[公告]：冲击波-MSBLAST蠕虫紧急公告！

boy_tian

MSBLAST蠕虫紧急公告！(2003-8-12)
加入日期：2003-08-12
出自：www.nsfocus.com
MSBLAST蠕虫紧急公告！

发布日期：2003-08-12

CVE CAN ID：CAN-2003-0352
BUGTRAQ ID：8205

受影响的软件及系统：
====================
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows 2003

综述：
======
绿盟科技安全小组的HoneyPot监测到一种针对MS06-026 Microsoft Windows DCOM RPC接口远程缓冲区溢出漏洞的蠕虫正在活跃，危害极大。

更新记录：

2003-08-12  11:00  文档创建

分析：
======
北京时间2003年08月12日，绿盟科技安全小组的HoneyPot监测到了一种新的攻击，绿盟科技安全小组火速对捕获的数据样本分析和研究，已经明确，这是一个针对MS06-026 Microsoft Windows DCOM RPC接口远程缓冲区溢出漏洞（http://www.nsfocus.net/index.php ... 026补丁的Windows 2000、Windows XP、Windows 2003系统，不仅是服务器，也包括个人计算机在内，所以危害极大。

该蠕虫大小为6176字节。用LCC-Win32 v1.03编译，upx 1.22压缩，创建时间是2003年8月11日7点21分。

蠕虫感染系统后首先检测是否有名为"BILLY"的互斥体存在，如果检测到该互斥体，蠕虫就会退出，如果没有，就创建一个。

然后蠕虫会在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加以下键值：

"windows auto update"="msblast.exe"

以保证每次用户登录的时候蠕虫都会自动运行。

蠕虫还会在本地的UDP/69端口上建立一个tftp服务器，用来向其他受侵害的系统上传送蠕虫的二进制程序msblast.exe。

蠕虫选择目标IP地址的时候会首先选择受感染系统所在子网的IP，然后再按照一定算法随机在互连网上选择目标攻击。

一旦连接建立，蠕虫会向目标的TCP/135端口发送攻击数据。如果攻击成功，会监听目标系统的TCP/4444端口作为后门，并绑定cmd.exe。然后蠕虫会连接到这个端口，发送tftp命令，回连到发起进攻的主机，将msblast.exe传到目标系统上，然后运行它。
蠕虫所带的攻击代码来自一个公开发布的攻击代码，当攻击失败时，可能造成没有打补丁的Windows系统RPC服务崩溃，Windows XP系统可能会自动重启。该蠕虫不能成功侵入Windows 2003，但是可以造成Windows 2003系统的RPC服务崩溃，默认情况下，这将使系统重启。

蠕虫检测到当前系统月份是8月之后或者日期是15日之后，就会向微软的更新站点"windowsupdate.com"发动拒绝服务攻击。也就是说，从2003年8月16日开始就会一直进行拒绝服务攻击。

蠕虫代码中还包含以下文本数据：

I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!

解决方法：
==========
* 检测是否被蠕虫感染：

   1、检查系统的%systemroot%\system32目录下是否存在msblast.exe文件。请在命令提示符中按照下面键入：
      C:\>dir %systemroot%\system32\msblast.exe
      如果被感染，那么您可以看到类似的显示结果：
      C:\>dir %systemroot%\system32\msblast.exe
       驱动器 C 中的卷是 sys
       卷的序列号是 A401-04A9

       C:\WINNT\system32 的目录

      2003-08-12  03:03                6,176 msblast.exe
                     1 个文件          6,176 字节
                     0 个目录  2,701,848,576 可用字节

   2、检查注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。请在命令提示符中按照下面键入：
      C:\>regedit /e tmp.txt HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
      C:\>type tmp.txt
      如果被感染，那么您可以看到类似的显示结果：
      C:\>type tmp.txt
      Windows Registry Editor Version 5.00

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "windows auto update"="msblast.exe"

   3、在任务管理器中查看是否有msblast.exe的进程。如果有，说明蠕虫正在您的系统上运行。


* 预防蠕虫感染：

   安装MS03-026（http://www.microsoft.com/technet ... �。下载地址：
   
   Windows NT 4.0 Server：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows NT 4.0 Terminal Server Edition ：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows 2000：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows XP 32 bit Edition：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows XP 64 bit Edition：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows Server 2003 32 bit Edition：

   http://microsoft.com/downloads/d ... &displaylang=en

   Windows Server 2003 64 bit Edition：

   http://microsoft.com/downloads/d ... &displaylang=en

   安装补丁后您需要重新启动系统才能使补丁生效，如有可能，请在下载完补丁后断开网络连接再安装补丁。

* 清除蠕虫

   如果发现系统已经被蠕虫感染，我们建议您按照以下步骤手工清除蠕虫：

   1、按照上述“预防蠕虫感染”的方法安装补丁。
   2、点击左下角的“开始”菜单，选择“运行”，在其中键入“taskmgr”，点击“确定”。这样就启动了任务管理器。在其中查找msblast.exe进程，找到后在进程上单击右键，选择“结束进程”，点击“是”。
   3、删除系统目录下的msblast.exe。
   4、点击左下角的“开始”菜单，选择“运行”，在其中键入“regedit”，点击“确定”。这样就启动注册表编辑器。在注册表中找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，删除其下的"windows auto update"="msblast.exe"。
   5、重新启动系统。

