二和附件三）；
    3. 在收邮件的客户端软件中加入过滤规则,邮件特征参见附件:
    4. 如果您的防病毒软件不能清除MyDoom病毒，您可以使用Symantec 公司提供的MyDoom专杀
; c' m7 w1 y9 Z. @) f6 O6 Z工具(见附件一)
, h/ h" r8 H; W: F- T6 g
5 M, |, l2 a, n- _校园网防范建议：
    1. 教育您的用户不要轻易打开电子邮件附件，特别是后缀名是.vbs, .bat, .exe, .pif
and .scr的附件，这些文件经常用于传播病毒；
    2. 教育用户安装所有的操作系统补丁，经常更新系统；
7 z' Y1 X5 `3 W   

附件一：Symantec 公司提供的MyDoom 清除工具
! [% j' z" P: O' E  ~附件二：MyDoom.A的特征分析
2 U* b& y# E1 N' X附件三：MyDoom.B的特征分析
2 \8 b4 A6 c' e, N/ l2 \* p/ P附件四：MyDoom的手工清除步骤


) N4 s' z& A5 V( v) @% c
附件一：Symantec 公司提供的MyDoom 专杀工具
6 S) b- _4 @4 ]+ @+ B        本地下载:  fxMydoom.exe
! t7 h& M, {9 T! D        下载到本地双击运行即可，详细使用说明参见 Symantec 公司提供的说明
& c7 C+ f1 M' n5 d7 H& o+ d
附件二：MyDoom.A的特征分析（源自Symantec 公司， CCERT 编译）

    MyDoom.A 感染以后，将执行如下操作:
/ y4 B* k9 q# A2 Q3 K/ V& `# Q    1.创建下列文件：
        %System%\Shimgapi.dll. Shimgapi.dll 会监听从TCP 3127 到 3198 范围内的一个端
5 l5 [# Q- V0 a2 J口，从这个后门可以下载和执行任意程序；  
        %Temp%\Message. 这个文件含有随机字符，以Notepad 显示；
        %System%\Taskmon.exe.
$ f1 k* q0 c/ M% X  N: p       

    2.将值："(Default)" = "%System%\shimgapi.dll"
      添加到注册表键：HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}
' c3 q6 B4 v  M$ V\InProcServer32
) W' m4 S3 U/ T/ X2 n$ U      将值："TaskMon" = "%System%\taskmon.exe"
      添加到以下注册表键中：
        HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run
        HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
6 I8 k, W0 O8 M: H$ A6 k
   3.2004年2月1日到2004年2月12日,通过新创建63个会发送GET请求、直接连接到80端口的线
程，尝试对www.sco.com发动拒绝服务攻击.

( z* }+ G8 |9 t0 w0 H
8 Z6 E1 p# k( S+ D1 F  
   4.在具有下列扩展名的文件中搜索电子邮件地址,并发送带有
病毒的邮件。
        .htm
. s  F, }8 F  z" v; V        .sht
# U5 S( m6 q  e  \  D/ C3 z. t        .php
( f5 M: P( j2 j4 K: w7 U! n( o. p        .asp
3 C/ ]- D6 n% L        .dbx
        .tbb
1 J# U- m1 A. ^5 j  e+ Q        .adb
        .pl
        .wab
+ F: p- M8 I9 `3 j' U        .txt
      注意:它会忽略以 .edu 结尾的地址,但不会忽略以.edu.cn结尾的地址。
    5.将自身作为下列文件之一复制到 Kazaa 下载文件夹：
        winamp5
        icq2004-final
0 n* P# k. z& v* W; ?        activation_crack
        strip-girl-2.0bdcom_patches
+ B! A2 W$ |3 _6 p6 x        rootkitXP
        office_crack
8 E0 u7 [- X- K  Y6 v3 L        nuke2004

7 N! ^+ g3 }/ @        使用下列之一作为扩展名：

        .pif
        .scr
        .bat
( ^% A2 _* H% b; {. T( O: U        .exe
   
( Z1 }' y5 y  v: G. @% P9 E      6.这个病毒还包括一种功能，可以把病毒自身远程安装到被感染MyDoom.A的系统上。实现
9 e  y6 j% E; h1 U, d4 n. s- S步骤如下：
产生2到6个并发进程，随机扫描一个C类的网络的3127端口，如果连接成功，则病毒会发送一个升
命令，并把自身拷贝到远程计算机上。


7 _% |: y; f' `5 U9 Y3 o
) c; W* M0 ]0 u0 o+ e   MyDoom.A发送的邮件具有如下特征:
& s9 z0 Q3 }/ Y7 t2 K8 L   
    发件人：可能是经过伪装的发件人地址
/ T3 b' \7 l# J5 g  U
    主题：可能是下列之一：
- P* ?# o! B. G* v3 k        test
0 T/ B  @0 B2 q6 H2 J1 H! f        hi
  i8 z: F* A# |( D$ P3 Q* q. m        hello
        Mail Delivery System
8 p9 C" u5 O  F+ V0 Y7 m/ @        Mail Transaction Failed
, d' S& B' `' \1 Q        Server Report
        Status
        Error
8 A* S2 Y: `+ U) f, f. d9 [! c  v4 @
    正文：可能是下列之一：
$ k' ^' l6 I- W: s) B        Mail transaction failed. Partial message is available.
/ ~& @  Z0 U( y: s        The message contains Unicode characters and has been sent as a binary attachment.
        The message cannot be represented in 7-bit ASCII encoding and has been
- L  A2 i. E7 Bsent as a binary attachment.
! g8 s" s  f' R. K! M5 e9 l% G" k
    附件：文件名可能是下列之一：
9 y9 Z- q8 u. t  H        document
        readme
        doc
        text
        file
        data
        test
& a, V3 t3 e& r- S1 R1 V% P" b5 X        message
6 a- t: j9 ^  J7 r0 E        body
7 x6 W7 @- |" D7 c7 I
     注意：
$ i& @% ^( a% N3 c/ q. U        附件可能有两个后缀。其中一个后缀可能下列之一：
        .htm
  @/ i% e3 w" [( @        .txt
/ F  E. s/ T1 f        .doc
/ m3 \9 \; `: l3 P5 w5 H0 ]
        蠕虫总是会使用下面后缀中的一个：
& }) \7 i! h2 X5 z% N        .pif
& S. z2 ]  |  j: X1 }        .scr
/ O" C. j# N  K& E& Q3 f* e& r0 o5 B        .exe
3 u% ~7 w5 K; `! q        .cmd
        .bat
! D# z% p/ F$ E/ M- @6 m3 Y- R        .zip（这是一个实际上含有病毒程序的 .zip 文件。该蠕虫程序的名字和这个 .zip
的文件名一致。）
4 K) q& F6 C# ~3 y. l  M" }
% i1 B/ q' B' z: d' }0 p

附件三：MyDoom.B的特征分析（源自F-Secure,CNCERT翻译）
. m# q1 C7 X8 m
--------------------------
该蠕虫运行后首先寻找Mydoom.A,，如果找到则终止Mydoom.A蠕虫体进程的运行并且删
除"shimgapi.dll"文件。
1． 生成下列文件：
        %sysdir%\explorer.exe
9 o; X2 U1 E# E8 g6 v" _+ y) i. \        %sysdir%\ctfmon.dll
. h" O4 t0 O+ h' v0 x
' f6 t5 _* M6 `# q    ctfmon.dll是该蠕虫的后门组件，蠕虫通过注册表中的
    [HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
     加载ctfmon.dll。
2． 在注册表中增加键值：
5 Z2 W; g, z4 I4 s1 I [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "Explorer" = %sysdir%\explorer.exe
; q! w, u5 w4 y$ o( I0 O' x. a
: R0 w, @" _* q# ?" t9 N如果失败，则添加至：
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
! R  x; @% @: X  ^0 k"Explorer" = %sysdir%\explorer.exe

[HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
9 M- N- D& n6 t8 e$ J8 s8 S1 A"(Default)" = %SysDir%\ctfmon.dll
3． 通过对等文件分享软件进行传播
该变种把蠕虫体拷贝到Kazaa下载目录中，可能的文件名为：
    NessusScan_pro
    attackXP-1.26
# f+ T! i( @( U( D( v6 Z/ |    winamp5
    MS04-01_hotfix
    zapSetup_40_148
& X0 ?# W9 P3 s. e1 F& s0 ~    BlackIce_Firewall_Enterpriseactivation_crack
    xsharez_scanner
    icq2004-final
! Z, L+ ^9 N) U7 o' t+ ]可能的扩展名为：
# N$ r  z9 s# \# h    .bat
* b' C* |& M1 E2 |1 ^# W( U; P    .exe
    .scr
2 a, Q+ w2 t6 @    .pif

5 [. I' c" J  p- ~4． 蠕虫以自身的邮件引擎发送蠕虫体

（1）发送邮件地址的获得该蠕虫从Windows的地址簿以及一些特定类型文件中收集邮件地址，
1 ]# B0 L$ F- x0 a+ O- C并以自身的邮件引擎向它们发送蠕虫体，同时它也避免向一些有特定邮件帐户名的地址发送。
/ G% S" X5 k) c5 X, C( Y
a. 从如下扩展名文件中搜寻邮件地址：
    wab
    pl
0 E1 f7 o3 ^7 Z5 X/ Y- z, s    adb
    dbx
    asp
+ m) X, p# z3 W0 z  k: @    php
    sht
8 P) b' s3 S# `    htm
% E& l$ H, ^# ~3 @, D- w5 @4 G    txt

$ x% I% F: E$ g6 {1 N- d% [8 Qb. 一旦选择了一个邮件地址来发送自身后，该蠕虫也将向该邮件地址同一域名的如下帐户发送
自身：
6 b( I" M$ @# H, V
    john maria dan brent
, w) g, D' T; J6 o1 A    alex jim dave alice
    michael brian matt anna
    james serg steve brenda
    mike mary smith claudia
    kevin ray stan debby
; ]( w2 w6 n6 K% s2 J" S6 b/ \    david tom bill helen
    george peter bob jerry
0 z* m: H( A2 n) d2 i* C    sam robert jack jimmy
8 J: c! N" p( o2 r- y  m6 _    andrew bob fred julie
    jose jane ted linda
, c2 b; J+ ]) R    leo joe adam sandra
8 S8 A9 e. t! ?+ Z% D
) M# a$ M2 x4 ~8 I$ i' Gc. 避免发送的邮件地址帐户名：
9 Z7 y$ m) J% h' S+ g, I, ?' c
7 C  [2 k$ C) s7 u4 v* b- ~    root nothing site not
# O2 e7 G  M" e6 V3 d0 k    info anyone contact submit
5 u: a7 w9 W. O    samples someone soft feste
    support your no ca
, n4 y; A$ ]/ k% @' Q    postmaster you somebody gold-certs
    webmaster me privacy the.bat
( D( o% {5 e7 b5 r    noone bugs service page
3 Q  k! w' c6 k( p6 R1 A' m* i    nobody rating help   
; \- z9 w& U& N& z  L8 K
（2）蠕虫发送的带毒电子邮件格式
  k# U& I% @0 G: Z9 k
a. 邮件主题：（下列之一）
    Status
) K0 O0 i  L% {0 I    hi
    Delivery Error
  X( T/ z! w' u3 F    Mail Delivery System
    hello
    Error
4 C4 x+ V0 _8 n/ N  V/ v    Server Report
( ]6 V, a9 K$ ^1 d3 F2 A    Returned mail

b. 邮件正文：（下列之一）
& ~3 ~+ a# R+ ]1 ^* \- q$ z( xThe message cannot be represented in 7-bit ASCII encoding and has been sent as a
/ `3 J1 ~; k& G. z9 R3 ^. c# V1 tbinary attachment.
sendmail daemon reported:
Error #804 occured during SMTP session. Partial message hasbeen received.
The message contains Unicode characters and has been sent as a binary attachment.
The message contains MIME-encoded graphics and has been sent as a binary attachment.
  k% U( k8 \6 y0 CMail transaction failed. Partial message is available.

c. 邮件附件文件名：（下列之一）

    document
, w2 @( n) A! c5 u    readme
( E2 E% d% F9 h2 D! _" P: M    doc
    text
    file
    data
    message
& C$ l  I6 j* J" b    body
% ?5 c7 P+ N3 A1 ^4 T- Y
+ d' ]8 G0 l* X3 y1 fd. 邮件附件扩展名
# @4 `( d# w5 P* f" S, y. H! Q$ C- n邮件附件可能有一个或两个文件扩展名，如果它有两个扩展名，则第一个是：（下列之一）
   .htm
   .txt
% ^7 a  P8 O  F   .doc

: z' e. }7 b# T6 Y2 P0 d- D8 e第二个扩展名，或者如果只有一个扩展名，则是：（下列之一）
% x! \$ R$ v4 k) n5 V; ?5 e1 Z
2 E" B8 F, \4 ^6 S. W. D# J1 G    .pif
    .scr
    .exe
" F* n6 V5 N8 ?1 ^1 h$ e    .cmd
    .bat
& ]: W! ]; l" Q- |+ s7 S8 H, |
7 H$ T& _) {0 t0 f& c. ]e. 邮件附件所用图标使得它看起来是一个文本文件

5． 期限
6 T- {) v& Y% i1 p( b8 ~    该蠕虫将在2004年3月1日后停止运行，但是后门程序还将继续运行。
6． 后门
: q9 r+ V) l) v    该蠕虫有能力发送自身到已经感染Mydoom.A的主机上。它首先对随机生成的IP地址列表进行
扫描以便发现已被Mydoom.A感染的主机，之后尝试连接TCP 3127端口（Mydoom.A所留后门利用的
端口），如果连接成功则传送自身并立即执行，从而不需要用户通过邮件接收新蠕虫体就可更新
# X+ Q9 H- o! q5 p, s$ z被感染蠕虫为新的版本。

此外，该蠕虫通过调用函数gethostbyname()获知被感染主机的主机名，解析其IP地址并扫描寻
找同一网段内感染Mydoom.A蠕虫的其他主机。
( W; Q! @( S+ P1 k" C  i$ r
. ~! `% h0 j! n% l) y该蠕虫与Mydoom.A一样也留有后门组件（ctfmon.dll），该组件在被感染的系统中打开端口1080
以接受来自远程用户的访问。它也可能利用3128，80，8080，10080等端口。
( i6 ]- V8 b) e0 Y- ^! b/ ^
7． DDOS攻击
5 |& T# H: M' B; t9 |3 d  V: `该蠕虫分别于2004年2月3日和2004年2月1日对www.microsoft.com网站和 www.sco.com 网站进行
  V7 M* V" f4 j" ]  a! eDDOS攻击。 该蠕虫在DDOS攻击时如果无法成功解析www.sco.com，则等待65秒后重新尝试，如果
1 @7 c& D- a: ]. P- h无法成功解析www.microsoft.com，则等待16秒后重新尝试。

