江民科技发布“冲击波杀手”病毒分析报告

煎饼

国内领先的信息安全服务提供商江民科技（KV）于8月18日截获“冲击波杀手”病毒，并于当日发布了升级补丁。现公布该病毒分析报告，以供更多同行参考。
5 a/ t) o# t2 v$ u- X3 [  p! ]7 C! n
9 }5 _8 S! n" S( O' @  @2 O# A' m  a　　名称：冲击波杀手
2 _* O3 ?( M( G% z
+ p- N- _7 s0 c( C  ^( u　　级别：紧急！！！
9 q+ t& a! j, R; y5 h& G
! c. e7 O2 T0 ^8 u& `: C　　后果：可导致电信骨干网络堵塞。

　　已经提供：（1）技术分析报告

, |; b) W+ o2 g( M7 ^　　（2）补丁集合（直接放在KV2004的正版盘，下次刻盘提供）

2 }% T4 {3 y, W# D) ]  n; k( {　　网络惊现“冲击波杀手”网络蠕虫

　　病毒名称：I-Worm/Chian

3 j. t; u1 i/ a' G　　病毒长度：10240字节
! o9 j" A2 x2 X
　　截获的文件名称：dllhost.exe

　　感染系统：Windows XP,Windows 2000
; ?) b# m& N: C$ b7 J2 |4 q) [
　　传播途径：利用微软的多重漏洞：
( \3 n" \  A$ N8 T( Q7 q- i; @
　　(1)利用“冲击波网络蠕虫漏洞”：利用TCP 端口135,该补丁同冲击波Microsoft Security Bulletin MS03-026，“冲击波杀手”针对该漏洞

: x% X2 i$ k0 P( u5 D) F9 O6 s　　攻击的系统是Windows XP;

0 [/ H' K+ r( P# s/ k　　(2)利用Microsoft Security Bulletin MS03-007在端口TCP的80利用WebDav漏洞，攻击的对象是开放了浏览端口WEB（80)的运行微软IIS5.0的机器。
: v$ M4 t& h& y* V0 `
  c7 d. b) x: {/ g; X9 U' S& j) Q　　和“冲击波病毒I-Worm/Blaster”的关系：

- [; K% V0 |" f9 j% f　　从微软的网站自动下载DCOM RPC漏洞，并安装该漏洞，同时在互连网上搜索所有可能感染了冲击波病毒I-Worm/Blaster的机器，试图删除冲击波病毒，

　　接着重新启动计算机。
9 p3 e% s* v: w" s% }
8 b) |5 v4 `# S　　感染方式：发送ICMP响应信号，或者发送PING命令来感染互连网上存在病毒的机器。

* N3 q0 x- O% p7 B+ @  k) N　　症状文件：删除“冲击波I-Worm/Blaster”，删除主文件msblast.exe
+ X7 f4 Y* p. s0 n
　　后果：1)导致系统不稳定运行：由于RPC漏洞的原因导致WINDOWS 2000的机器非常不稳定，重新启动、死机等。

: h% O& W0 ~9 k+ q　　2)在所有感染机器上安装一个FTP服务端：文件大小是19728字节，文件名称：svchost.exe .

　　影响的端口：TCP 135,TCP 80.

0 c% h8 n+ y9 ?2 P5 q/ b5 t9 p5 q　　病毒具体特征：

　　当该网络蠕虫被运行后，将自身拷贝到WINDOWS系统目录下，并建立一个目录Wins，以文件名称Dllhost.exe存放。

% k8 Z, S2 ]% z7 V7 i　　病毒文字特征：
# }( x/ [  f7 g+ s# [9 N3 b
　　该病毒体内保存字符串：
' q& m/ F0 {) o7 ]; t: A- m( G
　　============I love my wife & baby ~~~ Welcome Chian~~~ ,Notice: 2004 will remove myself~~ sorry zhongli~~~========

$ R9 o! T+ d6 B6 g　　大致的中文意思：我爱我的妻子和宝贝，欢迎Chian(病毒名称由此而来），注意：2004年自己将自动删除。
+ o; R8 n3 T/ M7 g2 R! m: Y0 x
　　同时将系统Dllcache正常的FTP文件改名称换目录保存在Wins\svchost.exe=
) \! Y0 _! F. x2 G2 l9 C7 m
( A& o  r; }+ y1 {9 Q/ V　　江民KV杀毒软件用户无须任何专杀工具或手动清除措施，只需要升级一下病毒库即可查杀。

考拉

135和80？那不是关端口没用啊？
# E; W. ]5 J! B  {5 B
还是用98好……

語過ャ添情

煎饼,,,,,,,江民的序号在哪编!!!!!想用时找不到了,,,,帮忙啦!!!!