通知公告

红色蠕虫病毒的预防检查及系统恢复方法

发布时间:2001-08-08浏览次数:1454


  对于可能受红色蠕虫病毒感染的计算机系统,包括安装有IIS 4.0或者IIS 5.0的Microsoft Windows NT 4.0和Windows 2000的主机,需要采取以下措施进行病毒预防和病毒感染处理。

一、立即采取以下两种安全防范措施之一,预防红色蠕虫病毒感染。
  方法1:从微软的网站下载打补丁软件,地址为:
     http://www.microsoft.com/technet/security/bulletin/MS01-033.asp
     或者从CCERT的网站下载打补丁软件,地址为:
     对Windows NT:
     ftp://ftp.ccert.edu.cn/pub/CHSQ300972i.exe
     对Win2000:
     ftp://ftp.ccert.edu.cn/pub/Q300972_W2k_SP3_x86_cn.exe
  方法2:把%windowsdir%\system32中的idq.dll做备份,然后删除。

二、通过主机的系统日志检察系统是否已被感染红色蠕虫病毒。
  在目录C:\winnt\system32\logfiles\w3svc1下的文件中,如果发现含有以下内容的文件,则说明主机已经感染红色蠕虫病毒。
"GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u68
58%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%
u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0"

三、对于已经感染病毒的主机,按以下步骤消除病毒:
  (1) 将该机器从网络上断开,以避免重复感染和感染其它机器。
  (2) 立即停止IIS服务。打开控制面板,打开"服务",点击World Wide Web Publishing Service. 选择"已禁用"。
  (3) 重新启动机器,运行cmd,在cmd窗口中运行以下命令(或下载批处理文件ftp://ftp.ccert.edu.cn/pub/clean.bat),以删除蠕虫病毒留下的后门。
    C:
    CD C:\
    ATTRIB -h -s -r explorer.exe
    Del explorer.exe
    Del C:\inetpub\scripts\root.exe
    Del C:\progra~1\Common~1\System\MSADC\Root.exe
    D:
    CD D:\
    Attrib -h -s -r explorer.exe
    Del explorer.exe
    Del D:\inetpub\scripts\root.exe
    Del D:\progra~1\Common~1\System\MSADC\Root.exe
    忽略其中任何错误。
(4) 修改被蠕虫改动过的注册表:
  运行regedit
  选择:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
    Services\W3SVC\Parameters\Virtual Roots
      选择/C,选择删除;选择/D, 选择删除。
      选择:/MSADC,将217换为201。
      选择:/scripts,将271换为201。
  对于Windows 2000系统,需要打开:
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon
  将SFCDisable改为0。
(5) 重新启动机器。