8． 阻止被感染主机访问反病毒网站
该蠕虫通过改写被感染主机的hosts file，强制被感染主机将一些著名反病毒公司及其他一些商
业站点的网址解析成0.0.0.0的IP地址，从而使得该主机无法访问这些站点。改写后的hosts file
文件内容如下：
0.0.0.0 engine.awaps.net awaps.net www.awaps.net
ad.doubleclick.net
0.0.0.0 spd.atdmt.com atdmt.com click.atdmt.com
clicks.atdmt.com
# \- ^- Z0 U3 N$ K0.0.0.0 media.fastclick.net fastclick.net
www.fastclick.net ad.fastclick.net
' C( Y8 A/ l! C( J& M& o) y0.0.0.0 ads.fastclick.net banner.fastclick.net
banners.fastclick.net
( Q/ q: j# E$ t0.0.0.0 www.sophos.com sophos.com ftp.sophos.com f-
secure.com www.f-secure.com
0.0.0.0 ftp.f-secure.com securityresponse.symantec.com
0.0.0.0 www.symantec.com symantec.com service1.symantec.com
0.0.0.0 liveupdate.symantec.com update.symantec.com
updates.symantec.com
0.0.0.0 support.microsoft.com downloads.microsoft.com
3 Z' h3 V! x( \' K" I1 V  U7 v' y$ T0.0.0.0 download.microsoft.com
6 ~* e" z) U% s0 ?$ M5 p/ E% awindowsupdate.microsoft.com
0.0.0.0 office.microsoft.com msdn.microsoft.com go.microsoft.com
. z- K# _6 X1 U& r4 k0.0.0.0 nai.com www.nai.com vil.nai.com secure.nai.com
4 x7 D5 o; P) k; C* fwww.networkassociates.com
8 m. q4 v5 h( B0.0.0.0 networkassociates.com avp.ru www.avp.ru
7 u5 E8 q/ l  }; A8 @% k, A/ ^$ nwww.kaspersky.ru
0.0.0.0 www.viruslist.ru viruslist.ru avp.ch www.avp.ch www.avp.com
$ e# G  a) ]. a) d8 D0.0.0.0 avp.com us.mcafee.com mcafee.com www.mcafee.com
8 V) {- f/ M6 E dispatch.mcafee.com
0.0.0.0 download.mcafee.com mast.mcafee.com
1 L4 ~/ v% H; W$ qwww.trendmicro.com
0.0.0.0 www3.ca.com ca.com www.ca.com www.my-etrust.com
0.0.0.0 my-etrust.com ar.atwola.com phx.corporate-ir.net
! t1 R5 p& }" d: k3 B在攻击微软网站的时间到来之前还添加了0.0.0.0 www.microsoft.com，这使得感染主机无法访
问微软站点。2月3日之后，该行被删除，从而保证DDOS攻击可以进行。如果DDOS攻击成功，
: e4 o& k5 L: H4 P! v$ B. E会导致所有用户很难访问该网站。
9 d! q# {7 R' c  Z3 D* `
- u) J2 J8 m; K改动hosts file主要的目的是使得用户不能通过下载更新最广泛使用的反病毒产品来清除该蠕
虫。

1 _! q/ l, h7 `: J
& t9 P( s; E) s9 K0 S# p
附件四: MyDoom 的手工清除步骤
' C3 O0 S  V! x8 O! n9 F) t
8 _9 l/ D" M8 k+ KMyDoom.A手工清除步骤
6 P& U* @/ |: P3 v----------------------
& q) O+ k. W6 \: g$ j6 z1． 删除下列注册表键值
$ s7 ^0 C7 T4 m; Q3 x$ Y& \; o0 JHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32
\Version
4 g4 M% f, c5 [HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的
8 F! {, _+ s: o   "Taskmon"="%System%\taskmon.exe"
7 c! C, B5 C; ~/ V8 @# t% _; F! nHKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的
/ `9 h4 k# H+ A( P   "Taskmon"="%System%\taskmon.exe"

# ^4 [6 G" @4 M' N- c( e: U2． 修改注册表键
+ ~0 U/ v) ~. Z" @2 L" [HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
' c- j# a: z, s5 ~   的"数值数据"为
%SystemRoot%\System32\webcheck.dll (Win2000/NT/WinXP)
Windows\System\webcheck.dll (Win98)

5 V5 ?# s7 L3 ^  W' x2 s3． 删除文件
%System%\Shimgapi.dll
%Temp%\Message
%System%\Taskmon.exe

MyDoom.b手工清除步骤：
--------------------------
1． 删除下列注册表键值
0 a2 J  L1 ]6 z' L; ~; ~[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Explorer]
! U" _4 t3 i% l$ \$ }/ h1 e- [) w  m[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Explorer]
( [- P% q8 K( X2 w  t% i[HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
$ m3 R$ Y- V- {2． 删除蠕虫释放的文件
- ~) b5 h& D, U%SysDir%\explorer.exe
8 N+ [" T. G& i' g2 t%SysDir%\ctfmon.dll
3． 还原hosts file
对于win2000和xp，这个文件是 %system%\system32\drivers\etc\hosts
对于win98，这个文件是 \WINDOWS\hosts
删除hosts file中所有本蠕虫所添加的部分，它们旨在阻塞对反
* E" N6 Z# h. p$ P' A5 a" U病毒厂商和其他商业网站的正常访问。
3 E& G# _9 ?" {$ ^8 {. g6 q6 j
4 H2 Q# o! c- p; I' ~: }" @: K3 n


; z5 D% X0 y0 q3 p8 C

[此贴子已经被作者于2004-5-15 15:29:37编辑过]

* s, G! S8 Z$ U2 z

煎饼

W32/MyDoom.B 病毒(2004/2/4)


W32/MyDoom.B 病毒
/ w7 O6 g* G/ O5 B7 v8 Q描述：
* t6 u- l0 [5 t7 a' q
  W32/MyDoom.B病毒是W32/Novarg.A病毒的变种，是基于Windowns平台的病毒，与W32/Novarg.A病毒相似 ，W32/MyDoom.B病毒
& S! y3 e' a* o' ]6 e是通过电子邮件或共享的形式传播的。如果用户打开了邮件中附带的不明文档或运行 了病毒程序，就会感染Windowns操作系统，
5 Q  {" G; M& |7 e2 b' fW32/MyDoom.B病毒除了通过电子邮件的形式传播外， 还在本地系统安装后门（backdoor），并且进行网络扫描与DDoS攻击,产生大量的网络流量.
7 p- ?" G, w6 p) W  R, `
感染系统：
( I7 U# O1 `. Z  Microsoft Windows 各种版本
, \  W) ~* z* O0 W( s& k7 R) Y病毒特征：
8 q# Y" i2 I, g1。邮件：
0 C. u% N0 {4 w  h! G) t3 y    主题:
; U, @+ T2 y$ Q7 E    可能包含如下文本：
! q  @' z: p  c& D    Delivery Error,
) O2 N  o0 A/ q' X/ F) v; M  A/ C    hello
6 o. M; o+ W$ b/ c' B: B: M" W    Error
; T8 b2 k. G$ b5 L* D    Mail Delivery System
- e$ o5 R2 b4 q  i    Mail Transaction Failed
" k# _1 h, k: y  Z3 ?* P    Returned mail
    Server Report
$ a6 m  o4 Z, v5 j, O( Q# x    Status
    Unable to deliver the message

