震荡波病毒_震荡波的宠物_震荡波病毒 u盘

冲击波病毒长6176bytes，是后门和蠕虫功能混合型的病毒，包括三个组件：蠕虫载体、TFTP服务器文件、攻击模块，病毒会下载并运行病毒文件msblast.exe。在这种混合型病毒中还隐藏地存在一段文本信息：

I just want to say LOVE YOU SAN !!

Bill gates why do you make this possible ?

Stop making money and fix your soft ware !!

病毒特征

通过对冲击波病毒的整个工作流程进行分析，可以归纳得到病毒的行为特征：

1.主动攻击：蠕虫在本质上已经演变为黑客入侵的自动化工具，当蠕虫被释放（release）后，从搜索漏洞，到利用搜索结果攻击系统，到复制副本，整个流程全由蠕虫自身主动完成。

2.利用系统、网络应用服务漏洞：计算机系统存在漏洞是蠕虫传播的前提，利用这些漏洞，蠕虫获得被攻击的计算机系统的相应权限，完成后继的复制和传播过程。正是由于漏洞产生原因的复杂性，导致面对蠕虫的攻击防不胜防。

3.造成网络拥塞：蠕虫进行传播的第一步就是找到网络上其它存在漏洞的计算机系统，这需要通过大面积的搜索来完成，搜索动作包括：判断其它计算机是否存在；判断特定应用服务是否存在；判断漏洞是否存在。震荡波病毒这不可避免的会产生附加的网络数据流量。即使是不包含破坏系统正常工作的恶意代码的蠕虫，也会因为病毒产生了巨量的网络流量，导致整个网络瘫痪，造成经济损失。

4.反复性：即使清除了蠕虫在文件系统中留下的任何痕迹，如果没有修补计算机系统漏洞，重新接入到网络中的计算机还是会被重新感染。

5.破坏性：从蠕虫的历史发展过程可以看到，越来越多的蠕虫开始包含恶意代码，破坏被攻击的计算机系统，而且造成的经济损失数目越来越大。

传播模式

冲击波的传播模式为：扫描-攻击-复制。

扫描模块采用的扫描策略是：随机选取某一段IP地址，然后对这一地址段上的主机扫描。病毒作者会对扫描策略进行一些改进，比如在IP地址段的选择上，可以主要针对当前主机所在的网段扫描，对外网段则随机选择几个小的IP地址段进行扫描。对扫描次数进行限制，只进行几次扫描。把扫描分散在不同的时间段进行。

扫描策略设计的原则有三点：尽量减少重复的扫描，使扫描发送的数据包总量减少到最小；保证扫描复盖到尽量大的范围；处理好扫描的时间分布，使得扫描不要集中在某一时间内发生。

一旦确认漏洞存在后就可以进行相应的攻击步骤，这一部关键的问题是对漏洞的理解和利用。攻击成功后，是获得一个远程主机的shell，例如对win2k系统来说就是cmd.exe，得到这个shell后就拥有了对整个系统的控制权。

复制过程有很多种方法，可以利用系统本身的程序实现，也可以用病毒自代的程序实现。复制过程实际上就是一个文件传输的过程，实现网络文件传输很简单。

中毒症状

由于RPC/DCOM漏洞，RPCSS服务停止响应，操作系统不断报告“PRC意外中止，系统重新启动”，客户机频繁重启，同时所有网络服务均出现故障，如IE浏览器打不开，OUTLOOK无法使用等。

由于RPC服务终止还可能造成其他的一些问题（因为许都依赖于RPC服务），如：无法进行复制、粘贴，无法查看网络属性，某些文件夹显示不正常，计算机“服务”管理不正常，无法使用IE“在新窗口中打开”，无法添加删除程序等等不正常现象。

病毒变种

2003年8月29日晚9时，全球反病毒监测网率先截获了冲击波病毒的最新变种，并命名为：冲击波V（Worm.Blaster.E）。据反病毒工程师分析，该病毒变种和前三个变种病毒一样，没有在原始病毒上做大的改动，传染和破坏能力与“冲击波”其它变种相同，这个变种病毒只是重新改变了病毒文件名称和注册表键值，企图躲避杀毒软件的查杀。据分析，新的变种病毒做了如下四处改动：

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-37644-1.html