安全公告CN-SA04-23
发布日期：2004-5-12
安全等级：![]()
/upload/p1_23xs25.jpg
公开程度：公共
5月11日早上，CNCERT/CC注意到一种新蠕虫出现，它利用微软的LSASS漏洞进行传播，并清除“震荡波”和“冲击波”蠕虫。目前这种蠕虫正在互联网中蔓延，我国普遍称之为“震荡波清除者（Worm.Cycle.A）”和“震荡波杀手”。CNCERT/CC对该蠕虫及时地作了分析和监测，发现该蠕虫利用的端口69和3332均有流量。
和其他蠕虫一样，此蠕虫也会造成网络堵塞和系统异常重启，传播感染速度也可能会非常快，CNCERT/CC提醒广大网络用户及时采取措施。
另外，该蠕虫会在系统时间为5月18日时，对BBCNEWS.COM和IRNA.COM进行拒绝服务攻击。
CNCERT/CC将继续密切关注该蠕虫的发展，及时发布有关信息。
分析：
蠕虫感染系统后会做以下操作：
1. 创建下列文档
* %Windir%cyclone.txt
* %Windir%systemsvchost.exe (一个蠕虫的副本)
注意: %Windir% 是一个变量,默认是C:Windows或者C:Winnt。
2. 停止下列进程:
* msblast.exe
* avserve.exe
* avserve2.exe
* skynetave.exe
3. 创建下列互斥体（即该蠕虫对如下病毒有免疫能力）:
* SkynetSasserVersionWithPingFast
* Jobaka3l
* JumpallsNlsTillt
* Jobaka3
4. 如果系统时间为5月18日，它将DoS攻击www.irna.com 和www.bbcnews.com。
5. 在端口TCP/3332开启后门服务。蠕虫通过此端口接受连接，这个端口开放标志着主机已被感染。
6. 在端口UDP/69上运行一个TFTP服务器，发送蠕虫副本到被感染的主机。
7. 蠕虫对外连接随机产生主机的TCP/445端口，去感染其他的主机。
作为感染机制的一部分，蠕虫试图连接到远程电脑的TCP/3332端口来判断其主机是否已被感染。如果连接建立，它将认为该电脑已经被感染并且终止传染。
8. 运行一个远程的shell，其用来从UDP/69端口的TFTP服务器下载蠕虫副本。这样要求一个在运行远程shell的电脑中名为tftp路径的TFTP客户端。下载的文件名称为cyclone.exe。
9. 当下载的文件运行时，可能会修改下面的值：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun"Generic Host Service"="%windir%systemsvchost.exe"和
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun"Generic Host Service"="%windir%systemsvchost.exe"
受影响的平台：
Microsoft Windows 2000;
Microsoft Windows XP;
Microsoft Windows Server 2003;
Microsoft Windows NT 4.0
解决方案：
个人用户：
1.安装相应的补丁程序
2.如果无法及时安装补丁程序，请使用防火墙阻断以下端口的数据连接135/tcp、139/tcp、445/tcp、1025/tcp、5554/tcp、9996/tcp、1023/tcp、1022/tcp、3332/tcp、69/udp。
网络用户：
（以Cisco设备为例）
在边界路由器上添加如下规则阻断445、9996、5554、1023、1022、3332、69端口上的数据
access-list 110 deny tcp any any eq 445
access-list 110 deny tcp any any eq 9996
access-list 110 deny tcp any any eq 5554
access-list 110 deny tcp any any eq 1023
access-list 110 deny tcp any any eq 1022
access-list 110 deny tcp any any eq 3332
access-list 110 deny udp any any eq 69
注意使用此规则后，可能会影响到Microsoft-DS服务、MCS Mail Server服务、Tftp服务的正常运行。
使用专杀工具清除方法：
1.下载专杀工具
2.关闭其他应用程序运行专杀工具
手动清除：
（1）打开注册表编辑器，删除如下键值
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun"Generic Host Service"="%windir%systemsvchost.exe"和
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun"Generic Host Service"="%windir%systemsvchost.exe"
（2）打开任务管理器查看是否存在进程名为: svchost.exe（文件为%WINDIR%systemsvchost.exe）终止它
（3）将%WINDIR%system目录下的文件：svchost.exe删除
注意: %Windir% 是一个变量. 这个蠕虫位于Windows安装文件夹中( 作为默认,是C:Windows或者C:Winnt)并拷贝他们到这些文件夹中。
补丁下载：
http://www.microsoft.com/china/technet/security/bulletin/ms04-011.mspx
参考信息：
http://www.cert.org.cn/articles/bulletin/common/2004041421585.shtml
http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx
相关公告：
安全公告CN-SA04-21A
安全公告CN-SA04-21B
安全公告CN-SA04-21C
安全公告CN-SA04-21D
安全公告CN-SA04-21E
安全公告CN-SA04-21F
安全公告CN-SA04-21G
安全公告CN-SA04-21H
安全公告CN-SA04-21I
安全公告CN-SA04-21J
其他信息:
CVE编号： CAN-2003-0533
首次发布日期：2004-5-12
修订次数：0
安全公告文档编写:
CNCERT/CC
-----------------------------------------------------------------------------------
CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。
在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心：http://www.cert.org.cn/servlet/Incident
同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。
如果您发现本公告存在任何问题，请与我们联系：cncert@cert.org.cn
