安全公告CN-SA04-21H ：对CN-SA04-21A、B、C、D、E、F、G的补充信息。 发布日期：2004-5-10 安全等级：/upload/p1_3355Q8.jpg 公开程度：公共 　　CNCERT/CC持续对“震荡波（Worm.Sasser）”蠕虫进行监测，截至5月10日7：00，抽样检测到该蠕虫传播次数累计约306万多次，增加量与前日相比下降。与前日相比，445端口流量变化不大，5554端口有少量流量，9996端口无流量。另外，CNCERT/CC注意到震荡波变种E已经出现，该变种会利用的1022端口和1023端口均出现少量流量。CNCERT/CC将继续密切关注该蠕虫的发展，及时发布有关信息。 　　今日，CNCERT/CC对进行监测以来的国内计算机感染“震荡波”蠕虫的情况进行了数据汇总统计，见下表和趋势图。从CNCERT/CC的监测数据来看，当日感染主机数持续下降，新增感染主机数有少量增加。 　　　　/upload/p1_8rS81q.jpg 　　　　/upload/p1_PTvNd0.jpg 说明： 　　1.该数据统计基于CNCERT/CC的抽样检测结果； 　　2.CNCERT/CC自5月2日晚开始进行网络监测，因而当日的数据量较小； 　　3.当日数据一律为自0点开始24小时的统计数据； 　　4.当日数据反映了CNCERT/CC所检测到的当日国内受感染主机的实际数量； 　　5.当日新增感染主机数和累计感染主机数对同一主机多日维持感染状态的情况仅按一台数计算； 　　6.从表中数据看出，感染主机数呈逐日递减状态。 　　同时，CNCERT/CC编辑整理了一份《计算机用户如何对付“震荡波”蠕虫》的文章供用户参考，帮助受感染用户进行正确处理和恢复操作。网址是： http://www.cert.org.cn/articles/alert/common/2004050821640.shtml 　　有关震荡波变种E的情况和防范措施请参考下面的内容。 变种E分析 　　与其他变种蠕虫不同，震荡波蠕虫变种E的文件名为lsasss.exe；修改注册表HKLMSoftwareMicrosoftWindowsCurrentVersionRun"lsasss.exe"="%Windir%lsasss.exe" 值保证蠕虫在系统重新启动后能够自动运行。另外，蠕虫向外连接的端口号改为TCP/1022和TCP/445，在本地开启FTP服务的端口号改为TCP/1023。 受影响平台 　　Windows XP, Windows XP Service Pack 1 (SP1) 　　Windows 2000 SP2, Windows 2000 SP3, Windows 2000 SP4 防范措施更新 个人用户： 　　1.安装相应的补丁程序 　　2.如果无法及时安装补丁程序，请使用个人软件防火墙阻断以下端口的数据连接135/tcp、139/tcp、445/tcp、1025/tcp、5554/tcp、9996/tcp、1022/tcp、1023/tcp 网络用户： 　　（以Cisco设备为例）　　 　　在边界路由器上添加如下规则阻断445、5554、9996、1022、1023端口上的数据 　　access-list 110 deny tcp any any eq 445 　　access-list 110 deny tcp any any eq 5554 　　access-list 110 deny tcp any any eq 9996 　　access-list 110 deny tcp any any eq 1022 　　access-list 110 deny tcp any any eq 1023 　　注意使用此规则后,可能会影响到Microsoft-DS服务的正常运行 　　要了解更多防范措施，请参考 http://www.cert.org.cn/articles/alert/common/2004050821640.shtml 相关公告： 　　安全公告CN-SA04-21A 　　 安全公告CN-SA04-21B 　　安全公告CN-SA04-21C 　　安全公告CN-SA04-21D 　　安全公告CN-SA04-21E 　　安全公告CN-SA04-21F 　　安全公告CN-SA04-21G 其他信息: 　　CVE编号： CAN-2003-0533 　　首次发布日期：2004-5-3 　　修订次数：7 安全公告文档编写: 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心： http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。