江民科技发布“冲击波杀手”病毒分析报告

煎饼

国内领先的信息安全服务提供商江民科技（KV）于8月18日截获“冲击波杀手”病毒，并于当日发布了升级补丁。现公布该病毒分析报告，以供更多同行参考。

　　名称：冲击波杀手

　　级别：紧急！！！
. i  U2 G9 q: Z7 V4 t# U2 T. F! i) ~
: F9 T) y, @5 ^' z* B) R1 Z　　后果：可导致电信骨干网络堵塞。

3 J6 g4 n6 {) b  N$ E% ?　　已经提供：（1）技术分析报告
6 I& m) N$ y- Y; d% ]6 |
0 S) S9 x2 Y  M4 x　　（2）补丁集合（直接放在KV2004的正版盘，下次刻盘提供）

　　网络惊现“冲击波杀手”网络蠕虫
& k4 z+ I' z+ W$ f! n
　　病毒名称：I-Worm/Chian

' o& V8 V% s- |$ ]# u! [( C　　病毒长度：10240字节

　　截获的文件名称：dllhost.exe

　　感染系统：Windows XP,Windows 2000

# a$ X* W9 }) |0 A　　传播途径：利用微软的多重漏洞：
" ^8 R8 U5 M- k; P! f4 {6 a. u
　　(1)利用“冲击波网络蠕虫漏洞”：利用TCP 端口135,该补丁同冲击波Microsoft Security Bulletin MS03-026，“冲击波杀手”针对该漏洞
7 z7 e9 K. b+ I. ]
) _3 B: N; T2 V4 q4 z/ Z- S  R9 o　　攻击的系统是Windows XP;

. Y( M6 y( q3 c* K5 c* ?　　(2)利用Microsoft Security Bulletin MS03-007在端口TCP的80利用WebDav漏洞，攻击的对象是开放了浏览端口WEB（80)的运行微软IIS5.0的机器。

2 G+ |2 Y# V" h　　和“冲击波病毒I-Worm/Blaster”的关系：
' X6 x3 I' \# U3 {. Z
0 N8 y1 c$ `0 }6 H3 i' i　　从微软的网站自动下载DCOM RPC漏洞，并安装该漏洞，同时在互连网上搜索所有可能感染了冲击波病毒I-Worm/Blaster的机器，试图删除冲击波病毒，
/ _- f; {) l$ y& J) s1 }# _( _+ j
3 t7 d, u6 @; m: L　　接着重新启动计算机。
) A: I$ K5 d# Z- y/ ~6 M% t
　　感染方式：发送ICMP响应信号，或者发送PING命令来感染互连网上存在病毒的机器。
: s; Z' w% v  V/ [+ n" Z3 S7 V
4 S! g: y: B6 B' m　　症状文件：删除“冲击波I-Worm/Blaster”，删除主文件msblast.exe

　　后果：1)导致系统不稳定运行：由于RPC漏洞的原因导致WINDOWS 2000的机器非常不稳定，重新启动、死机等。
: g, {* g8 _0 f9 I: E
　　2)在所有感染机器上安装一个FTP服务端：文件大小是19728字节，文件名称：svchost.exe .
1 v4 Q6 ~4 n" v4 }1 w0 _
　　影响的端口：TCP 135,TCP 80.
5 F. v  g! n+ b$ l& h& L1 L
0 g# m6 G3 Z& A# z: b　　病毒具体特征：
/ T. }, |: d+ {6 V% ?: Z
' `  U5 G; W  s4 a+ X  e　　当该网络蠕虫被运行后，将自身拷贝到WINDOWS系统目录下，并建立一个目录Wins，以文件名称Dllhost.exe存放。
1 z; S( n3 x2 G# k/ v- ^
3 ~- i1 O3 ~% @# a　　病毒文字特征：
* I* n3 c8 k6 ^  z* e7 w' _* `
　　该病毒体内保存字符串：

% V# O" A. g% I, y# _" T8 C) B　　============I love my wife & baby ~~~ Welcome Chian~~~ ,Notice: 2004 will remove myself~~ sorry zhongli~~~========

1 V+ _+ u+ o$ F% `+ a- R8 e6 e# P　　大致的中文意思：我爱我的妻子和宝贝，欢迎Chian(病毒名称由此而来），注意：2004年自己将自动删除。

　　同时将系统Dllcache正常的FTP文件改名称换目录保存在Wins\svchost.exe=

* B4 j( U, [& l- N　　江民KV杀毒软件用户无须任何专杀工具或手动清除措施，只需要升级一下病毒库即可查杀。
: ~$ a- e8 z9 ~) t! b

考拉

135和80？那不是关端口没用啊？

还是用98好……

語過ャ添情

煎饼,,,,,,,江民的序号在哪编!!!!!想用时找不到了,,,,帮忙啦!!!!