碧海潮声大学生网

标题: 中毒太深！ [打印本页]

作者: fallingleaf7 时间: 2006-9-1 16:05
标题: 中毒太深！
我的电脑中了最近肆虐的"魔波",一共三个类型的,我用瑞星的OrangeAug,可是就杀掉了一个,然后我又下再这里的9月1日的升级版本,可是也还是照样杀不掉.杀不掉的病毒的名字是:Trojan.PSW.Zhongsou.j ; Trojan.PSW.Zhongsou.k ;Trojan.Clicker.Agent.afr.
不知道有谁知道怎么杀毒么？

作者: 糖果 时间: 2006-9-1 16:13
LZ，先表急，这里的电脑高手会帮你解决的。
偶这种小罗罗就只能先安慰下你
嘿嘿，沉住气，表慌

作者: 穷的没早餐 时间: 2006-9-2 07:38
针对此恶性病毒，瑞星已经升级。瑞星杀毒软件2006版18.40.01版及更高版本可彻底查杀此病毒，请广大用户及时。同时，瑞星建议用户开启瑞星个人防火墙2006版，并关闭139及445端口。同时，登陆微软网站（http://www.microsoft.com/china/t ...
letin/ms06-040.mspx）下载并安装MS-06-040补丁程序以防范此病毒攻击。遭受到该病毒攻击的用户，也可以拨打反病毒急救电话：010-82678800寻求帮助。
　　（注：该等级警报为2006年度第一次发布）
微软补丁下载地址：
http://www.microsoft.com/china/t ...
letin/ms06-040.mspx
安全公告
Microsoft 安全公告 MS06-040
Server
服务中的漏洞可能允许远程执行代码 (921883)
发布日期：八月 8, 2006
版本：
1.0
摘要
本文的目标读者：使用 Microsoft Windows 的客户
漏洞的影响：
远程执行代码
最高严重等级：严重
建议：客户应立即应用此更新
安全更新替代：无
注意事项：
无
经过测试的软件和安全更新下载位置：
受影响的软件：
? Microsoft Windows 2000
Service Pack 4 — 下载此更新下载此更新
? Microsoft Windows XP Service Pack 1 和 Microsoft
Windows XP Service Pack 2 — 下载此更新下载此更新
? Microsoft Windows XP Professional x64 Edition —
下载此更新下载此更新
? Microsoft Windows Server 2003 和 Microsoft
Windows Server 2003 Service Pack 1 — 下载此更新下载此更新
? Microsoft Windows Server 2003（用于基于 Itanium
的系统）和 Microsoft Windows Server 2003 SP1（用于基于 Itanium 的系统）— 下载此更新下载此更新
? Microsoft Windows Server 2003 x64 Edition —
下载此更新下载此更新
已对此列表中的软件进行了测试，以确定是否这些版本会受到影响。
其他版本或者不再包括安全更新支持，或者可能不会受到影响。要确定产品和版本的技术支持生命周期，请访问 Microsoft
产品技术支持生命周期网站。
手动解决办法：
如果已经感染，请进系统后不要立即上网，应该先关闭机器的139和445端口后上网下载补丁程序
[s:49]

作者: 穷的没早餐 时间: 2006-9-2 07:41
2006年8月13曰，江民公司反病毒中心监测到了一个利用微软MS06-040漏洞传播的“魔鬼波”蠕虫Backdoor/Mocbot.b。

江民反病毒专家介绍，“魔鬼波”通过TCP端口445利用MS06-040漏洞进行传播。蠕虫的传播过程可以在用户不知情的情况下主动进行，可能造成services.exe崩溃等现象。蠕虫还可通过AOL即时通讯工具自动发送包含恶意链接的消息。蠕虫运行成功后会连接IRC服务器接收黑客命令，通过黑客命令，蠕虫可以进行下载运行任意程序，进行拒绝服务攻击(DDoS)等活动，使得用户计算机完全被黑客控制。

由于蠕虫出现距离微软发布补丁不到一周时间，江民反病毒专家担心很有可能会引发一场较大规模的计算机病毒疫情，专家呼吁，目前电脑用户应立即更新微软操作系统漏洞补丁，并升级杀毒软件病毒库，严防黑客通过“魔鬼波”远程控制电脑，窃取企业或＝事业单位机密信息，以及个人的敏感信息。专家介绍说，在安装微软的漏洞补丁前，用户可以先将TCP445端口暂时关闭，可以暂时防止病毒通过该端口入侵，并应及时关注反病毒厂商的及时安全警报，以防更多的病毒变种出现。

