Re: [問題] W32.Spybot.Worm

看板AntiVirus (防毒)作者mksam時間20年前 (2004/07/28 09:43)推噓2(2推 0噓 0→)

留言2則, 1人參與討論串1/1

※ 引述《mksam ()》之銘言： : 請問各位大大 : 重了這病毒要怎麼解阿.... : 爬過精華區...他是英文的看的物煞煞 : 請各位大大伸出援手哩~ 太多人中毒了, 花了些時間翻譯重點部份, 倉卒翻譯, 如果疑問, 歡迎指正 W32.Spybot.Worm 2004/4/16 發現 W32.Spybot.Worm 是透過 KaZaA檔案分享和mIRC擴散的蠕蟲，也會透過受感染電腦的後門而擴散。藉由連上特殊設定的IRC Server，，W32.Spybot.Worm可以執行不同後門功能，加入不同的頻道傾聽指令。中文：W32.Spybot.Worm的變種會使用下面弱點進行擴散： ‧ MS03-026 ( http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx ) 使用 TCP port 135 的 DCOM RPC 弱點。 ‧ MS04-011 (http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx ) 微軟本機安全性認證服務遠端緩衝區弱點 ‧ MS02-061 ( http://www.microsoft.com/technet/security/bulletin/MS02-061.mspx ) 使用 UDP port 1434 MS-SQL 2000或MSDE 2000驗証弱點 ‧ MS03-007 ( http://www.microsoft.com/technet/security/bulletin/MS03-007.mspx )使用 TCP port 80 的 WebDAV 弱點 ‧ MS01-059 ( http://www.microsoft.com/technet/security/bulletin/MS01-059.mspx ) UPnP 通知緩衝區弱點 ‧ MS03-049 ( http://www.microsoft.com/technet/security/bulletin/MS03-049.mspx ) 使用 TCP port 445 的工作站服務緩衝區溢位弱點，Windows XP 的使用者只要有安裝 MS03-043 ( http://www.microsoft.com/technet/security/bulletin/MS03-043.mspx ) 就可以避免此弱點，Windows 2000 用戶必須安裝 MS03-049 別名 Worm.P2P.SpyBot.gen [Kaspersky], W32/Spybot-Fam [Sophos], W32/Spybot.worm.gen [McAfee], WORM_SPYBOT.GEN [Trend], Win32.Spybot.gen [Computer Associates] 型態蠕蟲感染長度不一定受影響系統 Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP 不受影響系統 DOS, Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows 3.x 損害： 1. 將個人資料送到 IRC 頻道 2. 在受感染電腦上執行未經認證的命令 When W32.Spybot.Worm 會執行下面命令：將自己拷貝到 %System% 資料夾（C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), 或 C:\Windows\System32 (Windows XP). ） 1. 在 KaZaA檔案分享網路上，下面登錄機碼上新增資料，建立分享資料夾： HKEY_CURRENT_USER\SOFTWARE\KAZAA\LocalContent 新增下面資料 "dir0"="012345:<configurable path>" 2. 將自己拷貝到設定的路徑，設定觸發，讓使用者下載和執行蠕蟲。 3. 對特定伺服器作DoS攻擊（Denial of Service，服務阻段）。 4. 將安全性產品程序停止執行。 5. 連上IRC伺服器，加入頻道，接收命令，將蠕蟲加入 [開始 / 程式集 / 啟動] 資料夾，例如： Documents and Settings\All Users\Menu Start\Programma's\Opstarten WINDOWS\All Users\Start Menu\Programs\StartUp WINNT\Profiles\All Users\Start Menu\Programs\Startup WINDOWS\Start Menu\Programs\Startup Documenti e Impostazioni\All Users\Start Menu\Programs\Startup Dokumente und Einstellungen\All Users\Start Menu\Programs\Startup Documents and Settings\All Users\Start Menu\Programs\Startup 賽門鐵克安全性回應會報告說此資料夾會有 0 byte 檔案，名稱為 TFTP780或TFTP###，# 是任意數字。 6. 在下面機碼加入任意登錄值： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 例如加入下面值： "Microsoft Update" = "wuamgrd.exe" 7. 在系統資料夾紀錄使用者按過的鍵盤。 8. 送出使用者資料，例如作業系統、IP位址、使用者名稱、IRC伺服器、、、等。 9. 開啟後門port。 10. 透過上述弱點擴散。手動移除方法 1. 關閉 [系統還原] 功能 (只有 Windows ME/XP 有此功能) 如果您不會關閉，Windows ME 請參考 http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239 Windows XP 請參考 http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039 2. 更新病毒碼To update the virus definitions 3. 重新啟動電腦，到安全模式（Windows 95, 98, Me, 2000, or XP），或VGA模式（Windows NT 4）。如果您不會進入安全模式，請參考 http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001052409420406?OpenDocument&src=sec_doc_nam 4. 掃描並刪除受感染檔案，紀錄檔案名稱。 5. 刪除下面登錄值： a. 點選 [ 開始 / 執行 ] b. 輸入 regedit，按下 [確定] 鈕，會跳出 [登錄編輯程式] c. 找到下面機碼 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run d. 在右邊面板，刪除受W32.Spybot.Worm感染的檔案。（剛剛紀錄的） e. 找到下面機碼 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce f. 在右邊面板，刪除步驟d發現的檔案名稱。 g. 找到下面機碼 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices h. 在右邊面板，刪除步驟d發現的檔案名稱。 i. 找到下面機碼 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run j. 在右邊面板，刪除步驟d發現的檔案名稱。 k. 跳出登錄編輯程式。 6. 刪除 [啟動] 資料夾中 0 byte 檔案 (1). Windows 95/98/Me/NT/2000 a. [ 開始 / 搜尋 / 檔案或資料夾] b. 在 [尋找在] 欄位輸入 C: c. 在 [檔名] 或 [尋找] 欄位輸入tftp*.* d. 按下 [立即搜尋] 鈕 e. 在資料夾名稱結束為 [啟動] 的資料夾中，刪除0 byte檔案。 (2) Windows XP a. [ 開始 / 搜尋 / 檔案或資料夾] b. 按下 [所有檔案和資料夾] 鈕 c. 在 [部份或完整的檔案名稱]欄位中輸入tftp*.* d. 在 [尋找在] 欄位輸入 C: e. 按下 [進階選項] f. 勾選 [系統資料夾] g. 勾選 [搜尋子目錄] h. 按下 [搜尋] 鈕 i. 在資料夾名稱結束為 [啟動] 的資料夾中，刪除0 byte檔案。參考來源： http://securityresponse.symantec.com/avcenter/venc/data/w32.spybot.worm.html 轉自http://forum.icst.org.tw/phpBB2/viewtopic.php?t=3353&sid=3e4f0dc68bdde869f4ab9b9fb4d8eb66 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 218.169.105.204