关于今天湖南无盘系统全面崩溃!全面分析!

关于今天湖南无盘系统全面崩溃!全面分析!
所谓的今天湖南无盘系统全面崩溃!
是因为QQ病毒爱情森林 引起的
瑞星全球病毒监控中心截获了一个传染能力极强的恶性QQ病毒DD“爱情森林”(trojan.sckiss)。据瑞星公司的反病毒工程师介绍,此病毒会利用QQ软件,诱惑用户打开一恶意网页,而该网页会自动下载病毒并修改注册表。

“爱情森林”病毒的制作者利用QQ聊天机制,向用户发送http://sckiss.yeah.net这个你去看看!很好看”的信息。如果用户收到此信息,并点击该链接,则会进入一个包含恶
性攻击代码的恶意网页,此时病毒将会被自动下载并发作。同时,病毒还会利用用户的QQ好友名单,继续向外扩散。

该恶意网页用JS脚本语言编写,利用了JAVA EXPLOIT漏洞,所以不经用户的允许,便可以悄悄自动下载“爱情森林”病毒并执行。而后此恶意网页会修改用户注册表以进行破坏,并将用户的IE标题和IE默认首页改为:sckiss.yeah.net爱情森林。同时使用户的“运行”菜单项无法使用,并将这个网址也加入注册表中的RUN自启动项。

目前,网络上使用QQ软件的注册人数已经超过1个亿,而从今年病毒的发作情况来看,已经有将近100种QQ类型的病毒出现。由此可以看出,利用QQ这类通讯工具来进行传播的病毒,已经逐渐成为新病毒的流行趋势。

据瑞星公司的近日统计,截止到下午2:00,瑞星技术服务部门已经接到求援电话100余个,该病毒的传播范围还极有可能进一步扩大。

据悉,瑞星杀毒软件公司将于23日晚进行紧急升级,请广大瑞星用户尽快升级到14.23.01版本查杀“爱情森林”病毒。同时,瑞星反病毒小组也在密切关注给病毒的进一步发展动态。

“爱情森林”病毒分析

于2002年8月23日上午开始通过QQ聊天程序快速扩散的QQ恶性木马病毒―爱情森林(Trojan.Sckiss)被瑞星公司率先查杀。

病毒基本资料:

病毒名:Trojan.Sckiss

病毒长度:176,643字节

病毒原名:HACK.EXE

原始病毒邮件名:s.eml

此病毒用UPX软件进行压缩,压缩后大小接近200K,是一个异常庞大的病毒。而且此病毒利用了多种方式进行传播:本机感染,QQ诱骗、网页帮凶,所以有极强的传播能力,请用户密切注意此病毒的最新动向。

经瑞星反病毒专家分析,此病毒有以下特性:

一、利用邮件包装,形成自启动邮件。

病毒的原始文件是一个名为HACK.EXE的木马病毒,病毒作者为了能使病毒“初战告捷”,迅速占领用户计算机,利用了OUTLOOK的邮件漏洞,将原始病毒包装成一个可以预览执行的病毒邮件:s.eml,然后放入一个恶意网页中,等待下载。

二、利用QQ工具,发送伪装信息。

如果用户不小心点击或预览了病毒邮件,病毒便可执行。病毒执行时会搜索用户的QQ程序,如果用户在线的话,病毒会伪装成用户,给用户的所有在线的好友发送一条用户无法查觉的隐藏信息,此信息的内容为:http://sckiss.yeah.net这个你去看看!很好看的”如果用户的好友在收到了此信息后,因为好奇而点击了此链接,则会进入一个恶意网页。

三、利用恶意网页帮凶,导致病毒泛滥.

该恶意网页用JS语言编写,利用了JAVA EXPLOIT漏洞,所以不经用户的允许,便可以悄悄运行自动下载“爱情森林”病毒邮件(s.eml)并执行。然后此恶意网页会修改用户注册表进行破坏:将用户的IE标题改为:“sckiss.yeah.net/爱情森林”,使用户的“运行”菜单项无法使用,并且将用户的IE默认首页改为:“sckiss.yeah.net/”,此恶意网页还将此网址加入注册表中的RUN自启动项。这样以来,无论用户启动计算机还是启动IE浏览器,都可以自动链接到恶意网页,感染病毒。

四、侵占系统目录,继续“生生不息”。

“爱情森林”病毒通过QQ发送信息之后,便开始进行本机的感染。病毒首先改名为:“EXPLORER.EXE”,然后将之拷贝到WINDOWS的系统目录(SYSTEM或SYSTEM32)下,这样用户即使发现也不会起疑心,然后病毒修改注册表,在RUN的自启动项中建立一个EXPLORER的键值,将病毒路径加入其中,一旦计算机重启,病毒便可自动运行,再次进行以上感染。

MZ的主页说错了两点,一不是外挂而是病毒;二EXPLORER.EXE应是C盘上的EXPLORER.EXE有问题。还有,那两个补丁只是一个批处理TOexe的文件(SRV。EXE)和INI文件,不可能给你带来什么病毒!
对于后门说法,是无稽之谈,最少,我手上的系统肯定没后门!如是后门,那有盘站也出现这个问题,你怎么解释?对于IPC$后门,我看你们应该找MS。不过也不奇怪,人家湖南无盘做大了,难免会有人借机中伤的!

我是菜鸟,我也说两句,你怎么能肯定自己的系统没有后门呀!!!其它的我不想多问。

“原因:此文件不存在或已被系统删除!
网易X空间隆重推出,更多精彩,更多个性,尽在diy.163.com

看完此文后,又在有盘机上看了一次(早在几天前已经看过8月22日中午),出现的内容已经是上面引号里的字了,并不是原来的网站,估计被网易关了。但并没有出现所说的被改注册表的现象,不知道是什么原因了。

我的解决方法就是将病毒文件删了。他有两个文件,在SYSTEM或SYSTEM32下。其图标是XP样式的图标,有点象蝴蝶。把他删了就OK了。(在W2K下验证通过)

有盘上也有这样的现象?
我这里的一个混合网中有盘机器怎么没有问题而无盘就挂了?

有盘上也有这样的现象?
我这里的一个混合网中有盘机器怎么没有问题而无盘就挂了? [/B]
[/QUOTE]

按你的说法,应该是所有的无盘出问题,但不是。我只是说也有几个有盘网出问题,但不是所有的有盘网出问题/!

上面的人,你们说的不全对!
至少我们这里就没有一家无盘服务器崩溃!
你们说的 爱情森林 我们这里无盘系统中的很多。
基本上都中了呀,但是用了从建就OK了,服务器一点影响都没有
我只想说,现在的明智跟SPL出来的系统是没放木马的。
也没有留后门,安全行SPL是最好的!
倒是有的非法代理,给人家的系统是他们自己改过的。

到斯普林去下补丁就可以了
斯普林的网址是:http://www.hnspring.com
其中第一补丁是用于明智盘的,第二个补丁是用于斯普林盘的.