针对该病毒，江民反病毒中心已研制推出专杀工具，已经感染“魔鬼波”蠕虫的电脑用户可以免费下载使用。

下载地址： http://www.jiangmin.com/download/mocbotkiller.exe

补丁下载：http://www.microsoft.com/china/t ... letin/ms06-040.mspx

注：先打系统补丁，再安装个专杀！ [s:49]

作者: 穷的没早餐 时间: 2006-9-2 07:42
建议楼主用三楼的方法二楼的是以前一撞的人发过的 [s:49]

作者: 穷的没早餐 时间: 2006-9-2 07:45
紧急！恶性病毒`魔波已经变种`光打补丁是不行的

请大家注意！！！恶性病毒——“魔波（Worm.Mocbot.a）现在已经出现变种“魔波B(Worm.Mocbot.病毒光打补丁还是不可以的还要关闭139及445端口才能预防此病毒~~~~~~~~~

病毒名称：魔波（Worm.Mocbot.a）

　　　　　魔波变种B（Worm.Mocbot.b）

文件类型：PE

驻留内存：是

文件大小：9,313 bytes MD5: 2bf2a4f0bdac42f4d6f8a062a7206797（Worm.Mocbot.a）

　　　　　9,609 bytes MD5: 9928a1e6601cf00d0b7826d13fb556f0（Worm.Mocbot.b）

发现曰期：2006-8-14

危害等级：★★★★

受影响系统：Windows2000/XP

该病毒利用MS06-040漏洞进行传播。传播过程中可导致系统服务崩溃，网络连接被断开等现象。

被感染的计算机会自动连接指定的IRC服务器，被黑客远程控制，同时还会自动从互联网上下载的一个名为“等级代理木马变种AWP（Trojan.Proxy.Ranky.awp）”的木马病毒。

分析报告：

一、生成文件：

“魔波（Worm.Mocbot.a）”病毒运行后，将自身改名为“wgavm.exe”并复制到%SYSTEM%中。

“魔波变种B（Worm.Mocbot.b）”病毒运行后，将自身改名为“wgareg.exe”并复制到%SYSTEM%中。

二、启动方式：

病毒会创建系统服务，实现随系统启动自动运行的目的。

“魔波（Worm.Mocbot.a）”：

服务名: wgavm

显示名: Windows Genuine Advantage Validation Monitor

描述: Ensures that your copy of Microsoft Windows is genuine. Stopping or disabling this service will result in system instability.

“魔波变种B（Worm.Mocbot.b）”

服务名: wgareg

显示名: Windows Genuine Advantage Registration Service

描述: Ensures that your copy of Microsoft Windows is genuine and registered. Stopping or disabling this service will result in system instability.

三、修改注册表项目，禁用系统安全中心和防火墙等

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

AntiVirusDisableNotify = "dword:00000001"

AntiVirusOverride = "dword:00000001"

FirewallDisableNotify = "dword:00000001"

FirewallDisableOverride = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole

EnableDCOM = "N"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

restrictanonymous = "dword:00000001"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\

Services\SharedAccess

Start = "dword:00000004"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\

WindowsFirewall\DomainProfile

EnableFirewall = "dword:00000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\

WindowsFirewall\StandardProfile

EnableFirewall = "dword:00000000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

lanmanserver\parameters

AutoShareWks = "dword:00000000"

AutoShareServer = "dword:00000000"

四、连接IRC服务器，接受黑客指令

自动连接ypgw.wallloan.com、bniu.househot.com服务器，接受指令。使中毒计算机可被黑客远程控制。

五、试图通过AIM(Aol Instant Messegger)传播

会在AIM(Aol Instant Messegger)中发送消息，在消息中包含一个URL(下载地址)，如果用户点击地址并下载该地址的程序，则好友列表里的人都将收到该条包含URL的消息。

六、利用MS06-040漏洞传播

该病毒会利用Microsoft Windows Server服务远程缓冲区溢出漏洞（MS06-040 Microsoft Windows的Server服务在处理RPC通讯中的恶意消息时存在溢出漏洞，远程攻击者可以通过发送恶意的RPC报文来触发这个漏洞，导致执行任意代码)

