[漏洞補綴] 電腦一直重開？

Type(Type) 2003/8/12 11:24

描述
最近這幾天，微軟的漏洞 MS03-026 開始有蠕蟲發作[1][2]，
微軟稱他為「Blaster Worm」[2]
這幾天終於達到高峰了（上禮拜就教你補嘛，都不補～ 😈 ）
聽說我生日那一天會更高峰～ oh yeah～ *08/15* ^^

會被攻擊的平台是 NT Base 系列：
Microsoft Windows NT® 4.0
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows Server™ 2003

會出現的現象是：
1. 出現 RPC 錯誤訊息
2. 錯誤後一分鐘後重開機（或一直自動重開機）
3. 網路很慢，網路時好時壞
4. 在 system32 下面有一個 msblast.exe

怎麼辦？

1. 請拔掉網路線、不要執行任何程式(尤其是 Windows Update!!)
2. 開始 -> 執行 -> 鍵入 regedt32
3. 在【登錄編輯器】的【視窗】選單中，選擇【本機上的HKEY_LOCAL_MACHINE】
4. 在左欄的資料夾清單中，打開HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
5. 在右欄選擇 Auto Updates，按下【del】按鍵，選【是】刪除這個值
6. 重開機進安全模式 (在開機畫面中，按下【F8】，選安全模式(含命令模式))
7. 在命令模式中，鍵入 del c:\winnt\system32\msblast.exe
8. 正常重開機
9. 連上 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp ，依您的作業系統版本安裝RPC安全修補程式
10. 重開機，進行一次病毒系統掃描即完成。

還是不知道怎麼辦？
1. 拿起微軟的保證書（或隨機版 windows 2000/XP 的序號）
2. 拿起電話
3. 撥台灣微軟 (02) 6626-3366 （外撥逃記得家個-零二）
4. 描述你的狀況～會有親切（但是很累）的工程師幫您處理～ 😃

參考資訊：
[1] http://www.microsoft.com/security/security_bulletins/ms03-026.asp
[2] http://www.microsoft.com/security/incident/blast.asp
[3] http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp

Ares(亂) 2003/8/12 11:37

=口=!!!呼!!!就是這個!!就是這個!!害我一早就一直重開機開到現在什麼都不能作!!!哇咧!!!........看來要加班了...

Type(Type) 2003/8/12 12:52

另外補充～

＊微軟＊
http://microsoft.com/downloads/details.aspx?displaylang=zh-tw&FamilyID=C8B8A846-F541-4C15-8C9F-220354449117

＊趨勢＊
http://www.trendmicro.com/vinfo/zh-tw/virusencyclo/default5.asp?VName=WORM_MSBLAST.A

＊賽門鐵克＊
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html

Type(Type) 2003/8/12 13:16 (Since 2003/8/12 13:05)

[再補充]

MS03-026 的 scanner
1. 把附件 scanms 解開放到 c:\
2. 然後 scanms.exe 127.0.0.1
3. 如果出現 [VULN] 則表示你的電腦仍有風險。

代碼:

C:\>scanms 安全的Site
--- ScanMs Tool --- (c) 2003 Internet Security Systems -
 Scans for systems vulnerable to MS03-026 vuln
 More accurate for WinXP/Win2k, less accurate for WinNT
 ISS provides no warrantees for any purpose
 Use at own risk. Runs best from WinXP.
IP Address              REMACT  SYSACT  DCOM Version
-----------------------------------------------------
123.456.123.456          [ptch]  [ptch]  5.6

C:\>scanms 不安全的ip
--- ScanMs Tool --- (c) 2003 Internet Security Systems -
 Scans for systems vulnerable to MS03-026 vuln
 More accurate for WinXP/Win2k, less accurate for WinNT
 ISS provides no warrantees for any purpose
 Use at own risk. Runs best from WinXP.
IP Address              REMACT  SYSACT  DCOM Version
-----------------------------------------------------
555.666.777.888      [VULN]  [VULN]  5.6

另外，安裝完 Patch 後，重新啟動電腦，若執行程式仍有異狀,
如：無法使用剪貼簿、無法開啟軟體等（因為 RPC service 被關了）
則：
1. 開始功能表 -> 執行 -> 控制台 -> 系統管理工具 -> 服務
2. 選擇「Remote Procedure Call (RPC)」按右鈕選「啟動」

或者在命令列輸入
net start "Remote Procedure Call (RPC)"

Type(Type) 2003/8/12 13:07

[再再補充]

以，windows2000 為例，
微軟的 Patch Windows2000-KB823980-x86-CHT.exe
安裝時，若您的 Windows 2000 不在 Service Pack 2 以上 [SP2]

則建議您直接安裝 Service Pack 4 [SP4]

請到這個地方下載～

Type(Type) 2003/8/12 21:16

忘了 Po 連結 Windows 2000 Service Pack 在此...
http://www.microsoft.com/Windows2000/downloads/servicepacks/sp4/

記得選右邊的語言版本～

KimVan(KimVan) 2003/8/13 03:13

嗚........
我中了.......
嗚..................