    正文:
    .....
    [一些随机的内容]
    ......
    test
    The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary  attachment.
    sendmail daemon reported: Error #804 occured during SMTP session. Partial message has  been received.
7 c4 o& I  q/ y' e% w6 e    The message contains Unicode characters and has been sent as a binary attachment.
) T& y2 x, y( D+ Z# ?    The message contains MIME-encoded graphics and has been sent as a binary attachment.
    Mail transaction failed. Partial message is available.
附件:   
  名称：body, doc, text, document, data, file, readme, message
6 [, B  q, G. U' [  后缀：exe, bat, scr, cmd, pif

2。共享的病毒文件：
& O7 Z0 \! ]; P# c   病毒在系统中产生共享目录，共享的文件可能命名为{attackXP-1.26,  BlackIce_Firewall_Enterpriseactivation_crack,
- D* m( a' ~  ~2 nMS04-01_hotfix, NessusScan_pro, icq2004-final,  winamp5, xsharez_scanner, zapSetup_40_148}.{exe, scr, pif, bat}.

病毒运作机理：
. F5 J) s" D3 u# _: z& u  1。病毒在系统目录(%windir%\system32，Windows NT/2000/XP； %windir%\system，Windows  95/98/ME)下产生两个文件，
    explorer.exe是主要的病毒执行体，ctfmon.dll是用来提供后门的程序。并且explorer.exe显示的不是执行文件的图标而是自定义的文本图标。
2 \- p$ F( S3 p* {4 x1 g& c    注：合法的explorer.exe是在Windows目录(%windir%)下。
3 g; J0 V) E1 `* [: v    病毒还重写(%windir%\system32\drivers\etc\hosts，Windows NT/2000/XP；%windir%\hosts， Windows 95/98/ME)下的文件，阻止DNS对一
    些站点的域名解析（其中包括许多知名的防病毒公司的站点） 。   
  2。病毒拷贝生成的病毒文件{attackXP-1.26, BlackIce_Firewall_Enterpriseactivation_crack,  MS04-01_hotfix, NessusScan_pro,
    icq2004-final, winamp5, xsharez_scanner, zapSetup_40_148}. {exe, scr, pif, bat}到共享的目录中。
6 m5 {0 w# I# s+ [  3。病毒修改注册表以便自动运行。     
     [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
     "Explorer"="C:\WINDOWS\system32\explorer.exe"
: p+ d1 U) v- A" O. i6 x
, S3 h5 L8 h' c: M" @    [HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
4 h* n: d2 F. t     @="%SystemRoot%\System32\ctfmon.dll" (REG_EXPAND_SZ)
) \" P0 a! w3 K/ ^( b' A   而正常的注册表值是 %SystemRoot%\System32\webcheck.dll (REG_EXPAND_SZ)

  4。W32/MyDoom.B病毒收集被感染了系统的邮件地址并通过自带的SMTP发送带病毒的邮件。这个特性的一个显著特点是在安装有病毒扫描的邮件服务器
    会自动对感染的邮件回复，并把邮件退回给发送者，并产生不可发送报告。
0 G% Y; `4 e( v4 o  5。后门程序ctfmon.dll打开1080, 3128, 80, 8080, 10080/TCP端口，入侵者就可以通过这些端口控制 本地系统。
% r- L& h1 O5 t2 [  6。病毒扫描监听3127/TCP端口的机器(有可能是3127-3198端口)。
  7。病毒对www.sco.com（2月1日），www.microsoft.com（2月3日）等站点进行DDOS攻击。

解决办法：
' ?5 i% Y9 J9 F9 X% U" x
1。对系统管理员
1 S7 H! Z' M, \/ D! I   在防火墙或路由器上限制1080, 3128, 80, 8080, 10080，3127/TCP端口数据的出入。
   对安装有防病毒系统的邮件服务器，应该禁止对明显感染病毒邮件的自动回复，至少应该把含有病毒的附件删除。
2。对用户
   不要运行不明来源的程序。
   安装防病毒产品并及时更新病毒定义文件。
系统恢复：
  Q# @) Z( T1 m7 k' g) K* a$ M) S  识别病毒进程explorer.exe（注意和正常的explorer.exe进程的区分），在任务管理器中或第三方的程序杀掉病毒进程，删除病毒生成的几个文件，
恢复正常的hosts文件。
7 ?9 a5 X3 X/ Q, E" ^
翻译并改编自http://www.us-cert.gov/cas/techalerts/TA04-028A.html
+ H* A( L' |; G- j1 k

PC机防病毒服务
! d% @/ w* k9 U: W9 k. q
1.点击下载---诺顿防病毒程序
2.运行下载到本地的诺顿防病毒端程序，进行安装。
3.点击LiveUpdate按钮，更新本机病毒定义库（或重新启动机器）。
7 J3 T$ x' Y) F; V" U

Windows的Workstation服务缓冲区溢出漏洞。(2003/11/12)
: E  N8 a; f8 N  X& f: A5 k
' b7 S( d5 e: {+ V$ h' M8 t描述：
( [# D8 q! F  |& eWorkstation服务是Windows操作系统为本地文件系统服务、远程文件系统服务或者网络打印请求提供资源所在的位置，并决定服务请求是基于本地系统的还是网络上的其它组件。如果Workstation服务停止，则缺省所有的请求服务都是基于本地的，Workstation服务是Windows操作系统缺省启动的服务。攻击者利用此漏洞可以对系统拥有完全的控制权。

* b6 N0 e/ w# ^" n- s危害程度： 高
9 s/ p5 }( t4 q
% {8 A. r; L' ^. u影响系统:
+ `8 W& y5 n, [: yMicrosoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4
: ?" F! @+ Y+ O3 TMicrosoft Windows XP, Microsoft Windows XP Service Pack 1
- N( |. @: i# U! ^Microsoft Windows XP 64-Bit Edition
; v1 P8 r6 }- g9 [3 N0 y
! N2 }" |( K% Z$ _& b6 C补丁包：
" l5 V+ X' p7 D+ q& K' O1.Windows 2000：
Windows 2000英文版
Windows 2000中文版

1 e$ X8 h  Y; I2 f- r9 Z6 Y2.Windows XP：
8 i+ L5 u1 F$ |Windows XP英文版
Windows XP中文版
! x, V& f# i7 X' O& C& Z


Windows的RPCSS服务缓冲区溢出漏洞。(2003/9/12)