七、自动在后台下载其它病毒

会自动从互联网上下载名为“等级代理木马变种AWP（Trojan.Proxy.Ranky.awp）”，该病毒会在用户计算机TCP随机端口上开置后门。

防火墙设置

不知道大家用的什么防火墙我用的瑞星先说说它

1启动瑞星个人防火墙主程序，点击“设置”菜单，选择“IP规则”。

2 在弹出的“设置瑞星个人防火墙IP规则”窗口中点击“增加规则”按钮。

3规则名称填入“MS06-040”，执行动作为“禁止”，然后点击“下一步”。对方地址设置为“任意地址”，本地地址设置为“所有地址”，协议类型选择“TCP”，对方端口选择“任意端口”，本地端口选择“端口列表”并在其下面输入“139,445”，报警方式选择“托盘动画”和“曰志记录”两项选中，点击保存。

如果在发生断网前，XP操作系统弹出“GenericHostProcessforWin32Services”的错误提示信息。那么“发生断网的原因，是由于微软WindowsXP存在某个安全漏洞，被病毒利用攻击。注意：这种情况在ADSL用户上面发生的几率比较多，希望大家注意！！！

这是瑞星方面给我的回复的方法：供大家参考，有备无患。宁愿错删1个文件也不能放过一个病毒！！

《启动项设置》

请您按照如下方法进行操作：

1 打开瑞星杀毒软件界面

2 选择菜单的【工具】－【修复注册表】－【注册表启动项】

3 去掉启动程序的勾选，仅保留“ravmon”“ravtimer”的程序。

4 重新启动计算机（建议此方法在安全模式下操作）。

注：此操作不会影响系统的正常使用，如果您需要重新加载启动项，可以按照以上步骤对启动程序进行勾选。

《解压病毒处理》

根据病毒所在不同的文件夹或者路径，处理的方式不同：

一.病毒所在文件夹Temporary Internet Files是IE的临时文件夹，

请您按照以下步骤操作：

1、关闭所有的应用程序和窗口

2、打开我的电脑，在C盘上点鼠标右键，选择属性

3、在打开的属性窗口中点击磁盘清理

4、在打开的C的磁盘清理的窗口中选中Internet临时文件，点击查看文件

5、在打开的content.ie5的文件夹中删除染毒的文件（可根据杀毒软件提示的路径查找）

另外一种简单的方法：

请您记录下病毒的详细路径，然后打开一个IE窗口，在地址栏中完整的输入病毒的详细路径，回车。

这样就打开了病毒所在的文件夹，直接删除染毒文件即可。

二.在windows xp/ME系统的系统还原文件夹中：

当瑞星杀毒软件扫描到 _Restore文件夹中的文件带有病毒或已被病毒感染，会提示“请解压缩以后查杀”。此现象的原因是：Windows Me / XP 中的“系统还原”功能会保护Restore 文件夹中的所有文件夹和文件,禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。

处理方法：

1.暂时关闭或禁用“系统还原”；

2.重新启动计算机；

3.运行完整的系统扫描清除病毒。

重要提示:必须以管理员的身份登陆才能使用此功能。否则系统还原选项将不会出现。如果您不知道如何以系统管理员的身份登录，请与系统管理员、计算机制造商或安装者联系。关闭计算机会将之前所有的还原点清除。

相关连接:Microsoft 的知识库文章如何：将 Windows XP 还原为以前的状态（英文）

http://support.microsoft.com/default.aspx?...kb;EN-US;306084

三.其他文件夹中：

windows me和2000系统，您打开文件夹点击“工具”－“文件夹选项”－“查看”－选择“显示所有文件和文件夹”－不要选择“隐藏受系统保护的操作系统文件”。根据路径手动找到病毒文件删除即可.

windows 98系统应该是“查看”－“文件夹选项”－“查看”－选择“显示所有文件和文件夹”

windows XP系统，您打开文件夹点击“工具”－“文件夹选项”－“查看”－选择“显示所有文件和文件夹”－不要选择“隐藏受系统保护的操作系统文件”，删除病毒文件时，先把系统还原功能关闭。

欢迎光临碧海潮声大学生网 (http://www.zjoubbs.com/)