   截至目前为止，一些杀毒软件厂商的病毒特征库已包含该蠕虫的特征，可以清除该蠕虫，请更新您杀毒软件的病毒特征库进行查杀。

绿盟科技产品的冰之眼IDS（http://www.nsfocus.com/homepage/ ... 种攻击；RSAS（[/url][/url]

附加信息：
==========
http://www.nsfocus.net/index.php ... iew&bug_id=5147
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp


声 明
==========

本安全公告仅用来描述可能存在的安全问题，中联绿盟信息技术(北京)有限公司不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，中联绿盟信息技术(北京)有限公司以及安全公告作者不为此承担任何责任。中联绿盟信息技术(北京)有限公司拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经中联绿盟信息技术(北京)有限公司允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关 于 我 们
===========

中联绿盟信息技术（北京）有限公司成立于2000年4月，是国内专业从事网络安全服务的高科技企业，致力于网络安全技术研究、网络安全产品开发，提供由网络系统入侵检测、操作系统安全、网络服务安全、程序安全为重点的整体网络安全方案，并协助建立严密的网络安全制度，提高国内的网络安全水平，为客户提供强有力的安全保障。

中联绿盟信息技术（北京）有限公司成立后，其安全技术研究部门对国内外最新的网络系统安全漏洞进行最及时和最紧密的跟踪，对重大安全问题更成立专项研究小组进行技术攻关，取得了一系列在国内、甚至是国外处于领先水平的优秀成果。安全产品开发部门具有开发网络安全评估系统、网络/系统防火墙、入侵监测系统、内容过滤系统等高技术含量网络安全产品的技术实力和经验，已经推出了具有国际领先水平的安全产品系列。

中联绿盟信息技术（北京）有限公司定位于网络系统安全集成商，提供全面的网络安全整体解决方案、先进的网络安全技术服务和优秀的网络安全产品。

中联绿盟信息技术(北京)有限公司联系方式：

北京总部：
地址：北京市海淀区北洼路4号益泰大厦5层
邮编：100089
电话：010-68438880
传真：010-68437328
email：webadmin@nsfocus.com

上海分公司：
地址：上海市南京西路758号博爱大厦24层A座
邮编：200041
电话：021-62179591/92
传真：021-62176862

广州分公司：
地址：广州市人民中路555号美国银行中心1702
邮编：510180
电话：020-81301251,81301252
传真：020-81303835

(c)版权所有 1999-2003，中联绿盟信息技术（北京）有限公司

声 明
==========

本安全公告仅用来描述可能存在的安全问题，中联绿盟信息技术(北京)有限公司不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，中联绿盟信息技术(北京)有限公司以及安全公告作者不为此承担任何责任。中联绿盟信息技术(北京)有限公司拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经中联绿盟信息技术(北京)有限公司允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关 于 我 们
===========

中联绿盟信息技术（北京）有限公司成立于2000年4月，是国内专业从事网络安全服务的高科技企业，致力于网络安全技术研究、网络安全产品开发，提供由网络系统入侵检测、操作系统安全、网络服务安全、程序安全为重点的整体网络安全方案，并协助建立严密的网络安全制度，提高国内的网络安全水平，为客户提供强有力的安全保障。

中联绿盟信息技术（北京）有限公司成立后，其安全技术研究部门对国内外最新的网络系统安全漏洞进行最及时和最紧密的跟踪，对重大安全问题更成立专项研究小组进行技术攻关，取得了一系列在国内、甚至是国外处于领先水平的优秀成果。安全产品开发部门具有开发网络安全评估系统、网络/系统防火墙、入侵监测系统、内容过滤系统等高技术含量网络安全产品的技术实力和经验，已经推出了具有国际领先水平的安全产品系列。

中联绿盟信息技术（北京）有限公司定位于网络系统安全集成商，提供全面的网络安全整体解决方案、先进的网络安全技术服务和优秀的网络安全产品。

中联绿盟信息技术(北京)有限公司联系方式：

北京总部：
地址：北京市海淀区北洼路4号益泰大厦5层
邮编：100089
电话：010-68438880
传真：010-68437328
email：webadmin@nsfocus.com

上海分公司：
地址：上海市南京西路758号博爱大厦24层A座
邮编：200041
电话：021-62179591/92
传真：021-62176862

广州分公司：
地址：广州市人民中路555号美国银行中心1702
邮编：510180
电话：020-81301251,81301252
传真：020-81303835

(c)版权所有 1999-2003，中联绿盟信息技术（北京）有限公司




急：恶性"冲击波"病毒清除常见问题一问一答
http://www.duba.net 　(2003-08-13 12:31)　　文章来源：金山毒霸安全资讯网
  
　　一、我打不开补丁的链接：

　　 可以这么解决：方法1、先打开IE浏览器，把补丁链接复制到浏览器的地址栏里就可以下载了。如果不幸复制粘贴也不能用了，那只好照着上面的内容在地址栏里输入了；方法2、打开网络蚂蚁或网络快车，把上面的地址复制或输入到下载的任务里就行了。

