震荡波病毒介绍

天涯茗客

震荡波病毒介绍
来源：www.oneedu.cn


　　根据分析，“震荡波”病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网，就有可能被感染。

　　“震荡波”病毒的发作特点，类似于去年夏天造成大规模电脑系统瘫痪的“冲击波”病毒，那就是造成电脑反复重启。

　　瑞星反病毒专家王耀华介绍，该病毒会通过FTP 的5554端口攻击电脑，使系统文件崩溃，造成电脑反复重启。病毒如果攻击成功，会在C:\WINDOWS目录下产生名为avserve.exe的病毒体，用户可以通过查找该病毒文件来判断是否中毒。

　　“震荡波”病毒会随机扫描IP地址，对存在有漏洞的计算机进行攻击，并会打开FTP的5554端口,用来上传病毒文件，该病毒还会在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中建立："avserve.exe"=%windows%\avserve.exe的病毒键值进行自启动。

　　该病毒会使“安全认证子系统”进程━━LSASS.exe崩溃，出现系统反复重启的现象，并且使跟安全认证有关的程序出现严重运行错误。

　　清除方法：发现上述症状首先断开网络，按CTRL+ALT+DEL打开任务管理器，杀掉 “avserve.exe”或“avserve2.exe”或“kynetave.exe”或“lsasss.exe”（注意它比系统原关键进程LSASS多一个字母S）进程。然后再到系统目录下找到这些文件并删除它们，同时删除C:盘根目录下的win.log文件，它是用来记录本地主机的IP地址的。（如果你使用的是WIN XP系统，删除前先要关闭系统还原功能。）最后打开注册表编辑器，查看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除启动项中病毒添加的"avserve.exe"、“avserve2.exe”、“kynetave.exe”或“lsasss.exe”启动键值。对于不熟悉系统的用户可以下载免费的专杀工具对系统进行全面扫描。

　　为了避免再次感染“震荡波”病毒，还可以在网镖等网络防火墙中进行一下设置。打开网镖下的IP规则编辑器，在列表中去掉“允许别人访问本机共享资源(Win2000)”前面的勾（因为默认设置下，金山网镖6的445端口是开放的，使他人可以访问本机的共享资源）。然后禁用1068和5554端口。（注意：保存后要移动一下安全级别滑块，这样才能使新规则生效。）

　　补丁文件：http://download.microsoft.com/do ... B835732-x86-CHS.EXE。（WIN XP）如果你担心安装微软补丁后系统变慢，金山毒霸还推出了“震荡波”防火墙，它可以防范所有专门针对lsass漏洞攻击的病毒，即使不打补丁，机器也安然无恙。
软件工程师,网络/网站工程师,电脑美术设计师,nit-pro全国计算机技能认证考试