% @) W. _- i8 C) H, w! X6 l- v" d描述：
RPC是Windows 操作系统使用的一种远程过程调用协议，RPC提供进程间交互通信机制，允许在某台计算机上运行程序的无缝地在远程系统上执行代码。协议本身源自开放软件基金会的 RPC协议，Microsoft在其基础上增加了自己的一些扩展。 Microsoft的RPC部分在通过TCP/IP处理信息交换时存在多个远程堆缓冲区溢出问题，远程攻击者可以利用这些漏洞以本地系统权限在系统上执行任意指令。 这些漏洞是由于不正确处理畸形消息所致，漏洞实质上影响的是使用RPC的DCOM接口。此接口处理由客户端机器发送给服务器的DCOM对象激活请求(如UNC路径)。攻击者通过向目标发送畸形RPC DCOM请求来利用这些漏洞。成功利用此漏洞可以以本地系统权限执行任意指令。攻击者可以在系统上执行任意操作 ，如安装程序、查看或更改、删除数据或创建系统管理员权限的帐户。
. ]3 g4 B! a7 l$ F
危害程度： 高
影响系统:
$ \. x5 V' E7 F7 G1 ~Microsoft Windows NT Workstation 4.0
. f  V  ]7 Y5 g: j4 LMicrosoft Windows NT Server? 4.0
; I8 T, b- \+ EMicrosoft Windows NT Server 4.0, Terminal Server Edition
4 C" P1 S' l3 c+ O4 G; v- x( mMicrosoft Windows 2000
) b4 b, U5 i  Q& }7 F0 K- F$ nMicrosoft Windows XP
. s3 f2 Q1 k; _+ U! v& GMicrosoft Windows Server 2003

: _; ?+ I0 r1 l" i不受影响的系统：
& M$ |" `7 n, o  \) {5 Y5 e& DMicrosoft Windows 98
Microsoft Windows Millennium

/ E" S  G0 t, [) W6 ]补丁下载：
- ]$ l& `1 r6 h) P
, V5 p" P% r9 ^) O: rWindows2000中文版
Windows2000英文版
WindowsXP中文版
3 R) O# H+ b* fWindowsXP英文版

1 J4 e1 c, K5 i7 m8 G( y6 x
1 ^4 I+ E! E) `# [& h0 p解决W32.Welchia.Worm病毒的办法

一、最简单的清除办法：
由于该病毒有自清除的特性，可以修改系统时间年份至2004年，并重新启动系统，病毒即可清除，然后安装漏洞补丁后再矫正系统时间。
# e( o4 G) I5 j
二、自动清除W32.Welchia.Worm的办法：
; V: e3 I5 T" ?2 @, d1、下载Symantec提供的杀毒工具
' i: ?4 t; ]7 Y3 S& o5 ?3 D4 y2、如果操作系统为Windows Me/XP，建议禁用掉系统中的系统恢复（System Restore）功能。
* j; |" W. x8 r6 x: }3、运行杀毒工具。
/ q1 b9 x. ]8 Z) G4、重新启动机器。
5、再次运行杀毒工具。
# A, @  g8 ]1 W' G6、立刻打补丁和更新病毒库。
7、如果在2步骤中禁用了系统恢复（System Restore）功能，请重新打开。

0 R1 P- L4 s$ D6 E" s+ jSymatec提供的工具：
点击下载  Symatec Tool
" b* T* c2 K9 B( e7 F补丁：
1.关于RPC的补丁：
Windows 2000
' \! J' E) G+ c* |6 tWindows XP
2 Z* n/ `7 N5 b' p: U/ @2.关于WINDOWS2000系统：
windows2000_sp4
0 ~6 ?. ~7 v' G三、手动清除W32.Welchia.Worm的办法：
1、如果操作系统为Windows Me/XP，建议禁用掉系统中的系统恢复（System Restore）功能。
2、在任务管理器关闭Dllhost.exe进程。
3、进入注册表（“开始->运行：regedit），删除如下键值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services RpcTftpd
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services RpcPatch
4、检查、并删除文件:
) K% \5 c- k- Z. _. k" c  s5 O5 g' B3 {%SYSTEM%\WINS\DLLHOST.EXE
5 o* [4 s6 X. j$ {5 x5 Q! l%SYSTEM%\WINS\SVCHOST.EXE

. _$ a5 [$ \0 {3 v4 g其中%System%表示（系统须是缺省安装目录）：
& b) D( v. N8 VWindows 95/98/Me C:\Windows\System
Windows NT/2000  C:\Winnt\System32
Windows XP   C:\Windows\System32
( r$ `3 T. O, i! C" S# A
. K% }; A8 _4 k1 w/ v/ Z* k5、重新启动机器。
7 V  O; v$ h1 L' R' \  V# j" g6、立刻打补丁和更新病毒库。
* q+ Y' M' P  F$ F1 _7、如果禁用了系统恢复（System Restore）功能，请重新打开。

CCERT 关于 W32.Nachi.Worm 蠕虫公告。(2003/8/19)
- u, k9 f0 `) k$ O( l) @4 g/ d* I
1 h& A, {& z. c$ Y2 s( w   
. Y: e: I/ U. c/ J4 j4 l) WCCERT公告编号:2003-017

影响系统:  Windows 2000,
          Windows XP ,
4 G. Z' W$ t( M  M8 R4 P* d          Windows 2003
CVE参考 :  CAN-2003-0109, CAN-2003-0352
- b4 L9 ~7 r/ [  ~' \: I
别名：
/ g4 A& P2 c% B! I. S# y* W    趋势科技 MSBlast.D
    F-Secure  LovSAN.D
3 M( u( n* F6 |6 O' l    NAI  W32/Nachi.Worm
    Symantec  W32.Welchia.Worm
% U2 @9 q) F4 j" t7 |
( S% q9 e3 ^' U0 d& _6 h: ?简单描述：
  s  W* E- F& X4 E1 C4 @/ g该蠕虫利用了Microsoft Windows DCOM RPC接口远程缓冲区溢出漏洞
1 v3 F4 o3 s9 l! G: e) Z) p; G(漏洞信息参见http://www.ccert.edu.cn/advisories/all.php?ROWID=48)
和Microsoft Windows 2000 WebDAV远程缓冲区溢出漏洞
（漏洞信息参见http://www.ccert.edu.cn/advisories/all.php?ROWID=28）
进行传播。
如果该蠕虫发现被感染的机器上有“冲击波”蠕虫，则杀掉“冲击波”蠕虫，并为系统打上补
7 A( `2 ?8 z" Z2 [/ O9 N( x丁程序，但由于程序运行上下文的限制，很多系统不能被打上补丁，并被导致反复重新启动。
ICMP蠕虫感染机器后，会产生大量长度为92字节的ICMP报文，从而导致整个网络不可用。
(ICMP流量增长趋势参见附图)。
" H. P) X7 K% K) P- b* o
这些报文的特征如下：
7 V! m/ i6 a, S: y' [+ X
0 T$ V: \  d- \1 h% yxxx.xxx.xxx.xxx > xxx.xxx.xxx.xxx: icmp: echo request
   4500 005c 1a8d 0000 7801 85be xxxx xxxx
+ f& S3 f5 ~( D) Z   xxxx xxxx 0800 26b1 0200 79f9 aaaa aaaa
& u% r8 Q" K( j% d, B2 g1 B0 v   aaaa aaaa aaaa aaaa aaaa aaaa aaaa aaaa
   aaaa aaaa aaaa。

蠕虫的详细信息：

在被感染的机器上蠕虫会做以下操作：
& k! a4 g7 U2 f) p& e7 V1、蠕虫首先将自身拷贝到%System%\Wins\Dllhost.exe
& e% r3 R% _( ^) N& |
（%system%根据系统不同而不同，win2000为c:\winnt\system32,winxp为c:\windows\system32)
2 b, |  W& J- j% w# x. \
2、拷贝%System%\Dllcache\Tftpd.exe到%System%\Wins\svchost.exe
# w7 `! y9 G* E+ Z
3、创建RpcTftpd服务，该服务取名Network Connections Sharing，并拷贝
   Distributed Transaction Coordinator服务的描述信息给自身。
9 M2 V6 i3 p, e3 H2 i   服务的中文描述信息为：并列事务，是分布于两个以上的数据库，消息队列，文件系统，或
: g  l. u5 e/ B( V" ]5 k% L   其它事务保护资源管理器
   
