关于爆破虫及其变体的病毒警报 - Windows Server

本文介绍关于爆破虫及其变体的病毒警报，并包含有关如何防止和从爆破器蠕虫及其变体感染中恢复的信息。

原始 KB 数： 826955

总结

2003年8月11日，Microsoft开始调查Microsoft产品支持服务（PSS）报告的蠕虫，Microsoft PSS 安全团队发出警报，告知客户有关新蠕虫的信息。 蠕虫是一种计算机病毒，通常在没有用户操作的情况下传播，并在网络（如 Internet）之间分发完整的副本（可能已修改）。 这一新蠕虫称为“Blaster”，利用Microsoft安全公告 MS03-026（823980）在运行本文开头列出的任何产品的计算机上使用开放远程过程调用（RPC）端口在网络上传播自身所解决的漏洞。

本文包含网络管理员和 IT 专业人员的信息，介绍如何防止以及如何从爆破器蠕虫及其变体中恢复。 蠕虫及其变体也称为 W32。Blaster.Worm， W32.Blaster.C.Worm， W32.Blaster.B.Worm， W32.Randex.E （Symantec），W32/Lovsan.worm （McAfee），WORM_MSBLAST。A （Trendmicro）， 和 Win32.Posa.Worm （计算机关联）。 有关从此蠕虫恢复的其他信息，请联系防病毒软件供应商。

有关防病毒软件供应商的其他信息，请单击以下文章编号以查看Microsoft知识库中的文章：

49500 防病毒软件供应商列表

如果你是家庭用户，请访问以下Microsoft网站，获取帮助保护计算机并恢复计算机是否感染了爆破虫的步骤：

什么是Microsoft安全概要？

注意

• 如果你在 2003 年 8 月 11 日之前安装了 823980 安全修补程序（MS03-026），则计算机不会容易受到爆破虫攻击（发现此蠕虫的日期）。 如果在 2003 年 8 月 11 日之前安装了 823980 安全修补程序（MS03-026），则无需执行任何其他操作。

• Microsoft测试了 Windows NT 工作站 4.0、Windows NT Server 4.0、Windows NT Server 4.0、终端服务器版本、Windows 2000、Windows XP 和 Windows Server 2003，以评估它们是否受Microsoft安全公告 MS03-026（823980）解决的漏洞的影响。 Windows Millennium Edition 不包括与这些漏洞关联的功能。 以前的版本不再受支持，它们可能会或不受这些漏洞的影响。 有关Microsoft 支持部门生命周期的其他信息，请访问以下Microsoft网站：

  搜索产品和服务生命周期信息。

  与这些漏洞关联的功能也不包括在 Windows 95、Windows 98 或 Windows 98 Second Edition 中，即使安装了 DCOM 也是如此。 如果使用这些版本的 Windows，则无需执行任何操作。

• 如果为 Windows 2000 Service Pack 4 安装了 Windows XP Service Pack 2 或更新汇总 1，则计算机不会容易受到 Blaster 蠕虫攻击。 这些 Service Pack 中包括安全更新824146。 如果安装了这些 Service Pack，则无需执行任何其他操作。 有关详细信息，请单击下面的文章编号，查看相应的 Microsoft 知识库文章：

  322389 如何获取最新的 Windows XP Service Pack。

感染症状

如果计算机感染了此蠕虫，则可能会遇到任何症状，或者可能会遇到以下任何症状：

• 可能会收到以下错误消息：

远程过程调用 （RPC） 服务意外终止。 系统正在关闭。 保存所有正在进行的工作并注销。 任何未保存的更改都将丢失。 此关闭由 NT AUTHORITY\SYSTEM 启动。

• 计算机可能会以随机间隔关闭或重复重启。
• 在基于 Windows XP 的或基于 Windows Server 2003 的计算机上，可能会出现一个对话框，该对话框可让你选择向Microsoft报告问题。
• 如果使用 Windows 2000 或 Windows NT，可能会收到“停止”错误消息。
• 你可能会在 Windows\System32 文件夹中找到名为Msblast.exe、Nstask32.exe、Penis32.exe、Teekids.exe、Winlogin.exe、Win32sockdrv.dll或Yuetyutr.dll的文件。
• 计算机上可能会发现异常的 TFTP* 文件。

技术详细信息

有关此蠕虫对计算机所做的更改的技术详细信息，请联系防病毒软件供应商。

若要检测此病毒，请在 Windows\System32 文件夹中搜索名为Msblast.exe、Nstask32.exe、Penis32.exe、Teekids.exe、Winlogin.exe、Win32sockdrv.dll或Yuetyutr.dll的文件，或从防病毒供应商下载最新的防病毒软件签名，然后扫描计算机。

