[轉錄]W32.Blaster.Worm，電腦 60 秒重開機

[holydc (ワルキューレ)]

※ [本文轉錄自 holydc 信箱]

作者: [e-mail]
標題: W32.Blaster.Worm，電腦 60 秒重開機
時間: Wed Dec  1 02:14:02 2004

作者: yorkli (rookie) 看板: Chat
標題: [轉貼][解除病毒] 重要!! 請大家盡快裝 Patch !! (新版)
時間: Tue Aug 12 09:47:50 2003

 作者  [e-mail] (Hook Club INC.),         看板  nctu        
 標題  [解除病毒] 重要!! 請大家盡快裝 Patch !! (新版)                         
 時間  小鹿鹿 BBS (Tue Aug 12 09:09:17 2003)                                  
 路徑  maple!news.cs.nthu!news.csie.ncyu!ctu-peer!ctu-reader!news.nctu!abpe.or
───────────────────────────────────────

Origin: news.math.nctu.edu.tw

目前已經有 DCOM RPC 的漏洞被不肖分子所利用, 撰寫出分散式攻擊的程式,

被攻擊的電腦將常駐一個軟體, 不但開啟後門並且自動持續攻擊其他台電腦!!

目前 Symantec 公司已經將其命名為 W32.Blaster.Worm，美國的網站資料已經

更新，但台灣的網站還沒有。

網址在:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html

該蠕蟲作者有計畫地將中毒的電腦於 8/15 開始，持續攻擊 windowsupdate.com 網站。

已經確定全系列的 NT-Based 系統皆受影響.


Windows 2000 從 SP0, SP1, SP2, SP3, SP4 全部受影響.
Windows XP 從 SP0, SP1 全部受影響.
Microsoft Windows NTR 4.0
Microsoft Windows NT 4.0 Terminal Services Edition
Microsoft Windows Server? 2003

========================================================================
!! 怎樣確定自己的電腦已經中毒 ?

* 如果你的電腦動不動就跟你說要重新開機 (60 秒)

* 或是:

   [開始]->執行->Taskmgr.exe [ENTER] 後, 看一下有沒有 MSBLAST.EXE 這個

   程式正在運作, 如果有, 也表示你已經中毒!

!! 中毒解毒程序: (確定這樣的解法沒有問題)

0 . 開始->執行->CMD.EXE [ENTER] (開啟Command line 視窗)

    若系統跟你說要重新開機了, 請輸入shutdown -a [enter] 取消重新開機指令.

1 . 刪除 MSBLAST.EXE 這個 Process (直接在上面按右鍵, 選結束處理程序即可)

2 . 到微軟官方網站抓 DCOM RPC 的漏洞 Patch, 先存到硬碟去.

    微軟官方網站:
    http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

    我已經 Mirror 一份到 http://w3.cis92.net/rpc/ 下面.
    (在交大裡面, 只有 W2K 和 XP)

    w2k 裡面的 CHT 表示中文版本, EN 表示英文版本

    xp 也是一樣的.

3 . 拔掉網路線

4 . 用檔案總管, 到 Windows\System32 這個目錄下面找到 MSBLAST.EXE,

    按右鍵選內容將唯讀取消掉, 然後把這個程式幹掉.

5 . 開始->執行->regedit.exe , 並且到:

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面

    將右邊的 "windows auto update" 這個鍵值直接砍掉, 砍掉後關閉登陸編輯程式.

6 . 執行你剛剛所抓下來的 Patch

7 . 重新開機

8 . 接上網路線, 大功告成.

有問題請直說沒有關係 :)

ps. 別忘了，若您的電腦沒有中毒，也請盡快灌 Patch :)

by Chen Chun-han @ CIS92.
===
    from nctu_talk
--
有錢又喜歡就buy
喜歡但沒錢就敗
沒錢又不喜歡就bye
喜歡且希望有錢那就拜
--
※ Origin: 巴哈姆特<bbs.gamer.com.tw> ◆ From: Bme_186.che.nthu.edu.tw
作者: icetofu0510 (米漿太郎) 看板: S_O_S
標題: Re: [轉貼][解除病毒] 重要!! 請大家盡快裝 Patch !! (新版)
時間: Tue Aug 12 14:42:33 2003

※ 引述《kim99999kimo (風雷狂妖)》之銘言：
> ※ 引述《ElandLin (極地)》之銘言：
> > 重開機再刪試試...
> > 
> 我也一樣
> msblist.exe我刪除不了~怎麼半
> 
1.請先CTRL+ALT+DEL
2.出現[Windows工作管理員]
3.選擇[處理程序]
4.在[影像名稱]列找尋msblist.exe
5.選取它(點它1下)，按右下角的[結束處理程序]按鈕
6.關閉[Windows工作管理員]
7.到windows/system32下找尋msblist.exe
8.選取它然後按右鍵選取內容
9.把[唯讀][保存]取消然後套用確定
10.把msblist.exe刪掉清理資源回收筒
以上是小弟的做法，應該寫的很詳細了，我用這方法可以確實刪除，你可以試試
看。
然後感謝提供解決方法的人，感謝你。

--
※ Origin: 巴哈姆特<www.gamer.com.tw> ◆ From: 61.230.91.164

> -------------------------------------------------------------------------- <

作者: wini (外星駭客) 看板: S_O_S
標題: [msblast.exe]病毒免疫法 for XP
時間: Tue Aug 12 15:15:17 2003

1.你現在已連線了，請盡快開一新文字檔，複製貼上眼前這篇文章的內容。
2.重開機
3.再連線，把這下載到桌面：

http://w3.cis92.net/rpc/xp/WindowsXP-KB823980-x86-CHT.exe

4.「拔掉」連線用的電話線或電纜線
5. Ctrl + Alt + Del ； 「處理程序」→使用者名稱（找你的名字）
　→結束 msblast.exe 的處理程序。（若無請跳至9.）
6.若叫你重開機的訊息出現，則「開始→執行→ cmd → shutdown -a」←其實不必管
7.重開機重做5.，開任一資料夾，網址列貼上「C:\WINDOWS\system32」，
　按瀏覽器上的「搜尋」，找「msblast」，找到的全砍了。（內容的唯讀屬性消掉）
8.「開始→執行→ regedit 」，按 F3 ，搜尋「msblast」的「值」，
　把找到的全砍了。（要找下一筆就按 F3 ）
9.執行剛剛下載下來的程式，然後你就免疫了？？？（可能有所遺漏，煩請補充。）
--
※ 修改: 2003/8/12 15:16:14 [61-216-174-146.HINET-IP.hinet.n]

> -------------------------------------------------------------------------- <



--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 140.113.122.108
→ holydc:看看吧
推 pachin:不愧是資工王！
推 hsnujack:愧是資工王！
推 arcred:不愧是資工王！
推 flutist1008::愧是資工王！
→ flutist1008:完全算錯  我以為我是flutist  >.<
推 Egriawei:腐哥果然厲害!
推 holydc:這又不是我寫的....
推 TimJones:謝啦資工王