　　二、如果我的机器有问题，怎样打补丁

　　任何紧张和恐惧都是不解决问题的，虽然严重但也绝对没到删除所有文件，格式化硬盘的地步！使用以下几步就可以解决：

　　1 、第一步给系统打补丁，防治病毒的再次入侵。

　　 关于这个漏洞的介绍：http://www.microsoft.com/china/t ... lletin/MS03-026.asp

　　 下载补丁：

　　 Windows2000简体中文版http://download.microsoft.com/do ... B823980-x86-CHS.exe

　　 WindowsXP简体中文版http://download.microsoft.com/do ... B823980-x86-CHS.exe

　　 Windows2000英文版http://download.microsoft.com/do ... B823980-x86-ENU.exe

　　 WindowsXP英文版http://download.microsoft.com/do ... B823980-x86-ENU.exe

　　2、升级反病毒软件，打开防火墙，彻底封死病毒入侵的可能性。

　　3、使用专杀工具

　　 “冲击波”病毒专杀工具下载：http://www.duba.net/download/othertools/Duba_Sdbot.EXE

　　三、我怎么知道我是不是已经打上了这个补丁？

　　 根据微软的定义，这个安全修补程序的代号为kb823980，我们要检查的就是这一项。

　　 打开注册表编辑器。不知道怎么打开？在开始菜单上执行“运行”命令，输入“regedit"(不要引号)。

　　 在注册表编辑器的窗口里又分左右两个窗格，我们先看左窗格。这个东西和资源管理器是非常相像的，只不过它有一些类似HKEY_。。。这样的条目，我们只看HKEY_LOCAL_MACHINE这一条(这里面的东东实在太多了，就不罗索了)。

　　 展开这一条，找到里面的SOFTWARE，然后再展开，找到Microsoft，依次分别：

　　 1、对于WindowsNT4.0： 找到 Updates，Windows NT， SP6，看看里面有没有kb823980

　　 2、对于Windows2000： 找到 Updates，Windows 2000，SP5，看看里面有没有kb823980

　　 3、对于WindowsXP： 找到 Updates，Windows XP， SP1，看看里面有没有kb823980 4、对于WindowsXP SP1：找到 Updates，Windows XP， SP2，看看里面有没有kb823980[未结束]

如果找到，那就说明已经打上补丁了。如果没有，那就只有再来一次啦。

　　四、我的机器是被攻击了吗？

　　1、莫名其妙地死机或重新启动计算机；

　　2、IE浏览器不能正常地打开链接；

　　3、不能复制粘贴；

　　4、有时出现应用程序，比如Word异常；

　　5、网络变慢；

　　6、最重要的是，在任务管理器里有一个叫“msblast.exe”的进程在运行！

　　以上这些情形，如果是最近两天才出现的现象，都很有可能是由于受到了“冲击波”病毒的攻击。尤其是第六条符合，那就肯定是已经被冲击波攻击成功了，必须立刻采取杀毒、打补丁的措施。

　　背景资料介绍：

　　一、提防“冲击波”病毒

　　“冲击波”病毒Worm.msBlast是第一个利用RPC漏洞进行攻击和传染的病毒！受影响的系统包括：WindowsNT4.0、Windows2000、WindowsXP和Windows2003系列产品，有意思的是一直被人诟病的Windows98和WindowsME由于未采用RPC机制幸免于难。

　　二、什么是RPC漏洞

　　Remote Procedure Call (RPC)是Windows操作系统使用的一种远程过程调用协议，RPC提供进程间交互通信机制，允许在某台计算机上运行的程序无缝地在远程系统上执行代码。Microsoft的RPC部分在通过TCP/IP处理信息交换时存在问题，远程攻击者可以利用这个漏洞以本地系统权限在系统上执行任意指令。

　　此漏洞是由于不正确处理畸形消息所致，漏洞影响使用RPC的DCOM接口。此接口处理由客户端机器发送给服务器的DCOM对象激活请求(如UNC路径)。攻击者成功利用此漏洞可以以本地系统权限执行任意指令。攻击者可以在系统上执行任意操作，如安装程序、查看或更改、删除数据或建立系统管理员权限的帐户。

　　通俗地说：利用这个漏洞，一个攻击者可以随意在远程计算机上执行任何指令！！！

gujen

热心人送来及时雨，谢谢

山姆大叔

看来破解的XP只能等死啦,装不了补丁

boy_tian

xp最好还是用算号器算号，然后激活。我用三台机器算号器算了半天，然后算了100多个CDKEY，最后只有几个是功略推荐的key，好在运气够好，换了个KEY，第二次就成功上网激活了。现在我已经打上补丁了。
之所以这么麻烦，因为有一次我上网然后自动升级，结果安装后就xp就挂了，要求激活。