江民科技发布“冲击波杀手”病毒分析报告

煎饼

国内领先的信息安全服务提供商江民科技（KV）于8月18日截获“冲击波杀手”病毒，并于当日发布了升级补丁。现公布该病毒分析报告，以供更多同行参考。
- v/ {' n( }& r; L- c
2 J6 B+ q6 d# T4 ?7 N* O　　名称：冲击波杀手
7 h+ @2 d6 Y( l0 ?  u! T
　　级别：紧急！！！
3 v, x0 l, L- b* _7 l$ ]1 ]
　　后果：可导致电信骨干网络堵塞。

　　已经提供：（1）技术分析报告
- b8 `7 r  [" |0 q" J; r3 \
　　（2）补丁集合（直接放在KV2004的正版盘，下次刻盘提供）
* n5 Q" a0 Q3 N: e# Z+ d
% t0 H8 P/ Q2 Q, B　　网络惊现“冲击波杀手”网络蠕虫

, N% d9 l) ^5 @5 _4 Q; l　　病毒名称：I-Worm/Chian

! J2 E0 [) Y( C' R5 z　　病毒长度：10240字节
# I, |+ P; u5 C) _' \4 n' r# u& C7 F
　　截获的文件名称：dllhost.exe

2 t; }1 `8 I; d2 P3 W+ x( }　　感染系统：Windows XP,Windows 2000
0 t6 l7 a1 S. n( d
2 J8 `# K, w5 W  j1 ~) \, e0 P( U8 ]　　传播途径：利用微软的多重漏洞：

- N5 C; E, R# m) j6 B6 M　　(1)利用“冲击波网络蠕虫漏洞”：利用TCP 端口135,该补丁同冲击波Microsoft Security Bulletin MS03-026，“冲击波杀手”针对该漏洞

, r+ `" w6 o7 ~* u* G. x　　攻击的系统是Windows XP;
" e4 I0 K' x. d1 b
5 M" y5 L% c. t  t& `  t　　(2)利用Microsoft Security Bulletin MS03-007在端口TCP的80利用WebDav漏洞，攻击的对象是开放了浏览端口WEB（80)的运行微软IIS5.0的机器。
& {+ w2 [- j. P+ U5 ?( r
　　和“冲击波病毒I-Worm/Blaster”的关系：

4 c! r6 [6 c: R7 k3 p　　从微软的网站自动下载DCOM RPC漏洞，并安装该漏洞，同时在互连网上搜索所有可能感染了冲击波病毒I-Worm/Blaster的机器，试图删除冲击波病毒，
( O* T* s; H( x* N, ?) R+ l/ j
- o" C- G9 y9 e　　接着重新启动计算机。

　　感染方式：发送ICMP响应信号，或者发送PING命令来感染互连网上存在病毒的机器。
; Y$ y: D& F9 o8 i  F
　　症状文件：删除“冲击波I-Worm/Blaster”，删除主文件msblast.exe
$ N8 V" B, J% w7 u* b
　　后果：1)导致系统不稳定运行：由于RPC漏洞的原因导致WINDOWS 2000的机器非常不稳定，重新启动、死机等。
7 x8 p* u5 ]0 Q. L$ P
　　2)在所有感染机器上安装一个FTP服务端：文件大小是19728字节，文件名称：svchost.exe .

1 k; J4 D$ s3 w: D3 {　　影响的端口：TCP 135,TCP 80.

6 V5 b7 Y2 n7 M' q" w# N. Z　　病毒具体特征：
# e+ q+ N- @4 y, D  a7 N8 j+ @% H
　　当该网络蠕虫被运行后，将自身拷贝到WINDOWS系统目录下，并建立一个目录Wins，以文件名称Dllhost.exe存放。

　　病毒文字特征：
( d6 q7 x! n: z1 d! Y) V- C
　　该病毒体内保存字符串：

/ ^3 J1 _5 h" Q* l　　============I love my wife & baby ~~~ Welcome Chian~~~ ,Notice: 2004 will remove myself~~ sorry zhongli~~~========
* c- ^) `9 ^8 k  ]0 {! a
　　大致的中文意思：我爱我的妻子和宝贝，欢迎Chian(病毒名称由此而来），注意：2004年自己将自动删除。

　　同时将系统Dllcache正常的FTP文件改名称换目录保存在Wins\svchost.exe=
6 E) H$ u1 {* G: r
　　江民KV杀毒软件用户无须任何专杀工具或手动清除措施，只需要升级一下病毒库即可查杀。
( ^# Y- e7 O% @8 t5 L

語過ャ添情

煎饼,,,,,,,江民的序号在哪编!!!!!想用时找不到了,,,,帮忙啦!!!!

考拉

135和80？那不是关端口没用啊？
2 v* B/ N" p" R. v
8 J5 j! o. g, E0 B# S. _还是用98好……