若要搜索这些文件，

1. 单击“开始”，单击“运行”，在“打开”框中键入 cmd，然后单击“确定”。**

2. 在命令提示符下，键入 dir %systemroot%\system32\filename.ext /a /s并按 ENTER，其中 filename.ext 为 Msblast.exe、Nstask32.exe、Penis32.exe、Teekids.exe、Winlogin.exe、Win32sockdrv.dll 或 Yuetyutr.dll。

   注意

   为每个文件名重复步骤 2：Msblast.exe、Nstask32.exe、Penis32.exe、Teekids.exe、Winlogin.exe、Win32sockdrv.dll和Yuetyutr.dll。 如果找到其中任何文件，则计算机可能感染了蠕虫。 如果找到其中一个文件，请删除该文件，然后按照本文的“恢复”部分中的步骤操作。 若要删除该文件，请在命令提示符处键入 del %systemroot%\system32\filename.ext /a ，然后按 Enter。

预防

若要防止此病毒感染计算机，请执行以下步骤：

1. 在 Windows XP、Windows Server 2003、标准版和 Windows Server 200 企业版3 中启用 Internet 连接防火墙功能（ICF），或使用基本防火墙、Microsoft Internet 安全性和加速（ISA）服务器 2000 或第三方防火墙阻止 TCP 端口 135、139、445 和 593;UDP 端口 69（TFTP）、135、137 和 138;和 TCP 端口 4444 用于远程命令行界面。

   若要在 Windows XP 或 Windows Server 2003 中打开 ICF，请执行以下步骤：

   1. 单击**「开始」，然后单击“控制面板”**。
   2. 在控制面板中，双击“网络”和“Internet 连接”，然后单击“网络连接”。
   3. 右键单击要打开 Internet 连接防火墙的连接，然后单击“ 属性”。
   4. 单击“高级”选项卡，然后单击以选中“保护我的计算机或网络”，方法是限制或阻止从 Internet 复选框访问此计算机。

   注意

   某些拨号连接可能不会显示在“网络连接”文件夹中。 例如，可能不会显示 AOL 和 MSN 拨号连接。 在某些情况下，可以使用以下步骤为未显示在“网络连接”文件夹中的连接启用 ICF。 如果这些步骤不起作用，请联系 Internet 服务提供商（ISP），了解如何对 Internet 连接进行防火墙。

   1. 启动 Internet Explorer。
   2. 在“工具”菜单上，单击“Internet 选项”。
   3. 单击“连接”选项卡，单击用于连接到 Internet 的拨号连接，然后单击“设置”。
   4. 在 “拨号设置 ”区域中，单击“ 属性”。
   5. 单击“高级”选项卡，然后单击以选中“保护我的计算机或网络”，方法是限制或阻止从 Internet 复选框访问此计算机。

   有关如何在 Windows XP 或 Windows Server 2003 中打开 Internet 连接防火墙的详细信息，请单击以下文章编号以查看Microsoft知识库中的文章：

   283673如何在 Windows XP 中打开或关闭防火墙

   注意

   ICF 仅适用于 Windows XP、Windows Server 2003、标准版 和 Windows Server 2003 企业版。 基本防火墙是路由和远程访问的一个组件，你可以在运行路由和远程访问以及 Windows Server 2003 系列成员的计算机上启用任何公共接口。

2. 这种蠕虫使用以前宣布的漏洞作为其感染方法的一部分。 因此，必须确保已在所有计算机上安装了 823980 安全修补程序，以解决Microsoft安全公告 MS03-026 中标识的漏洞。 824146安全修补程序取代了 823980 安全修补程序。 Microsoft建议安装824146安全修补程序，其中包括Microsoft安全公告 MS03-026（823980）中解决的问题的修补程序。

3. 使用防病毒供应商的最新病毒检测签名来检测新病毒及其变体。

恢复

安全性的最佳做法建议你在以前泄露的计算机上执行完整的“干净”安装，以删除任何可能导致将来泄露的未发现攻击。 有关其他信息，请访问以下证书咨询网站：

从 UNIX 或 NT 系统泄露中恢复的步骤。

但是，许多防病毒公司已编写工具，以删除与此特定蠕虫关联的已知攻击。 若要从防病毒供应商下载删除工具，请使用以下过程，具体取决于操作系统。

Windows XP、Windows Server 2003、标准版 和 Windows Server 2003 的恢复，企业版

1. 在 Windows XP、Windows Server 2003、标准版和 Windows Server 200 企业版3 中打开 Internet 连接防火墙功能（ICF），或者使用基本防火墙、Microsoft Internet 安全和加速（ISA）Server 2000 或第三方防火墙。

