W32.Downedup.B顽固病毒——查杀记:前因后果
Dec 20.2011
  这几天的我,埋头忙碌于处理这么一件事——近来被一个名为W32.Downedup.B顽固病毒折腾了一段时间,弄得新上线的电脑出现一些系统莫名其妙的死机、Symantec防病毒软件SEP不断地弹出病毒报告对话框,大大影响许多同事的工作,同时也给他们带来许多恐慌。
 
  
  其实一开始,我们面对这状况,不太重视,导致越来越的同事反映新电脑系统慢得惊人,而且经常死机。顶头上司IT主管和我才重视起来。
  后来,经过一些常规手段的处理和特殊方法的解决,才慢慢地将这个说大不大,说小不小的问题,给解决了。
  原来这是利用微软MS08-067漏洞传播的病毒,需要给系统打上MS08-067补丁,而这个MS08-067漏洞针对139、445端口的RPC服务进行攻击的漏洞,可以直接获取系统控制权,并可运行任意代码,如果利用漏洞的尝试失败,这还会导致Svchost.exe 的崩溃。
        从百度百科中可以了解到:
 
        安全漏洞 (security hole)
  受限制的计算机、组件、应用程序或其他联机资源的无意中留下的不受保护的入口点。漏洞是硬件软件或使用策略上的缺陷,他们会使计算机遭受病毒和黑客攻击。
 
  整个事情的前因后果,我觉得有必要记录一下,一方面方便自己理清思路,积累一点病毒查杀经验,提醒自己得重视病毒防护工作,另一方面也是为了给以后有需要帮助的人提供一点帮助——
      2011年底,我所在的公司,例行的——都是将一批旧电脑替换上一批新电脑,笔记本电脑是三年可申请换一次,而台式电脑则是五年换一次。
  这一次,总共来了八台Lenovo Thinkpad T420、一台Lenovo Thinkpad X220、两部台式电脑HP DC8000。
  其实,做的工作很简单,跟我之前写的那篇博文《三天混战“网工”生活》(http://2518492.blog.51cto.com/2508492/476823)描述的差不多,只要细心一些,都能配合许多同事顺利地用上新电脑。
  而这一回,我的具体工作却多了一些,也算是多了一些主导权吧。其中有一个原因则是我的顶头上司IT主管忙碌于公司新ERP系统SAP的一系列工作事务以及2012年工厂二期网络项目的预备工作。
  从而,将新电脑上线一些杂七杂八的事情,全部交付给我——
  记得去年已经有了一次大规模旧电脑换新电脑的工作经验了,总共换了12部台式电脑和三台笔记本电脑,前前后后忙碌了三天。
  因为有了一次经历,这一次的工作不算复杂,做起来,熟悉得很。
  1,事先作好两份Excel文档,方便整理信息,一份名为:《New Computer》,另一份名为:《Managing Computer》,其中详细记录新旧电脑的信息,如:用户中文名、英文名、型号、配置、序列号、日期、计算机名称、原固定资产编号、旧电脑处理情况、存放位置。
  2,在域控服务器上添加新计算机,填写详细的“描述(Description)”信息,如:用户英文名、固定资产编号、序列号、办公位置。
  3,在文档《PC Inventory》中详细记录新旧计算机的信息,需要注意的是,几项信息需要填写清楚,如:计算机名、型号、购入时间、固定资产编号、使用者。
  就这样,一边处理新旧电脑的替换工作,一边整理信息,以有利于以后的统一管理。
  新电脑上线了,本以为平平静静地工作了,没想到,问题却来了,只因这一个W32.Downedup.B顽固病毒。
  因为我们IT部门只有两个人,而我,作为IT主管的下属,其实有许多与公司里同事打交道的工作都是由我来负责和交流。
  这几天,好不安宁呀——
  病毒来了,同事怨声载道……“什么时候弄好我的系统呀”、“这个叫什么的病毒弄得系统经常死机”……
  病毒来了,上司紧急下令……“我们得认真对待这个事件”、“将处理好这个病毒的事件排到优先级第一的位置”……
  于是,我的病毒查杀历程开始了——
  一面,安抚好办公电脑出问题的同事:别担心!会有解决的办法的!利用Symantec防病毒软件查杀,无论是正常模式还是安全模式,通通尝试……
  另一面,则写邮件和IT主管Steven沟通,共同商量对策。
  昨天,我在51cto论坛“病毒查杀”板块中,发了一个贴子《困扰中——W32.Downedup.B顽固病毒~》(http://bbs.51cto.com/thread-904330-1.html),寻求帮助。
  昨晚,一位版主redhat9i ,汤师傅,应该是安全高手,指点了一下,字数虽不多,字字珠玑!十分感谢这位版主的指点!
  这是利用微软MS08-067漏洞传播的病毒,也被称为飞客或confker病毒,需要给系统打上MS08-067补丁,之前本版也有很多帖子说明,你搜索一下吧。
  第二天,我到公司上班,几台电脑的病毒查杀问题就解决了——
  我用两封邮件的内容来说明一下病毒查杀的结果:
 