Type(Type) 2003/8/13 12:43

綺小妹寫到:

嗚........
我中了.......
嗚..................

綺小妹
1. 記得多補補～
2. 且，提醒您的親朋好友也補～

有趣的現象：
你會看到你的好同學們，一個一個在 ICQ/MSNM 上面「上上下下」～，
記住幫他們記錄時間，如果時間太規律，
通常代表他們中了這支蠕蟲。 ^_^

** Windows 95/98/ME 在這次應該不會中，但不代表他們比較安全。

KimVan(KimVan) 2003/8/13 20:01

嗚嗚
太感動了!!!!!
TYPE爺太棒了>"<

KimVan(KimVan) 2003/8/13 20:04

對了!!
起TYPE ^^
假如就算是沒有中毒也可以裝PATCH以保安全嗎~?
還是沒中毒裝了也沒有阿?

KimVan(KimVan) 2003/8/13 20:07

綺小妹寫到:

對了!!
起TYPE ^^
假如就算是沒有中毒也可以裝PATCH以保安全嗎~?
還是沒中毒裝了也沒有阿?

嗚嗯...一堆字打錯|||||

對了!!
請問TYPE~ ^^
假如就算是沒有中毒也可以裝PATCH以保安全嗎~?
還是沒中毒裝了也沒有用阿?

Type(Type) 2003/8/13 20:27

綺小妹寫到:

對了!!
起TYPE ^^
假如就算是沒有中毒也可以裝PATCH以保安全嗎~?
還是沒中毒裝了也沒有阿?

嗚嗯...一堆字打錯|||||

對了!!
請問TYPE~ ^^
假如就算是沒有中毒也可以裝PATCH以保安全嗎~?
還是沒中毒裝了也沒有用阿?

是，可以！ Windows NT/2K/XP/2003
微軟早就在 7/22 號建議快快補上這個漏洞～

不補，被攻擊只是早晚的事情。
被攻擊之後，就會去攻擊別人...然後...接著...～

所以，建議所有 Windows NT based (NT/2000/XP/2003)
的使用者，升級最新的 Service Pack
以 2000 為例為 SP4
以 XP 為例為 SP1a

接著補上這個漏洞補綴檔。

預計禮拜五、六還有一波。...

ziz(ziz) 2003/8/14 09:07

5. 在右欄選擇 Auto Updates，按下【del】按鍵，選【是】刪除這個值

AUTO UPDATE....
我昨天在補時,發現根本沒這項ㄝ!!😮
可是我的電腦前天也自動重開機了.....
雖然現在好好的.....

Type(Type) 2003/8/14 10:18

ziz 寫到:

如果您有防毒軟體（趨勢、賽門鐵課、金帥、賣咖啡、雄貓...）
那會比較簡單（就是讓掃毒軟體幫你解決）
======================================
1. 更新「病毒碼」，掃毒！
2. 他幫你發現病毒，不要隔離了，直接殺掉 MSBLAST.exe（沒有中毒更好）
3. 依照上面所說的下載補綴檔，把漏洞補起來。
4. 安裝好之後，重開機。完成～
5. 若，有服務被停止不能使用，參考上面有「重新啟動 RPC」的步驟。
6. 之後隨時注意網路狀況與相關安全訊息～ ^_^
======================================

<打針護士～ ❤️ >
反正不管有中沒中，先問一下自己，「打針了沒？」...
</打針護士～ ❤️ >

ziz(ziz) 2003/8/14 16:32

原來是這樣ㄚ
謝謝太普爺了 😊

MOMOMI(猫喵咪) 2003/8/15 09:20

8月15日阿
不就是今天嗎
Type爺生日快樂O~~~~~!!! 😂 ❤️
----
奇怪我電腦前天開始怪怪的
可是不是虫開機的毒
是非常奇怪的....比如複製(或剪下)檔案在別的資料夾貼上
竟然不能貼耶!!!
郵件裡面的網址連結
我點選了竟然沒作用耶!!

