我国出现一个新型 蠕虫“魔波”（Worm_Mocbot.A）

江南有雪

国家计算机病毒应及处理中心通过对互联网的监测发现“魔波”蠕虫（Worm_Mocbot.A）。它可以利用微软公司在8月8日刚刚发布的MS06-040安全公告公布的缓冲区漏洞进行传播。
3 r7 z3 t0 e0 J! e/ b7 ~
+ R# p0 d  m* e) x   以下为该蠕虫的详细情况：
, N4 X" Z8 @* [8 p# J0 d
0 {; X8 X3 z$ _* J8 F" S8 _5 Q   病毒名称：“魔波”（Worm_Mocbot.A）
   病毒类型：蠕虫
" c: L2 ~. w7 ?" e   其它命名：Worm.IRC.WargBot.a（金山）
5 |! d( K2 m, f- w) d( v9 C            Worm.Mocbot.a（瑞星）
0 @9 g7 I2 V2 v            Backdoor/Mocbot.b（江民）
            WORM_IRCBOT.JL（趋势）
' d5 o: M; U( C3 A5 k8 Q  `  S            Backdoor.Win32.IRCBot.st (Kaspersky)
% R: ~2 F3 @2 O4 g            W32.Wargbot (Symantec)
5 i9 t( ^8 D# n            W32/Cuebot-L (Sophos)
            IRC-Mocbot!MS06-040(McAfee)
" k/ _: l9 I5 ^% X) [: P   感染系统：Windows NT/2000/XP

; j3 X8 u5 u" O/ u   病毒介绍：

, p( U; \! \/ y: Q   该蠕虫可以通过系统存在的漏洞在计算机用户不知情的情况下主动进行传播，一旦感染该蠕虫有可能会被恶意攻击者远程控制，会影响到系统中一些服务的正常运行，有可能会导致网络连接的中断，甚至可能会造成计算机系统中一些进程崩溃。
! y# `, d/ g7 A
   1、生成病毒文件
# Q! f2 N5 {: g3 }
: E) {; C1 Z  w0 ?2 p   计算机用户一旦受到该蠕虫的感染，会在系统目录%System％下生成自身的拷贝，名称为wgareg.exe。
（其中，%System％在Windows NT/2000下为C:\Winnt\System32，在Windows XP下为 C:\Windows\System32）
. |# S6 p+ P/ T; N
& o( G8 q8 e. z   2、修改注册表
! N: Y7 ]1 d$ u. i5 S4 [. b
   蠕虫添加注册表项，使得自身能够在系统启动时自动运行，在
5 O5 |! N1 e, Q  \. p' KHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wgareg 下添加wgareg.exe = "%System%\wgareg.exe"，
   
   从而添加服务Windows Genuine Advantage Registration Service，其服务进程为wgareg.exe。
" A) t: |% [: [7 `& Z5 q+ M! Z
   3、利用漏洞进行传播
1 z" Y" G9 N* J
& {  w3 s: `" O0 p: t   蠕虫利用微软发布的MS06-040号安全公告公布的安全漏洞，通过TCP端口445进行传播。如果蠕虫感染计算机系统，那么该系统会在互联网上通过目的端的TCP端口445进行扫描，一旦发现存在MS06-040公布的缓冲区漏洞，病毒代码可以在远程计算机获得运行，感染计算机系统，进而达到传播的目的。
: _' t, t6 F+ t! L( Y
   4、进行恶意攻击
, B* z) t! H  U  h2 y/ {- o& H2 z
   蠕虫运行成功后，会连接互联网聊天室服务器接收恶意攻击的指令。如果受感染的计算机系统被恶意攻击完全控制，那么有可能进一步下载运行恶意程序，还有可能根据攻击者的指令发动拒绝服务攻击，控制受感染的计算机系统。但是，目前蠕虫病毒利用的聊天室服务器已经停止服务，蠕虫病毒的控制途径已被切断。

! e+ p* }. s; D1 T8 k   目前，北京江民公司、瑞星公司、趋势科技公司和金山公司已经能够检测、清除该蠕虫，同时有专杀工具提供给计算机用户。计算机用户成功清除蠕虫后，要立即上网下载安装微软公布的MS06-040漏洞补丁程序，防止再次感染蠕虫。
' r2 L) F/ Z* g/ e
   5、处置方法

  V* P1 r2 v" c0 l: \* F  （1）对于没有被感染的用户：

    1）修补漏洞，打补丁。登录微软的网站，下载并安装针对该漏洞的补丁程序。地址为：http://www.microsoft.com/china/t ... letin/MS06-040.mspx
   
2 u" k* ?! k. Q) g$ {1 H- Q6 R- z4 w3 {   用户还应使用Windows Update或访问http://update.microsoft.com/ 对操作系统进行更新，安装所有漏洞的补丁程序。
9 }' c. {( @' j) p$ ~1 a   
/ M9 s) i. E. ^- Z    2）通过在个人防火墙中的规则设置对蠕虫和攻击进行拦截，重点针对蠕虫涉及到的139,445两个端口设置规则
7 J1 b/ A3 ?3 C$ _8 S2 q
. y, d! {$ N& U0 q& {4 f( U  （2）对于已经遭受感染的用户：

     1）修补漏洞，打补丁。登录微软的网站，下载并安装针对该漏洞的补丁程序。地址为：http://www.microsoft.com/china/t ... letin/MS06-040.mspx

用户还应使用Windows Update或访问http://update.microsoft.com/ 对操作系统进行更新，安装所有漏洞的补丁程序。

' E6 m9 K# b  ~) j1 ~1 J     2）升级杀毒软件，对病毒进行清除。

0 x; K+ V# W8 F3 c    目前，北京江民公司、瑞星公司、趋势科技公司和金山公司已经能够检测、清除该蠕虫。

# H, [0 b9 [: Y$ L$ u     3）下载使用针对该蠕虫的专杀工具，进行清除工作。


0 C# H, a% s6 k: Z    专杀工具下载地址：
" H" |" B2 B& k/ L$ y
$ n6 q; W% M, P+ k1 |   江民公司：http://www.jiangmin.com/download/mocbotkiller.exe

8 @: g$ U, E; A9 J( M   金山公司：http://db.kingsoft.com/download/3/247.shtml
- q& _& E( t3 Q, I) u) N
4 A( ]- Z2 A' u( x/ P   
    近年来，随着安全防范意识的不断加强，由于计算机用户能够及时下载安装补丁程序，使用杀毒软件和防火墙，该蠕虫病毒的传播已经得到了较为有效的控制，不会造成更大范围的损失。但是，我们进一步提醒广大计算机用户，应及时升级系统修补漏洞，加强防范措施，防止“魔波”蠕虫病毒及其变种以及各类木马的侵袭破坏

# p+ S8 l' A$ V　

, D, E8 F# f+ ?& v     国家计算机病毒应急处理中心
      计算机病毒防治产品检验中心
0 d0 P* @3 q3 [      网    址：Http://www.antivirus-China.org.cn
      电　　话：022-66211488/66211489/66211490 转 8017
& L7 q+ E  L8 v      传　　真：022-66211155
& x& n- O2 X) p- X1 M      电子邮件：sos@antivirus-China.org.cn
* e2 c. k( o4 m% _/ `               contact@antivirus-china.org.cn

kkkliu82

谢谢提醒!
......