[分享] “Sasser”病毒開始肆虐，Windows作業系統再受影響

ast300

我是isp的小客服
今天電話接到爆
如果有親友中毒
可以參照下列方式處理
自從Microsoft公佈4月份弱點以來，各大網路安全公司紛紛預測將會有類似Blaster這種會塞爆網路流量的蠕蟲出現。果然，今日(5/1)出現了利用此弱點傳播之蠕蟲---”Sasser”。感染到Sasser蠕蟲的網友會對外建立大量連線，並試圖感染其他網友的電腦。這不但會造成感染電腦無法上網，同時也會造成網路的擁塞。由於大部份的Widnows作業系統都會受感染，請用戶盡速安裝微軟的修正程式。

檢查方法：

如果您的電腦路徑C:\Winnt 或是C:\Windows 有出現avserve.exe檔案，那麼您的電腦可能已經感染Sasser蠕蟲。

解決方法：

受到此病蟲感染的電腦，請依下步驟排除。

1.      開啟Windows 工作管理員.
Windows NT/2000/XP系統, 請按
CTRL+SHIFT+ESC, 然後點選”處理程序”標籤

刪除avserve.exe程序

注意:如果沒有出現avserve.exe程序，請至C:\WINNT\或是C:\Windows\目錄下直接刪除avserve.exe檔案

2. 安裝Microsoft所提供的MS04-011修正檔
   您可以直接由Windows Update網址(http://v4.windowsupdate.microsoft.com/zhtw/default.asp)更新或是下載MS04-011修正檔手動安裝：

http://www.microsoft.com/taiwan/security/bulletins/MS04-011.asp。


3. 手動移除病毒

   3.1 刪除 C:\WINNT\system32\?????_up.exe　(?????為不特定數字，檔案大小15872 bytes)

   3.2 刪除 C:\WINNT\avserve.exe 或是C:\Windows\ avserve.exe

   3.3 點選”開始->執行”。輸入”REGEDIT”然後按 Enter

      滑鼠雙擊下述路徑: /HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/

移除下列機碼：
avserve.exe

4.  電腦重新開機。

5. 建議您用防火牆阻擋有相關的port      
     Port 139 (tcp/udp)
     Port 445 (tcp/udp)

參考資訊：

http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx (英文版)
http://www.microsoft.com/taiwan/security/bulletins/MS04-011.asp (中文版)

Jonry

公司裡已經傳出災情了...

不過還好, 都是一些沒裝 Hotfix 的機器, 重要的系統和大部份的人都乖乖的裝 Hotfix 了...

lepicier

阿......
原來我今天就中這個 .重灌後還是一樣.後來也是裝修正程式.才修復..

nathan1002

原來我妹的NB今天就是中這個毒...
搞得我們莫名奇妙...昨天還好好的，今天就變樣了...@@

我的NB是有設自動下載hotfix，難怪我的沒事...
可是我小妹的沒有...慘... ><"

微軟每次都出這種大毗漏...Sigh...

nox

M$ 都已經發布安全性公告, 就不應該怪 M$ 出紕漏吧.

沒有一個作業系統可以保證絕對不會有安全性的問題, 就算是號稱再安全的 OS 也一樣; 尤其是沒有定時更新的這些安全問題的情況下.

話說回來, NetBIOS 真的是很容易出問題, 但是這玩意基本上就不應該讓區網網外接觸到, 為何不加個火牆作保護?

不過說到火牆, 剛更新的 FreeBSD - stable 居然已經到 4.10-PRERELEASE 的版本了說; 4.x 這個系列還真是長壽說.

pdds

我的剛才也中了說..害我以為怎麼了....還找不到方法解決
朋友也中了,但是比我還要緊張  ~.~"
感謝ast300阿...都沒注意說,現在才看到

quennel020

昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

arik

別忘了…它是 M$ B)

Originally posted by quennel020 at 2004-5-2 08:07 AM:
昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

小酒蟲

Originally posted by quennel020 at 2004-5-1 17:07:
M$怎不全面回收這種有問題的OS,來保護消費者權益...

你可以換別套 OS 啊，M$ 又沒拿槍逼你用。

基本上很多人都這樣....不裝更新檔、愛亂開附檔、不裝防護軟體....出事了再來怪 M$。

[ Last edited by 小酒蟲 on 2004-5-1 at 18:04 ]

vingtaine

還有一堆可以裝在x86上的OS可選用

Originally posted by quennel020 at 2004-5-1 16:07:
昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

quennel020

Originally posted by 小酒蟲 at 2004-5-2 09:00 AM:

你可以換別套 OS 啊，M$ 又沒拿槍逼你用。

基本上很多人都這樣....不裝更新檔、愛亂開附檔、不裝防護軟體....出事了再來怪 M$。

[ Last edited by 小酒蟲 on 2004-5-1 at 18:04 ]

嗯嗯
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

上面也沒標明使用年齡限制和使用期限~

ciao

這個病毒是不是發作的時候會顯示
lsasser.exe執行無效 然後就在一分鐘之內強制重開機

我昨天也有碰到 後來去windows update以後就好了,可是我在我的windows目錄下面
沒有看到要刪除的那幾個檔案~~~

parrot

Originally posted by quennel020 at 2004-5-2 08:07 AM:
昨天就有人抱這種電腦過來,還以為是什麼色情小木馬哩.
刪了就沒事了,NAV掃不到

M$怎不全面回收這種有問題的OS,來保護消費者權益...

