根据分析,“震荡波”病毒会在网络上自动搜索系统有漏洞的电脑,并直接引导这些电脑下载病毒文件并执行,因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网,就有可能被感染。
“震荡波”病毒的发作特点,类似于去年夏天造成大规模电脑系统瘫痪的“冲击波”病毒,那就是造成电脑反复重启。
瑞星反病毒专家王耀华介绍,该病毒会通过FTP 的5554端口攻击电脑,使系统文件崩溃,造成电脑反复重启。病毒如果攻击成功,会在C:\\WINDOWS目录下产生名为avserve.exe的病毒体,用户可以通过查找该病毒文件来判断是否中毒。
“震荡波”病毒会随机扫描IP地址,对存在有漏洞的计算机进行攻击,并会打开FTP的5554端口,用来上传病毒文件,该病毒还会在注册表HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run中建立:\"avserve.exe\"=%windows%\\avserve.exe的病毒键值进行自启动。
该病毒会使“安全认证子系统”进程━━LSASS.exe崩溃,出现系统反复重启的现象,并且使跟安全认证有关的程序出现严重运行错误。
该病毒利用WINDOWS平台的 Lsass 漏洞进行广泛传播,开启上百个线程不停攻击其它网上其它系统,堵塞网络。病毒的攻击行为可让系统不停的倒计时重启。
和最近出现的大部分蠕虫病毒不同,该病毒并不通过邮件传播,而是通过命令易受感染的机器下载特定文件并运行,来达到感染的目的。文件名为:avserve.exe
病毒感染症状:(我的电脑中毒了吗?)
1、莫名其妙地死机或重新启动计算机;
2、系统速度极慢,cpu占用100%;
3、网络变慢;
4、最重要的是,任务管理器里有一个叫\"avserve.exe\"的进程在运行!
“震荡波”病毒解决其他:
A、请升级毒霸到5月1日的病毒库可完全处理该病毒;
B、请到以下网址即时升级您的操作系统,免受攻击
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx
C、请打开个人防火墙屏蔽端口:5554和1068,防止名为avserve.exe的程序访问网络
D、手工解决方案:(察看详细内容)
补丁下载:http://www.duba.net/c/2004/04/14/110870.shtml#001
手工清除方法!
对于系统是Windows9x/WinMe:
步骤一,删除病毒主程序
请使用干净的系统软盘引导系统到纯DOS模式,然后转到系统目录(默认的系统目录为
C:\\windows),分别输入以下命令,以便删除病毒程序:
C:\\windows\\system32\\>del *_up.exe
C:\\windows\\system32\\>cd..
C:\\windows\\>del avserve.exe
完毕后,取出系统软盘,重新引导到Windows系统。
如果手中没有系统软件盘,可以在引导系统时按“F5”键也可进入纯DOS模式。
步骤二,清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter;
在左边的面板中, 双击(按箭头顺序查找,找到后双击):
HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
在右边的面板中, 找到并删除如下项目:
\"avserve.exe\" = %SystemRoot%\\avserve.exe
关闭注册表编辑器.
对于系统是Windows NT, Windows 2000, Windows XP, Windows 2003 Sever:
步骤一,使用进程序管里器结束病毒进程
右键单击任务栏,弹出菜单,选择“任务管理器”,调出“Windows任务管理器” 窗口。在任
务管理器中,单击“进程”标签,在例表栏内找到病毒进程“avserve.exe”,单击“结束进程
按钮”,点击“是”,结束病毒进程,然后关闭“Windows任务管理器”;
步骤二,查找并删除病毒程序
通过“我的电脑”或“资源管理器”进入系统安装目录(Winnt或windows),找到文件
“avser ve.exe”,将它删除;然后进入系统目录(Winnt\\system32或windows\\system32),找
到文件\"*_up.exe\", 将它们删除;
步骤三,清除病毒在注册表里添加的项
打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter;
在左边的面板中, 双击(按箭头顺序查找,找到后双击):
HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
在右边的面板中, 找到并删除如下项目:
\"avserve.exe\" = %SystemRoot%\\avserve.exe
关闭注册表编辑器.
|