   创建RpcPatch服务，该服务取名WINS Client，并拷贝Computer Browser服务的描述信息给自身。
   服务的中文描述信息为：维护网络上计算机的最新列   表以及提供这个列表给请求的程序。

4、判断内存中是否有msblaster蠕虫的进程，如果有就杀掉，判断system32目录下有没有msblast.exe
& U+ M2 |9 [) d# }' s1 F   文件，如果有就删除。
- J: V9 h0 e7 s3 p
+ s& `* V  g; @( e5、使用类型为echo的ICMP报文ping根据自身算法得出的ip地址段，检测这些地址段中存活的主机。
  X1 D: Z/ d5 j' H
- _( v: K/ ]- n/ f6 h: Z6、一旦发现存活的主机，便试图使用135端口的rpc漏洞和80端口的webdav漏洞进行溢出攻击。
" n2 w  @" y3 T/ R# Q* H  溢出成功后会监听666-765范围中随机的一个端口等待目标主机回连。但是从我们监测情况
! O- V7 v! e3 m& U8 U# Z  看，通常都是707端口。
' j1 v! Q5 ]5 h& u/ U
, ?- u# A$ U0 W, L0 J& w/ K; l8 M2 R7、建立连接后发送“dir dllcache\tftpd.exe”和“dir wins\dllhost.exe”命令，根据
  ?" ~) F8 v, W3 s2 b! L  返回字符串判断目标系统上是否有这两个文件，如果目标系统上有tftpd.exe文件，就将tfptd拷
) \  `1 E; L0 g- `" m7 t3 W  贝到%system%\wins\svhost.exe，如果没有，就利用自己建立的tftp服务将文件传过后再拷贝。
7 v, y  c/ g: Q8 r2 n+ I) f1 d" {
8、检测自身的操作系统版本号及server pack的版本号，然后到微软站点下载相应的ms03-26补丁
   并安装。如果补丁安装完成就重新启动系统。

/ n& M& _2 e( M. H5 U+ X9 U9、监测当前的系统日期，如果是2004年，就将自身清除。
; S$ Q6 T$ a" G
4 b% Z. k% k& a% [' v' ?) t, g
8 a# F$ w% y- \1 |感染特征：
1、被感染机器中存在如下文件：
%SYSTEMROOT%\SYSTEM32\WINS\DLLHOST.EXE
%SYSTEMROOT%\SYSTEM32\WINS\SVCHOST.EXE
2、注册表中增加如下子项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
) w  n% ^4 V; O$ V( a9 v( {# JRpcTftpd
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
9 N! z* b# {. X# ERpcPatch
3、增加两项伪装系统服务：
Network Connection Sharing
# k$ h9 ?* \& W$ IWINS Client
4、监听TFTP端口(69)，以及一个随机端口（常见为707）；
+ j/ h! B! |2 v' b; |5、发送大量载荷为“aa”，填充长度92字节的icmp报文，大量icmp报文导致网络不可用。
6、大量对135端口的扫描；
( ]' z2 A% s, L( A& Q! i6 S) X

网络控制方法：

! I1 _2 F4 Q; u( v4 r1 o6 p. p如果您不需要应用这些端口来进行服务，为了防范这种蠕虫，你应该在防火墙上阻塞下面的协议端口:

5 C+ Z$ O* H& f6 `% c$ L6 ^UDP Port 69,  用于文件下载
TCP Port 135, 微软：DCOM RPC
ICMP echo request(type 8)   用于发现活动主机      
4 p) c* J" ~% ]4 R, E3 _使用IDS检测，规则如下：
alert icmp $EXTERNAL_NET any -> $HOME_NET any (msg:"W32.Nachi.Worm infect ";
content:"|aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa|";itype:8;depth:32; reference:
+ i8 w0 Y6 g( N+ Bhttp://www.ccert.edu.cn; sid:483; classtype:misc-activity; rev:2;)


被感染计算机手动删除办法：

: O) U* I8 ], z* x1、停止如下两项服务（开始->程序->管理工具->服务）：
5 e8 H; o" W; kWINS Client
Network Connections Sharing

2、检查、并删除文件:
" T+ M1 A! t( R% I4 w%SYSTEMROOT%\SYSTEM32\WINS\DLLHOST.EXE
%SYSTEMROOT%\SYSTEM32\WINS\SVCHOST.EXE
- S( {/ j9 m0 S% P# A
! e5 }, C+ ^$ z, t3. 进入注册表（“开始->运行：regedit），删除如下键值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
RpcTftpd
; h( P) y1 f: y- s1 K5 yHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
& M8 b; b  I/ X. q) GRpcPatch

4. 给系统打补丁（否则很快被再次感染）
本地下载：
Windows 2000
Windows XP
0 g, Y/ i" v9 o; \% cMicroSoft: http://www.microsoft.com/technet/security/bulletin/MS03-026.asp


利用Symatec提供的工具清除：
点击下载  Symatec Tool
. y  C9 |1 ]" s* Q* e下载后运行，然后重新启动机器，再重新运行一遍此程序以确保系统是干净的，运行完毕马上打补丁。
) B( l  B' d9 H9 s. w1 R其他参考信息
; h' O7 v0 Q" k1 G/ n- P

$ o7 t* U# W# B% a; M1、http://vil.nai.com/vil/content/v_100559.htm
2、http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp
3、http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html
' J6 H0 t( v7 N
2 R4 y  Y  N/ V- Q4 q中国教育和科研计算机网紧急响应组（CCERT）
4 e8 H9 K& u# s0 ]2003 年8月19日
% V4 ?4 v# ?9 N  i: c% V7 w
7 h9 S8 M$ S$ W4 d" _关于W32.Blaster.Worm蠕虫的解决办法。(2003/8/17)
  x: e0 n) S) j8 ?3 Z
   
* s8 E' ?4 z# _( h) x8 `1 |& |影响系统:   Windows 2000
- U' _# m, D, C/ A( x! T" `. P           Windows XP
( n3 ?8 n' ^5 X" f' I& F& @) G8 ^, d           Windows 2003
7 l, \4 ?! \( i: T* HCVE参考:   CAN-2003-0352
McAfee 命名为：W32/Lovsan.worm

简单描述：
( D$ g# }3 y8 OW32.Blaster.Worm 是一种利用DCOM RPC 漏洞进行传播的蠕虫，传播能力很强。
详细描述请参照Microsoft Security Bulletin MS03-026
(http://www.microsoft.com/technet/security/bulletin/MS03-026.asp)
感染蠕虫可能导致系统不稳定，有可能造成系统崩溃 ，它扫描端口号是TCP/135,
) G& y2 D5 V% w3 H传播成功后他会利用tcp/4444和UDP 69端口下载并运行它的代码程序Msblast.exe.
$ y+ }- X* T* q5 ~, c这个蠕虫还将对windowsupdate.com进行拒绝服务攻击。这样做的目的是为了不能使您
及时地得到这个漏洞的补丁。
- ]+ i# X; y5 W7 y/ e/ s2 A