   若要启用 ICF，请执行以下步骤：

   1. 单击**「开始」，然后单击“控制面板”**。
   2. 在控制面板中，双击“网络”和“Internet 连接”，然后单击“网络连接”。
   3. 右键单击要打开 Internet 连接防火墙的连接，然后单击“ 属性”。
   4. 单击“高级”选项卡，然后单击以选中“保护我的计算机或网络”，方法是限制或阻止从 Internet 复选框访问此计算机。

   注意

   • 如果你的计算机在尝试执行这些步骤时反复关闭或重新启动，请在打开防火墙之前断开与 Internet 的连接。 如果通过宽带连接连接到 Internet，请找到从外部 DSL 或电缆调制解调器运行的电缆，然后从调制解调器或电话插孔拔出该电缆。 如果使用拨号连接，请找到从计算机内的调制解调器到电话插孔运行的电话电缆，然后从电话插孔或计算机拔出该电缆。 如果无法断开与 Internet 的连接，请在命令提示符处键入以下行以配置 RPCSS，以便在服务失败时不重新启动计算机： sc failure rpcss reset= 0 actions= restart

     若要在完成这些步骤后将 RPCSS 重置为默认恢复设置，请在命令提示符处键入以下行： sc failure rpcss reset= 0 actions= reboot/60000

   • 如果有多个计算机共享 Internet 连接，请仅在直接连接到 Internet 的计算机上使用防火墙。 不要在其他共享 Internet 连接的计算机上使用防火墙。 如果运行的是 Windows XP，请使用网络设置向导打开 ICF。

   • 使用防火墙不应影响电子邮件服务或 Web 浏览，但防火墙可以禁用某些 Internet 软件、服务或功能。 如果发生此行为，可能需要打开防火墙上的某些端口才能使某些 Internet 功能正常工作。 请参阅 Internet 服务附带的文档，该服务无法确定必须打开的端口。 请参阅防火墙附带的文档，以确定如何打开这些端口。

   • 在某些情况下，可以使用以下步骤为未显示在“网络连接”文件夹中的连接启用 ICF。 如果这些步骤不起作用，请联系 Internet 服务提供商（ISP），了解如何对 Internet 连接进行防火墙。

     1. 启动 Internet Explorer。
     2. 在“工具”菜单上，单击“Internet 选项”。
     3. 单击“连接”选项卡，单击用于连接到 Internet 的拨号连接，然后单击“设置”。
     4. 在 “拨号设置 ”区域中，单击“ 属性”。
     5. 单击“高级”选项卡，然后单击以选中“保护我的计算机或网络”，方法是限制或阻止从 Internet 复选框访问此计算机。

   有关如何在 Windows XP 或 Windows Server 2003 中打开 Internet 连接防火墙的详细信息，请单击以下文章编号以查看Microsoft知识库中的文章：

   283673如何在 Windows XP 中打开或关闭防火墙

   注意

   ICF 仅适用于 Windows XP、Windows Server 2003、标准版 和 Windows Server 2003 企业版。 基本防火墙是路由和远程访问的一个组件，你可以在运行路由和远程访问的计算机上启用任何公共接口，并且是 Windows Server 2003 系列的成员。

2. 下载824146安全修补程序，然后将其安装在所有计算机上，以解决Microsoft安全公告 MS03-026 和 MS03-039 中标识的漏洞。

   注意

   824146安全修补程序取代了 823980 安全修补程序。 Microsoft建议安装824146安全修补程序，其中包括Microsoft安全公告 MS03-026（823980）中解决的问题修补程序。

3. 安装或更新防病毒签名软件，然后运行完整的系统扫描。

4. 从防病毒供应商下载并运行蠕虫删除工具。

Windows 2000 和 Windows NT 4.0 的恢复

Windows 2000 或 Windows NT 4.0 中不提供 Internet 连接防火墙功能。 如果Microsoft Internet 安全性和加速 （ISA） 服务器 2000 或第三方防火墙无法阻止 TCP 端口 135， 139、445 和 593、UDP 端口 69（TFTP）、135、137 和 138 和 TCP 端口 4444（用于远程命令外壳），请按照以下步骤帮助阻止受影响的局域网（LAN）连接端口。 TCP/IP 筛选不适用于拨号连接。 如果使用拨号连接连接到 Internet，则应启用防火墙。

