江民科技发布“冲击波杀手”病毒分析报告

煎饼

国内领先的信息安全服务提供商江民科技（KV）于8月18日截获“冲击波杀手”病毒，并于当日发布了升级补丁。现公布该病毒分析报告，以供更多同行参考。

3 V, e- O" V3 l# A" I　　名称：冲击波杀手
0 Z" d. q0 Q2 A6 ~4 n# T
( ]4 K  Z  F' v0 ?" i　　级别：紧急！！！

! A+ R& ^3 P! H/ g+ n( o# b$ g( `$ h0 P$ G　　后果：可导致电信骨干网络堵塞。

　　已经提供：（1）技术分析报告

　　（2）补丁集合（直接放在KV2004的正版盘，下次刻盘提供）

9 S3 Z6 ]* Z0 o5 W　　网络惊现“冲击波杀手”网络蠕虫

$ z" P0 P5 a8 o- W　　病毒名称：I-Worm/Chian
3 M4 [& J" g( L6 m
/ z. a  a1 ^3 @0 a9 n( _　　病毒长度：10240字节

! [2 G: Q/ ]" [9 _　　截获的文件名称：dllhost.exe

　　感染系统：Windows XP,Windows 2000
. O4 z1 H0 M6 d5 s: r9 n
　　传播途径：利用微软的多重漏洞：

　　(1)利用“冲击波网络蠕虫漏洞”：利用TCP 端口135,该补丁同冲击波Microsoft Security Bulletin MS03-026，“冲击波杀手”针对该漏洞
! U$ e* q; c% u
　　攻击的系统是Windows XP;

; g! \2 x1 G& C  [# c9 c　　(2)利用Microsoft Security Bulletin MS03-007在端口TCP的80利用WebDav漏洞，攻击的对象是开放了浏览端口WEB（80)的运行微软IIS5.0的机器。

  D4 }0 _/ Z! j9 Z　　和“冲击波病毒I-Worm/Blaster”的关系：

* w* \6 n- k3 {: z, i　　从微软的网站自动下载DCOM RPC漏洞，并安装该漏洞，同时在互连网上搜索所有可能感染了冲击波病毒I-Worm/Blaster的机器，试图删除冲击波病毒，
) B6 g2 N! @5 b) `
6 o* V! K* N: Q1 I* Z' [2 ?3 e% R* k$ U　　接着重新启动计算机。

　　感染方式：发送ICMP响应信号，或者发送PING命令来感染互连网上存在病毒的机器。

　　症状文件：删除“冲击波I-Worm/Blaster”，删除主文件msblast.exe

# `% C4 d# T. r' v( C. {　　后果：1)导致系统不稳定运行：由于RPC漏洞的原因导致WINDOWS 2000的机器非常不稳定，重新启动、死机等。
8 ]( C- N7 p9 ?1 u$ |9 I! n9 C
　　2)在所有感染机器上安装一个FTP服务端：文件大小是19728字节，文件名称：svchost.exe .
& S7 [8 Q/ e; }6 H$ Q  Z& X2 S
　　影响的端口：TCP 135,TCP 80.
  M+ p7 |& F2 `$ C9 a. o- F- {8 _
　　病毒具体特征：
( E0 N5 r8 }% ^7 U! _1 C
4 b7 _6 E' Z$ R/ X　　当该网络蠕虫被运行后，将自身拷贝到WINDOWS系统目录下，并建立一个目录Wins，以文件名称Dllhost.exe存放。

( x0 C1 U. a0 c2 M1 W  k　　病毒文字特征：
- m, O% X$ F; d5 ~; a1 t
5 t& Q7 q5 @7 l$ Y, N6 j; [& p　　该病毒体内保存字符串：
, H; r4 V) v$ b2 U
　　============I love my wife & baby ~~~ Welcome Chian~~~ ,Notice: 2004 will remove myself~~ sorry zhongli~~~========

9 z+ G9 j+ j% w- G　　大致的中文意思：我爱我的妻子和宝贝，欢迎Chian(病毒名称由此而来），注意：2004年自己将自动删除。
% ]) W/ T  }" Z7 S* i9 {; F
1 P6 W9 z+ \$ a7 O( p# @　　同时将系统Dllcache正常的FTP文件改名称换目录保存在Wins\svchost.exe=
2 O3 C& \+ D5 {! ~& O
/ P& X; J/ T* w, x  |# {0 i: _　　江民KV杀毒软件用户无须任何专杀工具或手动清除措施，只需要升级一下病毒库即可查杀。
/ G/ t; B0 H' e6 z9 _/ P5 q

考拉

135和80？那不是关端口没用啊？

还是用98好……

語過ャ添情

煎饼,,,,,,,江民的序号在哪编!!!!!想用时找不到了,,,,帮忙啦!!!!