3 S2 p. W# S, C) N* p# f/ J0 v/ t- c感染病毒计算机的特征：

  O3 p# T7 B* ~+ B- L    蠕虫攻击不成功可能导致系统出现了不正常，比如拷贝、粘贴功能不工作，RPC 服务停止；
    建议你重新启动计算机，立刻打补丁（下载地址见下文）；
+ L( y4 t8 I( T& k# A  
   1. 被重启动；
$ i0 A4 o) g/ U5 d   2. 用netstat 可以看到大量tcp 135端口的扫描；
6 O! g1 E  `! }6 H/ W: I8 O   3. 系统中出现文件： %Windir%\system32\msblast.exe
   4. 系统工作不正常，比如拷贝、粘贴功能不工作，IIS服务启动异常等；

解决办法：

   1.利用Symatec提供的工具清除：
      点击下载Symatec Tool，然后打以下补丁程序：
% p7 a5 v3 s: x; d7 X  ?( g! H$ d8 G      Windows 2000补丁
      Windows XP
4 r3 N- b$ V& u- z5 O: v) H/ a
      
2 O5 q- g5 p9 W5 @  2.网络控制方法(防火墙控制办法）：
  R! I7 ?# v" z% A* I$ c
; x* ?6 }9 s4 U  o: V) O( z   如果您不需要应用这些端口来进行服务，为了防范这种蠕虫，你应该在防火墙上
阻塞TCP port 4444 , 和下面的端口:
" L3 E4 Y  N0 c- l/ \0 U
4 J! d" Y9 P/ Z   4444/TCP  蠕虫开设的后门端口，用于远程控制     
   69/UDP    用于文件下载
   135/TCP   微软：DCOM RPC
   135/UDP
5 Y: l; ^8 U8 d; d2 ^   139/TCP
$ n: n7 a$ p0 F" ?; [) N   139/UDP
   445/TCP
! h$ ~3 }: ~+ [! r: w) N- n   445/UDP
4 c" |0 {. s. L$ W   593/TCP


2 }: d" e0 B) C) Y4 b2 Y  3.手动删除办法：

    1. 检查、并删除文件: %Windir%\system32\msblast.exe
( F* t! z1 z' X    2. 打开任务管理器，停止以下进程 msblast.exe .
; W1 h; \4 \; _* f# d" s0 w    3. 进入注册表（“开始->运行：regedit)

   找到键值：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
- W% [0 W  T" f; g) C( w+ u4 Y
   在右边的栏目, 删除下面键值:

" h* o; H, q6 Q; R   "windows auto update"="msblast.exe"

) d; q" |( A: k   4. 给系统打补丁（否则很快被再次感染）

  本地下载：
      Windows 2000补丁
      Windows XP
, D( d; B( z. e+ D) Y 安装补丁遇到的问题：
   1， 如果系统为XP,系统提示安装程序不能验证update.inf文件的完整性，
2 w( n  ]$ q3 h       请确定加密服务正在此计算机上运行。
       解决方法：
5 j( c6 C- s$ |" t( Y$ S( W, e         start cryption service。

7 k1 H% C2 E3 V" d* _5 b1 z    2,  如果系统提示，安装补丁的语言系统和系统语言系统不一致。
       解决方法：
        安装ENU版本补丁，其原因是部分中文XP内核仍然为英文，所以安装中文版补丁会提示出错。  
1 O: h2 P4 H: p- R: r, p
, {1 @3 z& i- @6 ~- B% j    3，装完RPC补丁后机器启不来（黑屏）。
       解决方法：
         把主板上的电池拔下来放电（够长时间）
       
    4，XP系统，上网就重新启动，无法下载补丁
* u4 R8 ?  O) x        解决方法1：       
          先进入“计算机管理”，--我的电脑->管理
; x+ @" e# \7 [: v6 g            选择“服务和应用程序”，
          然后是“服务”，在右边的列表中找到“Remote Procedure Call (RPC)”，
% I# J" O$ o6 I0 ?          打开其属性对话框，在“恢复”页中将失败处理改为“不操作”。
$ [3 w1 {+ O; Q. R! J       解决方法2：
          可以在出关机提示的时候把系统时间往后调1个小时，这样就能延长一个小时关机...

" R6 F9 A0 a- z    5，安装了相应补丁后仍然不断地出现SVCHOST错误，或者重新启动。
; H4 d# t7 ^* ^' _6 {0 X       解决方案：
          打了补丁没起作用的一种可能是你当时显示打补丁成功，但实际
7 d# V( c. I  F* D7 s+ B1 l          上那几个dll未被替换成功.MS的SPn不会出现显示安装成功却实际
          未成功的事，但hotfix 会出现这种事。某些时候安装hotfix之后，
5 A5 T, h! r) \. R5 F8 [4 C0 c& E3 D          显示成功，从注册表里也看到反安装信息，但实际上可能未替换文
          件。一般此时最好是卸载hotfix，重启动，重新安装hotfix。
% P8 c+ n: u6 V  {% D  M5 z         
            另一个情况下，ms03-026未补完全，ms正在重新制作非紧急响应型
% D! ]0 T- C4 n" M4 ~            的补丁，你不是被蠕虫打得重启，而是被人攻击， 就有可能打了
            ms03-026也无意义。

  b( {! U1 Y, s& ~更多补丁信息请参见：   http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