1. 配置 TCP/IP 安全性。 为此，请使用操作系统的过程。

   Windows 2000

   1. 在控制面板中，双击“网络”和“拨号连接”。

   2. 右键单击用于访问 Internet 的接口，然后单击“ 属性”。

   3. 在此连接框使用的“组件”框中，单击“**Internet 协议”（TCP/IP），**然后单击“属性”。

   4. 在 “Internet 协议”（TCP/IP）属性 对话框中，单击“ 高级”。

   5. 单击“选项”选项卡。

   6. 单击 “TCP/IP 筛选”，然后单击“ 属性”。

   7. 单击以选中“ 启用 TCP/IP 筛选（所有适配器） ”复选框。

   8. 有三列具有以下标签：

      • TCP 端口
      • UDP 端口
      • IP 协议

      在每个列中，单击“仅**允许”**选项。

   9. 单击 “确定” 。

   注意

   • 如果你的计算机在尝试执行这些步骤时反复关闭或重新启动，请在打开防火墙之前断开与 Internet 的连接。 如果通过宽带连接连接到 Internet，请找到从外部 DSL 或电缆调制解调器运行的电缆，然后从调制解调器或电话插孔拔出该电缆。 如果使用拨号连接，请找到从计算机内的调制解调器到电话插孔运行的电话电缆，然后从电话插孔或计算机拔出该电缆。
   • 如果有多个计算机共享 Internet 连接，请仅在直接连接到 Internet 的计算机上使用防火墙。 不要在其他共享 Internet 连接的计算机上使用防火墙。
   • 使用防火墙不应影响电子邮件服务或 Web 浏览，但防火墙可以禁用某些 Internet 软件、服务或功能。 如果发生此行为，可能需要打开防火墙上的某些端口才能使某些 Internet 功能正常工作。 请参阅 Internet 服务附带的文档，该服务无法确定必须打开的端口。 请参阅防火墙附带的文档，以确定如何打开这些端口。
   • 这些步骤基于Microsoft知识库文章309798的修改摘录。

   Windows NT 4.0

   1. 在控制面板中，双击“网络”。
   2. 单击“协议”选项卡，单击“TCP/IP 协议”，然后单击“属性”。
   3. 单击“IP 地址”选项卡，然后单击“高级”。
   4. 单击以选中“ 启用安全性 ”复选框，然后单击“ 配置”。
   5. 在 TCP 端口、 UDP 端口和 IP 协议 列中，单击以选择 “仅 允许”设置。
   6. 单击“确定**”**，然后关闭“网络”工具。

2. 下载824146安全修补程序，然后将其安装在所有计算机上，以解决Microsoft安全公告 MS03-026 和 MS03-039 中标识的漏洞。

   824146安全修补程序取代了 823980 安全修补程序。 Microsoft建议安装824146安全修补程序，其中包括Microsoft安全公告 MS03-026（823980）中解决的问题修补程序。

3. 安装或更新防病毒签名软件，然后运行完整的系统扫描。

4. 从防病毒供应商下载并运行蠕虫删除工具。

有关参与Microsoft病毒信息联盟（VIA）的防病毒软件供应商的爆破虫的其他技术详细信息，请访问以下任何第三方网站：

• 网络关联
• Trend Micro
• Symantec
• 计算机关联

注意

如果不必使用 TCP 筛选，则可能需要在应用本文中所述的修补程序后禁用 TCP 筛选，并且已验证是否已成功删除蠕虫。

有关爆破虫已知变体的其他技术详细信息，请访问以下 Symantec 网站：

W32。Randex.E：Nstask32.exe、Winlogin.exe、Win32sockdrv.dll和Yyuetyutr.dll

Symantec 安全中心。

有关Microsoft病毒信息联盟的详细信息，请访问以下Microsoft网站：

Microsoft 安全响应中心。

有关如何从此蠕虫中恢复的其他信息，请联系防病毒供应商。

Microsoft 会提供第三方联系信息来帮助你查找技术支持。 此联系信息可能会更改，恕不另行通知。 Microsoft 不保证此第三方联系信息的准确性。

参考

有关此蠕虫Microsoft的最新信息，请访问Microsoft 安全智能获取资源和工具，确保电脑的安全和健康。 如果在安装更新本身时遇到问题，请访问 支持Microsoft更新 资源和工具，以使用最新更新来更新电脑。