20CN网络安全小组论坛 - 电脑门诊 - 我机子今天不知道怎么了？请各位高手来诊断一下！！

论坛: 电脑门诊标题: 我机子今天不知道怎么了？请各位高手来诊断一下！！

复制本贴地址

作者: lgywan [lgywan]

论坛用户

我的机子今天不知道怎么了，刚才它自动跳出关机倒计时，说是由什么NT＊＊＊＊发出的。重启后我没有上网，打开注册表检查，但打开后5秒，它自动关掉了。打开TC2.0也是这样，3秒自动关掉。不知道为什么呀，是不是被有木马（我开了天网），还是病毒？

地主发表时间: 04-07-03 09:49

回复: lhh2003 [lhh2003]

论坛用户

出现倒计时，一般是中了病毒，你去病毒专区看看！要不，格了。。。

[此贴被失落的雪(lhh2003) 在 07月03日13时37分编辑过]

B1层发表时间: 04-07-03 13:29

回复: zhouyu [zhouyu]

论坛用户

冲击波震荡波？？

B2层发表时间: 04-07-03 14:22

回复: kp654 [kp654]

论坛用户

中了冲击波，开机赶快下个专杀工具，再下个补丁装了重起就好了．．．．
记得要快呀，慢了又要关机了哦．．哈哈

B3层发表时间: 04-07-07 18:06

回复: rjmj [rjmj]

论坛用户

没关系,要是慢了,你就在开始运行里打上shutdown.exe -a
就行了.这样就可以关闭自己重启程序了,,

B4层发表时间: 04-07-07 22:38

回复: shenke410 [shenke410]

论坛用户

“冲击波(Worm.Blaster)”蠕虫病毒

警惕程度：★★★★
病毒名称：Worm.Blaster
发作时间：随机
病毒类型：蠕虫病毒
传播途径：网络/RPC漏洞
依赖系统：Microsoft Windows NT 4.0 / Microsoft Windows 2000 / Microsoft Windows XP /Microsoft Windows Server 2003
病毒尺寸：6,176 字节

“冲击波(Worm.Blaster)”蠕虫病毒症状

不能正常复制文件，复制粘贴等操作受到严重影响；无法正常浏览网页，不能收发邮件；DNS和IIS服务遭到非法拒绝等。
系统资源被大量占用，在任务管理器里有一个叫“msblast.exe”的进程在运行。
Windows XP、Server 2003计算机会弹出RPC服务终止对话框，系统总是无故反复自动关机、重启。
注：病毒针对安装WINDOWS NT4.0/2000/XP/Server 2003操作系统的机器。

病毒发作现象：
冲击波（Worm.Blaster）病毒是利用微软公司在7月21日公布的RPC漏洞进行传播的，只要是计算机上有RPC服务并且没有打安全补丁的计算机都存在有RPC漏洞，具体涉及的操作系统是：Windows2000、XP、Server 2003。

该病毒感染系统后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启, 不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响，DNS和IIS服务遭到非法拒绝等。下面是弹出RPC服务终止的对话框的现象：

病毒详细说明：
1. 病毒运行时会将自身复制到window目录下，并命名为： msblast.exe。
2. 病毒运行时会在系统中建立一个名为：“BILLY”的互斥量，目的是病毒只保证在内存中有一份病毒体，为了避免用户发现。
3. 病毒运行时会在内存中建立一个名为：“msblast.exe”的进程，该进程就是活的病毒体。
4. 病毒会修改注册表，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加以下键值："windows auto update"="msblast.exe"，以便每次启动系统时，病毒都会运行。
5. 病毒体内隐藏有一段文本信息：
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
6. 病毒会以20秒为间隔，每20秒检测一次网络状态，当网络可用时，病毒会在本地的UDP/69端口上建立一个tftp服务器，并启动一个攻击传播线程，不断地随机生成攻击地址，进行攻击，另外该病毒攻击时，会首先搜索子网的IP地址，以便就近攻击。
7. 当病毒扫描到计算机后，就会向目标计算机的TCP/135端口发送攻击数据。
8. 当病毒攻击成功后，便会监听目标计算机的TCP/4444端口作为后门，并绑定cmd.exe。然后蠕虫会连接到这个端口，发送tftp命令，回连到发起进攻的主机，将msblast.exe传到目标计算机上并运行。
9. 当病毒攻击失败时，可能会造成没有打补丁的Windows系统RPC服务崩溃，Windows XP系统可能会自动重启计算机。该蠕虫不能成功攻击Windows Server2003，但是可以造成Windows Server2003系统的RPC服务崩溃，默认情况下是系统反复重启。
10. 病毒检测到当前系统月份是8月之后或者日期是15日之后，就会向微软的更新站点"windowsupdate.com"发动拒绝服务攻击，使微软网站的更新站点无法为用户提供服务。

手工清除方案：
一、 DOS环境下清除该病毒：
1.当用户中招出现以上现象后，用DOS系统启动盘启动进入DOS环境下，进入C盘的操作系统目录.
操作命令集：
C:
CD C:\windows (或CD　c:\winnt)

2. 查找目录中的“msblast.exe”病毒文件。
命令操作集：
dir msblast.exe /s/p

3.找到后进入病毒所在的子目录，然后直接将该病毒文件删除。
Del msblast.exe

二、在安全模式下清除病毒
如果用户手头没有DOS启动盘，还有一个方法，就是启动系统后进入安全模式，然后搜索C盘，查找msblast.exe文件，找到后直接将该文件删除，然后再次正常启动计算机即可。

给系统打补丁方案：

当用户手工清除了病毒体后，应上网下载相应的补丁程序，用户可以先进入微软网站，下载相应的系统补丁，给系统打上补丁。以下是补丁的具体下载地址：
・ Windows 2000 ：
[URL=http://microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=en ]http://microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=en [/URL] (连接到第三方网站)

・ Windows XP 32 位版本：
[URL=http://microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=en ]http://microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=en [/URL] (连接到第三方网站)

用户也可以直接登陆瑞星网址： http://it.rising.com.cn/newSite/Channels/info/virus/TopicDatabasePackage/12-145900547.htm来下载相应的微软补丁程序。

利用工具解决方案：
一、利用瑞星专杀工具清除病毒：
用户直接点击：http://it.rising.com.cn/service/technology/RS_blaster.htm网址，即可下载瑞星专杀工具，进行病毒的清除工作

二、使用瑞星杀毒软件清除病毒：
瑞星的用户可以直接到瑞星的网站上下载升级补丁包或者使用智能升级功能，将瑞星杀毒软件升级到15.48.01版本以上，然后打开所有的监控，并进行该病毒的清除。

三、使用瑞星防火墙禁止病毒端口：
第一步：双击瑞星个人防火墙图标，调出瑞星个人防火墙界面：

第二步：选择“设置/设置规则”，调出设置界面：

第三步：填写TCP过滤规则，目的是过滤病毒使用的135和4444端口。选择“规则/添加规则”调出规则添加表，按照下图所示填写规则，其它的选项选择默认,然后点击“添加”按钮就添加了一个规则，就可以对该病毒进行过滤了。

第四步：填写UDP过滤规则，目的是过滤病毒使用的69端口。选择“规则/添加规则”调出规则添加表，按照下图所示填写规则，其它的选项选择默认，然后点击“添加”按钮就添加了一个规则，就可以对该病毒进行过滤了。

[此贴被阿Q(kailangq) 在 06月25日16时47分编辑过]

B5层发表时间: 04-07-08 12:23

论坛: 电脑门诊