9 q8 u" N  s1 T% ?9 ]FROM: http://www.ccert.edu.cn/
1 t% ^/ z7 D$ I, B+ F; e$ M

煎饼

一种危害巨大的apache蠕虫正在迅速传播，敬请关注并升级您的系统。(2002/9/24更新)
5 c7 T: o- f0 P+ X      一种名为Slapper的蠕虫正在网上迅速传播，该蠕虫利用了一个以前发现的OpenSSL漏洞侵入系统，并把所有感染的主机构造一个分布式拒绝服务的攻击平台，用来攻击其它的网站。而且此蠕虫还存在某种功能性的后门。
      在现在已经出现了多种的平台上OpenSSL服务器漏洞利用程序，但是Slapper蠕虫只对在Intel架构下运行了具有OpenSSL模块（mod_ssl）Apache的Linux系统有效。蠕虫在tcp 80 端口上利用 一个无效的HTTP GET请求对那些有漏洞的系统进行扫描（GET /mod_ssl:error:HTTP-request HTTP/1.0）.
      当检测到了一台Apache系统，蠕虫将试图通过tcp 443端口将利用程序代码发送到SSL服务上。假如成功，那么恶意源代码的一份拷贝就放置到了受害服务器上了，在此服务器上攻击系统尝试去编译和运行源代码。一旦受到感染，受害服务器将派生大量子进程扫描其他的的主机，继续传播。
; X' A# A! W$ K: v7 A-----------------------------------------
$ H/ y' k3 ^- v& x7 b+ G2 A7 e* H2 ~      在感染过程中，攻击主机指示新被感染的受害方对攻击者开放UDP 2002。最新发现的变种攻击端口又增加了4156、1987两个端口。一旦建立了这个通信渠道，受感染的系统就成为了蠕虫DDoS攻击网络的一部分。
" G0 n0 r9 C0 o" L7 K4 K      另外，蠕虫还包含了用于创建一个点对点的攻击网络的代码，也就是说已感染的机器可以被远程的操纵，以发动一次大范围的分布式拒绝服务（DDoS）攻击。
- S+ `- a& m% Q7 v, r" o. c7 y-----------------------------------------
检测：
9 O& F7 X  g. t. e1)在受感染的系统中可以看到蠕虫的进程".bugtraq"。
2)操作系统中出现以下文件。
) U% q9 G% C% j2 ^( G2 o
原始版本 "A" ，监听端口：2002/udp
    /tmp/.uubugtraq
    /tmp/.bugtraq.c
    /tmp/.bugtraq
变种 "B" ，监听端口：4156/udp，后门端口：1052/tcp
   /tmp/.unlock.c
& G( M- `3 j# i  C! f2 H9 a0 M   /tmp/.update.c
$ G/ G& r. \6 e9 ?/ I+ U变种 "C" ，监听端口：1978/udp
   /tmp/.cinik
  /tmp/.cinik.c
  A7 Y% h3 Y4 [- G" R4 }  /tmp/.cinik.go
3 U; j8 R: z- q  X: B: [. ?) t  /tmp/.cinik.goecho
  /tmp/.cinik.uu
' Z5 G( |" E& l3 o% V
& B5 F+ l- l8 y. [0 h6 c% N! L-----------------------------------------
' y1 l. ?7 `/ ~" @* n清除：
. k- R* |8 u$ ^: W' T3) 杀死.bugtraq进程；
! u% w% u* e( W5 {4 B1 g# Q4) 删除上述临时文件：
# R0 G8 {" h! S) `1 |* U( W% p9 Y5) 停止Apache服务器；
6) 为了避免重复感染,
--请尽快将您的openssl版本升级到0.9.6e以上版本，
--并将您的mod_ssl升级到2.8.10版本。
* j' B% f/ A$ ^( \8 h8 [, M本地下载：
openssl-engine-0.9.6g
3 Y# M* f+ ^/ ?7 c$ K" B2 @mod_ssl-2.8.10
. H8 Q1 C1 E6 h2 s; W& B) y－－－－－－－－－－－－－－－－－－－－－－－－－
7) 为了防止计算机被远程控制，在防火墙或路由器上过滤UDP 2002端口的流量。
9 a! O+ @9 H% f# p; ~3 K2 y-----------------------------------------
& q7 z% @  s: T/ y1 b更详细的信息请参见：

http://www.f-secure.com/v-descs/slapper.shtml
) _- d" h" i; ^) W  k% W
The OpenSSL security advisory is available at
$ N* ~6 a& j' Z3 khttp://www.openssl.org/news/secadv_20020730.txt

CERT(r) advisory is available at:
0 n( {; J1 m2 G( E3 Ghttp://www.cert.org/advisories/CA-2002-23.html

+ d% ~4 I' X5 g4 kSecurity advisories released by Linux vendors:
6 ^, O: k9 {5 Z8 Z6 r  z' r4 I/ M, }1 n( dDebian: http://www.debian.org/security/2002/dsa-136
& B7 w2 z, s' N: ^& y+ b2 F# wMandrake: http://www.mandrakelinux.com/en/security/2002/MDKSA-2002-046.php
# R7 x; v. ~, j. pRedHat: http://rhn.redhat.com/errata/RHSA-2002-155.html
SuSE: http://www.suse.com/de/security/2002_027_openssl.html

" _) g5 x) S% S- \本文大部分内容转自 http://www.ccert.edu.cn/announce/show.php?handle=40
& z* V5 w0 C- d# m2 R. T* s
! l$ W! r& z5 C) B: ^
/ k/ ], _) J. ]9 y. Y  J7 l( s
病毒Badtrans.b蠕虫(2001/11/26)
一个通过邮件传播的蠕虫病毒，它是Worm.Badtrans.13312的一个变种，长度为29020。它也是利用IFRAME execcommand 漏洞，使含有该病毒的邮件在预览时自动运行病毒。手工清除Badtrans病毒的方法。
含有该病毒的邮件没有正文，附件文件名是由三部分组成：
0 {  ~, e8 L8 N9 P& O+ j　　第一部分：从以下词选择一个，
　　FUN
: G' E+ e/ G7 E& }) R　　HUMOR
　　DOCS
/ X" g8 a; j/ r/ i9 r; a　　S3MSONG
　　Sorry_about_yesterday
* E' V: b' n6 w9 W, i/ r9 X- F) c　　ME_NUDE
　　CARD
/ ^. W. F1 q1 o$ M9 P0 \4 t　　SETUP
　　SEARCHURL
% g( B! L  @8 U4 ?　　YOU_ARE_FAT!
. e- X6 h- u3 C1 T3 @2 o8 q　　HAMSTER NEWS_DOC
　　New_Napster_Site
　　README
　　IMAGES
　　PICS
　　第二部分：从以下词中选择一个，
3 |( `) b0 `; x  a　　.DOC.
　　.MP3.
; A4 f8 g8 C/ u3 S　　.ZIP.
　　第三部分：从以下词中选择一个，
8 f' N7 F0 O+ a* F& G　　pif
$ }2 {7 e- n( w0 ]　　scr
6 a* P" N# E! i; k5 f. ~0 H
例如：病毒的附件名可能为HUMOR.MP3.pif。用户收到这样特征的邮件请马上删除。
5 [2 S& k4 c& \5 A; q$ M: b" M该蠕虫病毒运行时，会将自己拷贝到windows的system目录命名为KERNEL32.EXE，并将它加到注册表HKLM\SOFTWARE\Microsoft
9 b+ @9 _+ \6 }\Windows\CurrentVersion\RunOnce中，使自己能在下次windows启动时运行。该蠕虫还会生成一个dll文件：KDLL.DLL。
Nimda蠕虫病毒的新版本！(2001/10/31)
1 e! [8 B, r7 M0 S% Y1 }& O" U9 T' SW32.Nimda.E@mm是W32.Nimda.A@mm的一个新的版本，它包含了老版本的一些bug修复和一些改动，这些改动可以防止它被反病毒程序检测。
0 N/ M7 o4 e5 d0 J  \9 ~防范Nimda蠕虫病毒
: D# B+ S5 D) r$ x6 Q4 v* ZNimda病毒，即尼姆达病毒，又叫概念(Concept)病毒，是一种通过网络传播的计算机病毒，它能利用多种传播途径对几乎所有Windows系统操作系统(包括Windows95/98/ME,NT和2000等)发动攻击。而且染毒的机器会自动向其他机器发动攻击和发送带毒的email，并造成网络堵塞。
防范IIS红色蠕虫病毒CodeRed
) C) J" m0 F+ m" w+ ~( l红色蠕虫病毒利用微软web服务器IIS 4.0或5.0中index服务的安全缺陷，攻破目的机器，并通过自动扫描感染方式传播蠕虫。由于很多Windows NT系统和Windows 2000系统都缺省提供Web服务，因此该蠕虫的传播速度极快，大大地加重网络的通信负担,常常造成网络瘫痪。
谨防 Sircam 蠕虫病毒泄密
2 b" e. W3 R, M! N- p感染Sircam 病毒的系统从“我的文档”中，选择一个DOC、XLS或ZIP文件，然后把这些文件向地址簿和INTERNET缓存中能找到的所有邮箱地址发送。 Sircam 通过邮件和文件共享传播，让你所有的应用程序都无法执行，10月16日可能会删除你所有的文件。
4 Y  N; e( O( K0 E5 ^& _& s