標籤: 暫無標籤

W32.Esbot.A,是一種通過利用Microsoft Windows即插即用緩衝區溢出漏洞進行傳播的蠕蟲(在 Microsoft Security Bulletin MS05-039 中有所描述)。受感染的系統為Windows 2000。

1W32.Esbot.A

更新日期
2007年 2月 13日 12:41:29 PM

2基本信息

類型
Worm
病毒定義
* 病毒定義(每周 LiveUpdate™) 2005 年 8 月 15 日
* 病毒定義(智能更新程序) 2005 年 8 月 15 日
損壞
* 損壞級別: Medium
* 有效負載: Opens a back door that allows a remote attacker to have unauthorized access to the compromised computer.
* 導致系統不穩定: Stopping or disabling the Mouse Button Monitor service results in system instability.
執行操作
W32.Esbot.A 蠕蟲在運行時會執行下列操作:
1. 創建互斥體 "mousebm" 以便僅有蠕蟲的一個副本可在受感染的計算機中運行。
2. 將自身複製為 %System%\mousebm.exe 並將自己作為服務運行:
服務名稱: mousebm
顯示名: 滑鼠鍵監控
說明: 禁用計算機以同步維護 PS/2 點設備。停止或禁用該服務將導致系統不穩定。
可執行的路徑: %System%\mousebm.exe
注意: %System% 是一個變數,它表示 System 文件夾。默認情況下,此文件夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、或 C:\Windows\System32 (Windows XP)。
3. 將自身植入 explorer.exe。
4. 修改該值:
"EnableDCOM" = "N"
在下列註冊表子項中:
HKEY_LOCAL_MACHINE\Software\Microsoft\Ole
禁用 DCOM。
5. 將值:
"restrictanonymous" = "1"
添加到註冊表子項:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
以限制對網路共享的匿名訪問。
6. 創建下列只讀文件:
%Windir%\debug\dcpromo.log
注意: %Windir% 是指向 Windows 安裝文件夾的變數。默認情況下,是 C:\Windows 或 C:\Winnt。
7. 通過 TCP 埠 30722 連接以下 IRC 伺服器之一以監聽 IRC 命令:
* esxt.is-a-fag.net
* esxt.legi0n.net
8. IRC 命令使攻擊者可以執行以下操作:
* 下載並執行文件
* 列出、停止以及啟動進程和線程
* 啟動拒絕服務 (DoS) 攻擊
* 查找本地硬碟中的文件
* 掃描計算機並嘗試利用 Microsoft Windows 即插即用緩衝區溢出漏洞(在 Microsoft Security Bulletin MS05-039 中有所描述)。如果成功,則該蠕蟲可發送外殼代碼至遠程計算機。
防護
以下指導適用於所有最新和最近的 Symantec 防病毒產品(包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品)。
1. 禁用系統還原 (Windows Me/XP)。
2. 更新病毒定義。
3. 如果有,則終止蠕蟲服務。
4. 終止蠕蟲進程或重新啟動計算機。
5. 運行完整的系統掃描,並刪除所有已檢測的文件。
6. 刪除添加到註冊表的任何值。
有關每個步驟的詳細信息,請參閱以下說明。
1. 禁用系統還原 (Windows Me/XP)
如果正在運行 Windows Me 或 Windows XP,建議您暫時關閉系統還原功能。默認情況下啟用此功能,一旦計算機中的文件被破壞,Windows Me/XP 可使用此功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機,則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程序在內的外部程序修改系統還原。因此,防病毒程序或工具無法清除 System Restore 文件夾中的威脅。這樣,系統還原就可能將受感染文件還原到計算機上,即使您已經清除了所有其他位置的受感染文件。