  【一封给IT主管Steven的邮件】
主题为:W32.Downedup.B顽固病毒--解决措施
附件为:病毒清除工具
Steven,
这几天,我在不同的笔记本电脑采用不同的方式处理这个顽固病毒——
1,因为SEP总是弹出报告,采用该蠕虫病毒的专杀工具(W32.Downadup Removal Tool)清除了,过一段时间,系统里的防病毒软件弹出报告。我认真看了一下,报告的内容大多显示感染的位置是系统盘的临时文件或缓存文件。
2,再次在安全模式下用SEP扫描之后,重启电脑,还是会弹出报告。
最后,我针对这个问题,到微软帮助与支持(http://support.microsoft.com/kb/958644)网站、技术网站(http://tech.ccidnet.com/art/1099/20081027/1599951_1.html)有关病毒防护的网站搜索资料,
了解得知——W32.Downedup.B 顽固病毒
这是一个利用微软MS08-067漏洞传播的病毒,也被称为飞客或confker病毒,
如果成功利用该漏洞的远程攻击者,可能会利用此问题危及基于Microsoft Windows系统的安全,并获取对该系统的控制权。
如果利用漏洞的尝试失败,这还会导致Svchost.exe 的崩溃。
该安全漏洞可能允许远程执行代码,如果受影响的系统收到了特制伪造的RPC请求。在Microsoft Windows 2000、Windows XP和Windows Server 2003系统,攻击者可以利用此漏洞无需通过认证运行任意代码。
这个漏洞还可能被蠕虫利用,此安全漏洞可以通过恶意构造的网络包直接发起攻击,并且攻击者可以获取完整权限,因此该漏洞很可能会被用于制作蠕虫以进行大规模的攻击。
最后,针对处理这个W32.Downedup.B顽固病毒采取的解决方案——
1,需要给新上线的笔记本T420的系统安装一个MS08-067安全补丁(我已经下载一个英文版OS版本的补丁)
2,采用该蠕虫病毒的专杀工具(W32.Downadup Removal Tool
3,在安全模式用Symantec防病毒软件进行全盘扫描,彻底清除该病毒。
综上所述,采取措施之后,龙岗工厂部分电脑,已经没有病毒报告显示在系统里了。
过一段时间,再看一看系统的运行状况,是否运行正常?是否得到彻底解决?还有没有死机的现象?
静观其变,再商对策。
 
   【IT主管Steven回复的邮件】
 

Andy,
 
你有了很大的进步~~~
 

 
   【一封给诸同事的邮件】
主题:W32.Downedup.B顽固病毒--解决方法
Dear all,
  近来,新上线的一些电脑,其中包括:HP台式电脑、Lenovo T420笔记本电脑,部分电脑有可能感染了一种病毒,名为:W32.Downedup.B的蠕虫病毒。
  由于Symantec防病毒软件总是弹出病毒报告,给你们的工作带来许多不便之处,我们IS部门没有及时解决,敬请谅解。
  如果你现在用的新电脑,系统中运行的Symantec防病毒软件有弹出相关的病毒报告或者系统运行状况不正常的,请及时联系我。
  为了消除这个安全隐患,让操作系统更加良好地运行,方便你们的工作。
  我们会对已经感染的或潜在感染W32.Downedup.B顽固病毒的电脑,采取一些应对措施——
 
1,先简单介绍一下
W32.Downedup.B 顽固病毒
这是一个利用微软MS08-067安全漏洞传播的病毒,也被称为飞客或confker病毒,
该安全漏洞可能允许远程执行代码,如果受影响的系统收到了特制伪造的RPC请求。在Microsoft Windows 2000Windows XPWindows Server 2003系统,攻击者可以利用此漏洞无需通过认证运行任意代码。
这个漏洞还可能被蠕虫利用(有可能涉及到这个W32.Downedup.B顽固病毒),此安全漏洞可以通过恶意构造的网络包直接发起攻击,并且攻击者可以获取完整权限,因此该漏洞很可能会被用于制作蠕虫以进行大规模的攻击。
2,我们IS部门将采取的解决措施
针对处理这个W32.Downedup.B顽固病毒采取的解决方案——
1,需要给新上线的电脑的系统安装一个MS08-067安全补丁(我已经下载一个英文版OS版本的补丁)
2,采用该蠕虫病毒的专杀工具(W32.Downadup Removal Tool)查杀病毒
3,在安全模式用Symantec防病毒软件进行全盘扫描,彻底清除该病毒。
 
针对部分感染的电脑,采取这些措施之后,龙岗工厂部分电脑,已经没有病毒报告显示在系统里了。
过一段时间,再看一看系统的运行状况,是否运行正常?是否得到彻底解决?还有没有死机的现象?
静观其变,再商对策。
有什么IT问题,需要帮忙的,请及时联系我。
 
 
     【其中一位同事Julia回复的邮件】
 

病毒的克星――IS。。。
我还认为是我的人品有问题呢?怎么什么电脑到我手里都死机,终于清白啦!