[分享] “Sasser”病毒開始肆虐，Windows作業系統再受影響

ast300

我是isp的小客服
今天電話接到爆
如果有親友中毒
可以參照下列方式處理
自從Microsoft公佈4月份弱點以來，各大網路安全公司紛紛預測將會有類似Blaster這種會塞爆網路流量的蠕蟲出現。果然，今日(5/1)出現了利用此弱點傳播之蠕蟲---”Sasser”。感染到Sasser蠕蟲的網友會對外建立大量連線，並試圖感染其他網友的電腦。這不但會造成感染電腦無法上網，同時也會造成網路的擁塞。由於大部份的Widnows作業系統都會受感染，請用戶盡速安裝微軟的修正程式。

檢查方法：

如果您的電腦路徑C:\Winnt 或是C:\Windows 有出現avserve.exe檔案，那麼您的電腦可能已經感染Sasser蠕蟲。

解決方法：

受到此病蟲感染的電腦，請依下步驟排除。

1.      開啟Windows 工作管理員.
Windows NT/2000/XP系統, 請按
CTRL+SHIFT+ESC, 然後點選”處理程序”標籤

刪除avserve.exe程序

注意:如果沒有出現avserve.exe程序，請至C:\WINNT\或是C:\Windows\目錄下直接刪除avserve.exe檔案

2. 安裝Microsoft所提供的MS04-011修正檔
   您可以直接由Windows Update網址(http://v4.windowsupdate.microsoft.com/zhtw/default.asp)更新或是下載MS04-011修正檔手動安裝：

http://www.microsoft.com/taiwan/security/bulletins/MS04-011.asp。


3. 手動移除病毒

   3.1 刪除 C:\WINNT\system32\?????_up.exe　(?????為不特定數字，檔案大小15872 bytes)

   3.2 刪除 C:\WINNT\avserve.exe 或是C:\Windows\ avserve.exe

   3.3 點選”開始->執行”。輸入”REGEDIT”然後按 Enter

      滑鼠雙擊下述路徑: /HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/

移除下列機碼：
avserve.exe

4.  電腦重新開機。

5. 建議您用防火牆阻擋有相關的port      
     Port 139 (tcp/udp)
     Port 445 (tcp/udp)

參考資訊：

http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx (英文版)
http://www.microsoft.com/taiwan/security/bulletins/MS04-011.asp (中文版)

Jonry

Originally posted by Checko at 2004-5-7 06:52 PM:
好像是這樣，從opened port進來，將檔案放在WINNT和system21下，修改registry。
這時候只要不重開機都沒問題。

沒那麼簡單, 只要 LSASS 的漏洞沒修, 病毒除了種 AVSERVE.EXE 之外, 還會遙控被害的電腦重新開機, 所以就算你不重開機, 病毒也會替你重新開機。

我發現Win2k SP2 + MS0411後還是會中毒，不過Win2000會說：
系統需要舊版程式才能正確執行，請將原SP2光碟放入CD中。
然後要放入Win2000 CD才能繼續動作。

理論上 MS04-011 的 Patch 只要有 SP2 就能安裝, 但是還是有別的漏洞沒修到,
所以還是勤快點, 把 SP4 也裝上去吧!

... 好像有變種了：AVSERVE.

早就有了, Sarsser 第一代在 4/30 出現, 第二代(Sarsser.B)在隔天就出現了,
而且第一代的 Sarsser 在 Symantec 的警戒是第三級,
Sarsser.B 卻是第四級警戒 !!