此外,病毒掃描也可能在 System Restore 文件夾中檢測到威脅,即使您已清除此威脅。
有關如何關閉系統還原功能的指導,請參閱 Windows 文檔或下列文章之一:
* "如何禁用或啟用 Windows Me 系統還原
* "如何關閉或打開 Windows XP 系統還原」
注意:當您完全完成殺毒步驟,並確定威脅已清除后,按照上述文檔中的指導重新啟用系統還原。
有關其它信息,以及禁用 Windows Me 系統還原的其它方法,請參閱 Microsoft 知識庫文章:Antivirus Tools Cannot Clean Infected Files in the _Restore Folder(文章 ID:Q263455)。
2. 更新病毒定義
Symantec 安全響應中心在我們的伺服器上發布任何病毒定義之前,會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義:
* 運行 LiveUpdate,這是獲得病毒定義最簡便的方法:如果未出現重大的病毒爆發情況,這些病毒定義會在 LiveUpdate 伺服器上每周發布一次(一般為星期三)。要確定是否可通過 LiveUpdate 獲得用於此威脅的定義,請參閱病毒定義 (LiveUpdate)。
* 使用「智能更新程序」下載病毒定義:智能更新程序病毒定義每天發布一次。您應當從 Symantec 安全響應中心網站下載定義並手動安裝它們。要確定是否可通過智能更新程序獲得用於此威脅的定義,請參閱病毒定義(智能更新程序)。
可由此處獲得最新的智能更新程序病毒定義:智能更新程序病毒定義。有關詳細說明,請參閱文檔:如何使用智能更新程序更新病毒定義文件。
3. 終止蠕蟲服務
1. 單擊「開始」>「運行」。
2. 鍵入 services.msc
3. 單擊「確定」。
4. 找到「滑鼠鍵監控」服務,用滑鼠右鍵單擊它,然後選擇「屬性」。
5. 將「啟動類別」更改為「已禁用」,然後單擊「確定」
6. 退出服務管理控制台。
4. 終止蠕蟲進程或重新引導計算機。
5. 掃描和刪除受感染文件
1. 啟動 Symantec 防病毒程序,並確保已將其配置為掃描所有文件。
* 對於 Norton AntiVirus 單機版產品:請參閱文檔:如何配置 Norton AntiVirus 以掃描所有文件。
* 對於 Symantec AntiVirus 企業版產品:請參閱文檔: 如何確定 Symantec 企業版防病毒產品被設置為掃描所有文件。
2. 運行完整的系統掃描。
3. 如果檢測到任何文件,請單擊「刪除」。
要點: 如果無法啟動 Symantec 防病毒產品或該產品報告其無法刪除檢測到的文件,則需要消除危險停止運行以便將其刪除。要完成此操作,請在安全模式下運行掃描。有關說明,請參閱文檔: 如何以安全模式啟動計算機。以安全模式重新啟動后,再次運行掃描。
刪除文件后,以正常模式重新啟動計算機,然後繼續執行下一部分。
計算機重新啟動時可能會顯示警告消息,因為此時可能尚未完全清除威脅。可以忽略這些消息並單擊「確定」。徹底完成清除操作之後,再重新啟動計算機時不會出現這些消息。所顯示消息可能會類似於以下所示:
標題: [文件路徑]
消息正文: Windows 無法找到 [文件名]。請確保鍵入了正確的名稱,然後重試。要搜索文件,請單擊「開始」按鈕,然後單擊「搜索」。
6. 從註冊表刪除值
要點: Symantec 強烈建議在更改註冊表之前先進行備份。錯誤地更改註冊表可能導致數據永久丟失或文件損壞。應只修改指定的子鍵。有關說明,請參閱文檔:如何備份 Windows 註冊表。
1. 單擊「開始」>「運行」。
2. 鍵入 regedit
3. 單擊「確定」。
注意: 如果無法打開註冊表編輯器,則威脅可能已經修改了註冊表以防止進入註冊表編輯器。Security 安全響應中心已開發了一種工具以解決此問題。下載並運行此工具,然後繼續殺毒。
4. 導航到下列子項:
HKEY_LOCAL_MACHINE\Software\Microsoft\OLE
5. 在右窗格中,重設該值:
"EnableDCOM" = "N"
6. 導航到下列子項:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
7. 在右窗格中,重設該值:
"restrictanonymous" = "1"
8. 退出註冊表編輯器。
描述者: Yana Liu

相關評論

同義詞:暫無同義詞