※ 引述《Armuro (我黑了真的丑..|||)》之铭言： : 我的电脑首先是不能上网 : 然後重开机後 : 只要进入windows画面了 : 电脑好似於当机(应该是cpu 100%) : 但是连工作管理员按了都没有用 : 所以无法确定 : 不知道有没有其他人也是发生这样的状况 : 在重灌前想知道有没有其他的方法可以解决 : 谢谢 自己回: 我中的是 Worm.Sasser.c 以下是详细资料发作现像： 　　‧ 使用AbortSystemShutdown API来防止系统重启或关机； 　　‧ 它开启TCP端口5554来建立一个FTP服务器，用来当作感染其他机器的服务器； 　　‧ 通过TCP445端口扫描随机的IP地址，当连接成功时，被感染的计算机向被连接机器 发动溢出攻 　　　 击，被攻击的计算机将会自动连接被感染计算机的5554端口并通过FTP下载蠕虫的 副本，名称一 　　　 般为4到5个数字加上"_up"的组合，如(78456_up.exe)； 　　‧ 由於该病毒本身编写的漏洞存在，它运行一段时间後会导致LSASS.EXE的崩溃，当L SASS.EXE崩 　　　 溃时系统默认会重启。 　　‧ 同时开启1027个线程攻击； 　　特别说明：和最近出现的大部分蠕虫病毒不同，该病毒并不通过邮件传播，而是通过 命令易受感染的机器下载特定文件并运行，来达到感染的目的。 　　文件名为：avserve2.exe 　　其他细节：该自运行的蠕虫通过使用Windows的一个漏洞来传播[MS04-011 vulnerabil ity (CAN-2003-0907)]，关於该漏洞的更多信息请访问： http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx 　　该变种是.b变种的源码重新编译後，用同样的加壳工具加壳。 　系统修改：（点击查看详情） A、拷贝自身到： %Windir%\avserve2.exe 在注册表主键： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下添加如下键值: "avserve2.exe" = %SystemRoot%\avserve2.exe B、拷贝其本身至系统目录： %System%\<5位随机数字>_up.exe C、在C盘根目录创建以下文件： C:\win.log(该文件用以记录本地主机的IP地址) 　解决方案: 　　‧ 请使用金山毒霸2004年05月02日的病毒库可完全处理该病毒； 　　‧ 手工解决方案 　 　　　 首先，若系统为WinMe，则请先关闭系统还原功能； 　　　 （毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还 原”功能） 　 步骤一，使用进程序管里器结束病毒进程 　　右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口 。在任务 　　管理器中，单击“进程”标签，在例表栏内找到病毒进程“avserve2.exe”，单击“ 结束进程 　　按钮”，点击“是”，结束病毒进程，然後关闭“Windows任务管理器”； 　　步骤二，查找并删除病毒程序 　　通过“我的电脑”或“资源管理器”进入系统目录（Winnt或windows)，找到文件 　　"avserve2.exe"，将它删除;然後进入系统目录(Winnt\system32或windows\system32) ，找到文 　　件"*_up.exe", 将它们删除； 　　步骤三，清除病毒在注册表里添加的项 　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter； 　　在左边的面板中, 双击（按箭头顺序查找，找到後双击）： 　　HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 　　在右边的面板中, 找到并删除如下项目： 　　"avserve2.exe" = %SystemRoot%\avserve2.exe 　　关闭注册表编辑器. -- ○ //\ 冷 |\ 东西掉了赶快捡起来~ --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 140.113.139.180