現在都出到 Sarsser.D 了。

Checko

Originally posted by 小酒蟲 at 2004-5-4 08:22 AM:
從 opened ports 直接摸進來？

好像是這樣，從opened port進來，將檔案放在WINNT和system21下，修改registry。
這時候只要不重開機都沒問題。

一但重開機後，因為registry指定開機執行剛剛放進來的檔案，就中毒了。

我發現Win2k SP2 + MS0411後還是會中毒，不過Win2000會說：

系統需要舊版程式才能正確執行，請將原SP2光碟放入CD中。

然後要放入Win2000 CD才能繼續動作。

... 好像有變種了：AVSERVE.

bryanpuff

還好‥目前似乎沒事‥以前中毒中怕了‥B)

小酒蟲

Originally posted by vet2000 at 2004-5-4 09:55:
發現到中文介面的，竟然要收費，
英文介面的，不用收費！
很爛的差別待遇！

我從十多年前發現它台灣版要裝硬體鎖，而海外版不需要時，就認定趨勢科技這公司是歧視台灣人的漢奸了。

[ Last edited by 小酒蟲 on 2004-5-4 at 13:55 ]

vet2000

Originally posted by newmans at 2004-5-4 03:38 AM:
我也中此病毒3個禮拜前..
以下連結可以免費線上掃毒..很簡單喔
http://housecall.trendmicro.com/housecall/start_corp.asp
趨勢科技..
若本篇連結有所不妥請版主或站長直接刪除本留言

發現到中文介面的，竟然要收費，
英文介面的，不用收費！
很爛的差別待遇！

chenhsiangjung

沒辦法.....這種病毒直接就會攻擊了....同一個網路下或沒有防火牆做防禦
又沒做修正...只要有一台中...公司內的電腦災情一定粉可怕
.....和疾風和CodeRed都是同一型的..
不像Email  NetSky那種要開檔才會中標...
看來改用win98可能比較安全一點點...

ychao

沒想到連最後淨土郵局也掛成這樣... 萬一將來連大型主機都改用... 的話，實在很難想像...

駭客「木馬」進郵局　「殺手」掛了終端機！
http://tw.news.yahoo.com/040503/39/mdt0.html

1/3郵局電腦癱瘓 今正常作業
http://tw.news.yahoo.com/040504/19/mewj.html

高縣上百郵局受攻擊 延長營業時間
http://tw.news.yahoo.com/040503/4/mdi0.html

郵局遭到電腦病毒：三分之一郵局改採人工作業，主機ATM未受影響
http://tw.news.yahoo.com/040503/4/md0k.html

郵局遭殺手病毒大規模攻擊！1600台電腦停擺！三分之一郵局中毒！
http://tw.news.yahoo.com/040503/4/me5z.html

pijay

我叔叔的電腦.....umm...應該說是股票機(只用來看股票).....也中了!!!真是可怖..

parrot

應該是 File Sharing (Port 139, Port 445)

小酒蟲

從 opened ports 直接摸進來？

Checko

奇怪，網路上都只有說明解毒方法，沒有說明”中毒”方法。

我們的file server，平時根本就不執行外來程式的，也中了。
所以就算是不亂開檔也會中毒囉？

newmans

我也中此病毒3個禮拜前..
以下連結可以免費線上掃毒..很簡單喔

http://housecall.trendmicro.com/housecall/start_corp.asp
趨勢科技..

若本篇連結有所不妥請版主或站長直接刪除本留言

HUANGLIFU

基本上，補丁檔不管有沒有什麼奇怪的情形，只要不會搞到不能開機就認命裝吧，開DMZ沒有事，應該是補丁檔裝好了。

biko

今天辦公室裡也幾乎全中..還好我是用98..沒事..
不過..
   3.2 刪除 C:\WINNT\avserve.exe 或是C:\Windows\ avserve.exe
變成了avserve2.exe檔了哦..
是又變型了嗎??
不過..照上述方式更新後大致就沒問題了..

阿輝

沒想到我也中標了 =''=

luketang

哎~~為了修正這問題 週六再公司加班了一整天幫USER的電腦做Windows Update
病毒碼也是..NAV一週更新了不知多少版了~~

小酒蟲

Originally posted by quennel020 at 2004-5-1 19:57:
話題打住吧,不然又要聊到什麼十年教改,教育資源分配,消費者權益...