有誰知道我的電腦是怎麼了嗎?? 😅 😭

Type(Type) 2003/8/15 10:33

嗨，魔喵咪，請往前看一下 RPC 那個部分...記得修「補完之後」，
把 Remote Procedure Call (RPC) 這項服務設定為「自動」，
並「啟動」。

因為 windows 裡面一半以上的服務，都依存於 RPC，如剪貼簿、DCOM、Index Service...。

如果還是不行，再把您的狀況或錯誤訊息貼上來，我幫您看看。

eiman(cherub) 2003/8/15 18:22

我前幾天也有這種情況耶
我的系統是2000
它出現了svchost 這個程式的錯誤
電腦終止了它並建立錯誤日誌
然後就出現了這樣的情況

Type(Type) 2003/8/15 22:37

賽門鐵課出的清除工具：
http://securityresponse.symantec.com/avcenter/FixBlast.exe

沒有防毒軟體者可使用之，用完之後，還是要補洞。

LCW(LCW) 2003/8/21 05:42

請問泰普爺在沒有中毒低情況只須裝PATCH就可以了嗎?有什麼後續動作須要執行的嗎? 謝謝😊

Type(Type) 2003/8/21 10:32

LCW 寫到:

請問泰普爺在沒有中毒低情況只須裝PATCH就可以了嗎?有什麼後續動作須要執行的嗎? 謝謝😊

老爹，是的，沒中毒也要補，之後呢：...

（以 windows 2000 中文版為例子）
補完之後，建議盡量打開 windows update 功能，保持您的電腦
維持更新狀態：開始-->設定-->控制台-->自動更新。
核取「[V] 將我的電腦保持再最新狀態」
然選「(*)下載任何更新前通知我」

如果您不想打開 windows update 功能，記得常常關心一下
Windows 是否有漏洞需要補綴。
[1] http://windowsupdate.microsoft.com/
[2] http://www.microsoft.com/security/

另外如果您有防毒軟體（盡量正版的...）
不管是趨勢、賽門鐵課、金帥、ＣＡ、賣咖啡、雄貓...
都記得常常更新並病毒碼，一個禮拜掃一次毒。

這樣應該能夠常保闔家平安，多子多孫。

LCW(LCW) 2003/8/21 14:11

泰普爺. 🤩 .多謝多謝 😂 😂

suncat(suncat) 2003/8/21 14:37

‧「疾風病毒」又有最新變種(Worm_MSBLAST.D)
傳播方式：根據趨勢科技(Trend MICRO)所發佈之相關資料，原「疾風病毒」（Worm_MSBLAST.A）近日出現新的變種(Worm_MSBLAST.D)，該病毒會利用Windows系統的漏洞，允許駭客取得完整的權限在目標電腦上執行任何的程式碼並持續的掃描及發送資料攻擊網路上仍有此漏洞的電腦135 port，並自動開啟中毒電腦707port(原病毒開啟4004 port)，再繼續攻擊並感染其他電腦。

感染對象：該病毒只會感染Windows NT/2000/XP/2003(.Net)的作業系統中毒現象：
1. 會自動幫中毒的電腦下載並安裝微軟更新程式，更新完畢會自動重開機。
2. 會尋找並刪除原「疾風病毒」BLAST.exe程式。使用者會感覺到連線速度變慢且電腦有自動重開機的現象。
解決方案：請參考原Seednet公布之「疾風病毒」解決方案( http://announce.seed.net.tw/html/081303a.html )，但除原有微軟更新程式http://www.microsoft.com/taiwan/security/bulletins/MS03-026.asp
外仍需下載並安裝另一隻更新程式
http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS03-007.asp
或是您可參考如趨勢科技或賽門鐵克等防毒軟體公司所提供的掃毒程式協助。

預防方式：請注意常做Windows Update的動作，以確保電腦上的更新為最新版本，避免遭受病毒或蠕蟲攻擊。
請執行電腦上的「Windows Update」或連結到網址http://windowsupdate.microsoft.com/

bbq561496(瑤瑤) 2008/9/27 21:39

請問鐵賽門的漏洞補綴怎麼下載> <

(30,923 views)

"[漏洞補綴] 電腦一直重開？" 傳統頁面(電腦版)

首頁繪圖設計工作閒聊比賽活動美術討論標籤圖片

傳統桌面版 [ 登入/註冊 ]