要用 2004/5/1 的病毒碼才掃的到

czh

Originally posted by quennel020 at 2004-5-2 09:15 AM:

嗯嗯
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

上面也沒標明使用年齡限制和使用期限~

這就是詭辯
爭端都是由此開始的

小酒蟲

Originally posted by quennel020 at 2004-5-1 18:15:
不過那些小朋友就不懂了,才國小5年級.
M$沒逼小朋友學,可是老師就只教學生這些.

不懂而出錯，當然不能賴到 M$ 頭上；請不要像另一篇 Txxx 600 一樣，亂找對象出氣。

老師只教這些，那就是老師沒教好了；難道學開車時第一件事是教踩油門而不是上安全帶，等出車禍死掉了再怪車廠？

[ Last edited by 小酒蟲 on 2004-5-1 at 19:10 ]

Jonry

Originally posted by ciao at 2004-5-2 09:18 AM:
這個病毒是不是發作的時候會顯示
lsasser.exe執行無效 然後就在一分鐘之內強制重開機

是的。

我昨天也有碰到 後來去windows update以後就好了,可是我在我的windows目錄下面
沒有看到要刪除的那幾個檔案~~~

防毒程式刪掉了吧?

quennel020

Originally posted by czh at 2004-5-2 10:05 AM:

這就是詭辯
爭端都是由此開始的

這我的感覺而已,沒要辯什麼B)
到此為止,不然離太遠了.

Jonry

好吧, 即然很多人都沒有安全概念, 以為裝了防毒軟體就萬事 OK,
那就請學校老師去教教資訊安全吧...

防毒軟體不是萬能, 裝了最近的病毒碼也不是沒事,
病毒可以用合法的指令做非法的事,
只要有人疏忽, 就會給病毒機會!!

就是這樣, 我下午又要去公司加班了....

quennel020

Originally posted by 小酒蟲 at 2004-5-2 10:06 AM:

不懂而出錯，當然不能賴到 M$ 頭上；請不要像另一篇 Txxx 600 一樣，亂找對象出氣。

老師只教這些，那就是老師沒教好了；難道學開車時第一件事是教踩油門而不是上安全帶，等出車禍死掉了再怪車廠？

[ Last edited by 小酒蟲 on 2004-5-1 at 19:10 ]

話題打住吧,不然又要聊到什麼十年教改,教育資源分配,消費者權益...

ciao

Originally posted by Jonry at 2004-5-2 10:36 AM:

是的。

防毒程式刪掉了吧?

希望如此 不過我windows update之後就沒有復發過了啦~~

小酒蟲

Originally posted by quennel020 at 2004-5-1 19:57:
話題打住吧,不然又要聊到什麼十年教改,教育資源分配,消費者權益...

總之，不管用那種 OS，請都先學如何保護資料。

luketang

哎~~為了修正這問題 週六再公司加班了一整天幫USER的電腦做Windows Update
病毒碼也是..NAV一週更新了不知多少版了~~

阿輝

沒想到我也中標了 =''=

biko

今天辦公室裡也幾乎全中..還好我是用98..沒事..
不過..
   3.2 刪除 C:\WINNT\avserve.exe 或是C:\Windows\ avserve.exe
變成了avserve2.exe檔了哦..
是又變型了嗎??
不過..照上述方式更新後大致就沒問題了..

HUANGLIFU

基本上，補丁檔不管有沒有什麼奇怪的情形，只要不會搞到不能開機就認命裝吧，開DMZ沒有事，應該是補丁檔裝好了。

newmans

我也中此病毒3個禮拜前..
以下連結可以免費線上掃毒..很簡單喔

http://housecall.trendmicro.com/housecall/start_corp.asp
趨勢科技..

若本篇連結有所不妥請版主或站長直接刪除本留言

Checko

奇怪，網路上都只有說明解毒方法，沒有說明”中毒”方法。

我們的file server，平時根本就不執行外來程式的，也中了。
所以就算是不亂開檔也會中毒囉？

小酒蟲

從 opened ports 直接摸進來？

parrot

應該是 File Sharing (Port 139, Port 445)

pijay

我叔叔的電腦.....umm...應該說是股票機(只用來看股票).....也中了!!!真是可怖..