防范“震荡波”蠕虫及其变种病毒传播的通知
发布时间: 2009-09-23 丨 阅读次数: 9953
5月1日以来，我省及宁夏、北京、黑龙江、辽宁和广东等地先后发现一种利用微软近期公布的SSL安全漏洞进行攻击的新型蠕虫及其变种病毒。现已将该病毒中文名称命名为“震荡波”病毒。该病毒感染使用WinNT/Win2000/WinXP/Win2003操作系统的计算机，
将导致受感染计算机死机或重新启动。同时，由于该病毒扫描A类或B类子网地址的TCP445端口，可能对网络性能造成一定影响，尤其是可能造成局域网瘫痪。
目前，江民、金山、瑞星和趋势科技等公司的计算机病毒防治产品经过升级后可以查杀该病毒。
“震荡波”蠕虫及其变种病毒主要特征和防治措施：
1、生成病毒文件。该病毒运行后，在％WINDOWS％目录下生成自身的拷贝，名称为AVSERVE.EXE或AVSERVE2.EXE，文件长度为15827字节。在％SYSTEM％目录下生成其他病毒文件
例如：
c:\win.log : IP地址列表
c:\windows\avserve.exe : 蠕虫病毒文件本身
c:\windows\system32\11113_up.exe : 可能生成的蠕虫文件本身
c:\windows\system32\16843_up.exe : 可能生成的蠕虫文件本身
2、修改注册表项。该病毒创建注册表项，使自身能够在系统启动时自动运行。
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下创建
“avserve”="c:\winnt\avserve.exe"或"avserve2.exe"=%systemroot%\avserve2.exe
3、通过系统漏洞主动进行传播。该病毒主动进行网络扫描，当发现网络中存在微软SSL安全漏洞时，进行攻击，在受攻击的系统中生成FTP脚本程序，通过传播病毒源计算机TCP5554端口下载蠕虫病毒。
4、危害性。感染该病毒的计算机可能死机或者造成重新启动。同时，由于病毒扫描，会对网络性能产生一定影响，尤其是可能造成局域网瘫痪，并可在TCP9996端口创建远程SHELL。
5、手动清除该病毒的方法。
（1）安全模式启动，重新启动系统同时按下F8键，进入系统安全模式。
（2）注册表的恢复。点击“开始->运行”，输入 regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run，并删除面板右面的
“avserve”="c:\winnt\avserve.exe"或"avserve2.exe"=%systemroot%\avserve2.exe
（3）删除病毒释放的文件。点击“开始->查找->文件和文件夹”,查找文件"avserve.exe"、"avserve2.exe"和"*_up.exe"，并将找到得文件删除。
（4）安装系统补丁程序，在微软网站下载安装补丁程序，网址：http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx;或在IE浏览器的工具->Windows Update升级系统。
（5）重新配置边界防火墙或个人防火墙关闭TCP端口5554和9996
将导致受感染计算机死机或重新启动。同时，由于该病毒扫描A类或B类子网地址的TCP445端口，可能对网络性能造成一定影响，尤其是可能造成局域网瘫痪。
目前，江民、金山、瑞星和趋势科技等公司的计算机病毒防治产品经过升级后可以查杀该病毒。
“震荡波”蠕虫及其变种病毒主要特征和防治措施：
1、生成病毒文件。该病毒运行后，在％WINDOWS％目录下生成自身的拷贝，名称为AVSERVE.EXE或AVSERVE2.EXE，文件长度为15827字节。在％SYSTEM％目录下生成其他病毒文件
例如：
c:\win.log : IP地址列表
c:\windows\avserve.exe : 蠕虫病毒文件本身
c:\windows\system32\11113_up.exe : 可能生成的蠕虫文件本身
c:\windows\system32\16843_up.exe : 可能生成的蠕虫文件本身
2、修改注册表项。该病毒创建注册表项，使自身能够在系统启动时自动运行。
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下创建
“avserve”="c:\winnt\avserve.exe"或"avserve2.exe"=%systemroot%\avserve2.exe
3、通过系统漏洞主动进行传播。该病毒主动进行网络扫描，当发现网络中存在微软SSL安全漏洞时，进行攻击，在受攻击的系统中生成FTP脚本程序，通过传播病毒源计算机TCP5554端口下载蠕虫病毒。
4、危害性。感染该病毒的计算机可能死机或者造成重新启动。同时，由于病毒扫描，会对网络性能产生一定影响，尤其是可能造成局域网瘫痪，并可在TCP9996端口创建远程SHELL。
5、手动清除该病毒的方法。
（1）安全模式启动，重新启动系统同时按下F8键，进入系统安全模式。
（2）注册表的恢复。点击“开始->运行”，输入 regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run，并删除面板右面的
“avserve”="c:\winnt\avserve.exe"或"avserve2.exe"=%systemroot%\avserve2.exe
（3）删除病毒释放的文件。点击“开始->查找->文件和文件夹”,查找文件"avserve.exe"、"avserve2.exe"和"*_up.exe"，并将找到得文件删除。
（4）安装系统补丁程序，在微软网站下载安装补丁程序，网址：http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx;或在IE浏览器的工具->Windows Update升级系统。
（5）重新配置边界防火墙或个人防火墙关闭TCP端口5554和9996