總之，不管用那種 OS，請都先學如何保護資料。

ciao

Originally posted by Jonry at 2004-5-2 10:36 AM:

是的。

防毒程式刪掉了吧?

希望如此 不過我windows update之後就沒有復發過了啦~~

quennel020

Originally posted by 小酒蟲 at 2004-5-2 10:06 AM:

不懂而出錯，當然不能賴到 M$ 頭上；請不要像另一篇 Txxx 600 一樣，亂找對象出氣。

老師只教這些，那就是老師沒教好了；難道學開車時第一件事是教踩油門而不是上安全帶，等出車禍死掉了再怪車廠？

[ Last edited by 小酒蟲 on 2004-5-1 at 19:10 ]

話題打住吧,不然又要聊到什麼十年教改,教育資源分配,消費者權益...

Jonry

好吧, 即然很多人都沒有安全概念, 以為裝了防毒軟體就萬事 OK,
那就請學校老師去教教資訊安全吧...

防毒軟體不是萬能, 裝了最近的病毒碼也不是沒事,
病毒可以用合法的指令做非法的事,
只要有人疏忽, 就會給病毒機會!!

就是這樣, 我下午又要去公司加班了....

quennel020

Originally posted by czh at 2004-5-2 10:05 AM:

這就是詭辯
爭端都是由此開始的

這我的感覺而已,沒要辯什麼B)
到此為止,不然離太遠了.

Jonry

Originally posted by ciao at 2004-5-2 09:18 AM:
這個病毒是不是發作的時候會顯示
lsasser.exe執行無效 然後就在一分鐘之內強制重開機

是的。

我昨天也有碰到 後來去windows update以後就好了,可是我在我的windows目錄下面
沒有看到要刪除的那幾個檔案~~~

防毒程式刪掉了吧?

小酒蟲

Originally posted by quennel020 at 2004-5-1 18:15:
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

不懂而出錯，當然不能賴到 M$ 頭上；請不要像另一篇 Txxx 600 一樣，亂找對象出氣。

老師只教這些，那就是老師沒教好了；難道學開車時第一件事是教踩油門而不是上安全帶，等出車禍死掉了再怪車廠？

[ Last edited by 小酒蟲 on 2004-5-1 at 19:10 ]

czh

Originally posted by quennel020 at 2004-5-2 09:15 AM:

嗯嗯
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

上面也沒標明使用年齡限制和使用期限~

這就是詭辯
爭端都是由此開始的

parrot

Originally posted by quennel020 at 2004-5-2 08:07 AM:
昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

要用 2004/5/1 的病毒碼才掃的到

ciao

這個病毒是不是發作的時候會顯示
lsasser.exe執行無效 然後就在一分鐘之內強制重開機

我昨天也有碰到 後來去windows update以後就好了,可是我在我的windows目錄下面
沒有看到要刪除的那幾個檔案~~~

quennel020

Originally posted by 小酒蟲 at 2004-5-2 09:00 AM:

你可以換別套 OS 啊，M$ 又沒拿槍逼你用。

基本上很多人都這樣....不裝更新檔、愛亂開附檔、不裝防護軟體....出事了再來怪 M$。

[ Last edited by 小酒蟲 on 2004-5-1 at 18:04 ]

嗯嗯
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

上面也沒標明使用年齡限制和使用期限~

vingtaine

還有一堆可以裝在x86上的OS可選用

Originally posted by quennel020 at 2004-5-1 16:07:
昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

小酒蟲

Originally posted by quennel020 at 2004-5-1 17:07:
M$怎不全面回收這種有問題的OS,來保護消費者權益...

你可以換別套 OS 啊，M$ 又沒拿槍逼你用。

基本上很多人都這樣....不裝更新檔、愛亂開附檔、不裝防護軟體....出事了再來怪 M$。

[ Last edited by 小酒蟲 on 2004-5-1 at 18:04 ]