病毒别名:W32/Sasser.worm [Mcafee]
处理时间:2004-05-01
威胁级别:★★★
中文名称:震荡波
病毒类型:蠕虫
影响系统:WinNT/Win2000/WinXP/Win2003
病毒行为:
编写工具:
传染条件:
发作条件:
系统修改:
A、在注册表主键:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
下添加如下键值:
"avserve.exe" = %SystemRoot%avserve.exe
B、拷贝其本身至系统目录:
%System%<5位随机数字>_up.exe
C、在C盘根目录创建以下文件:
C:win.log(该文件用以记录本地主机的IP地址)
发作现象:
A、该病毒会监听以1068起始的TCP端口,同时扫描随机的IP地址;
B、它还会开启TCP端口5554来建立一个FTP服务器;
C、由于该病毒本身编写的漏洞存在,它运行一段时间后会导致LSASS.EXE的崩溃,当LSASS.EXE崩溃时系统默认会重启。
以下是LSASS.EXE崩溃时可能回弹出的窗口:;
特别说明:
和最近出现的大部分蠕虫病毒不同,该病毒并不通过邮件传播,而是通过命令易受感染的机器下载特定文件并运行,来达到感染的目的。
文件名为:avserve.exe