關於變種娜妲病毒

 

病毒名稱:娜妲病毒變種(PE_Nimda.E) 
病毒簡介: 
  Nimda病毒又出現變種!名稱為PE_Nimda.E的Nimda變種病毒已經被發現,此病毒會尋找並修改.htm、.html 及.asp等檔案,將其修改為病毒格式檔案,使得其他人上網瀏覽此網頁時感染病毒。 

  此病毒會透過下列四種方式擴散: 


1.E-mail:夾帶病毒的電子信件特徵如下:

信件主旨:不定 
附加檔案:sample.exe

2.資源分享:此病毒會將受感染主機的磁碟機分享至網路芳鄰 
3.IIS連接:此病毒會存在位於C,D或是E磁碟機的根目錄的httpodbc.dll 檔案
4.Web瀏覽:若使用者瀏覽到受病毒感染的網頁時,就會染感病毒 

中毒特徵: 

  當電腦發生以下任何一種情形時,便可能是受到此病毒感染: 


1. 若使用者不慎執行夾帶病毒的E-mail附加檔案後,會在C:\Windows\Temp 
    內建立me????.tmp.exe檔案。此檔案是e-mail格式,並且含有病毒檔案 
2. 若是IIS,則病毒會存在C,D或是E磁碟機的根目錄的httpodbc.dll 檔案 
3.windows 9X/ME 系統中, 會在windows 目錄中產生 LOAD.EXE 
4.windows NT/2K 系統, 會在 Windows\System 目錄中產生隱藏檔CSRSS.EXE 


預防方法: 

  Microsoft IE使用者請至下列網站更新patch
   http://www.microsoft.com/technet/security/bulletin/MS01-020.asp 


  若您有架設 IIS,請至下列網站更新patch 
   http://www.microsoft.com/technet/security/bulletin/ms00-078.asp 
   http://www.microsoft.com/technet//security/bulletin/MS01-044.asp 

  


解毒方法: 

 以下資料摘錄自 賽門鐵克 ,原始完整pdf檔請 於此下載
 強烈建議在使用此修復程式前,先閱讀原始完整pdf檔

 說明: 如果您使用Windows NT,Windows 2000,or Windows XP.
              必需有管理者的權限才能順利的完成修復. 

非常重要!必讀: 

假如有以下的兩種或其中一種狀況: 
 •假如您執行了本修復程式後,某些應用程式就不能執行(例如Microsoft Word). 
 •假如您執行了本修復程式後,有看到如"The file "not" is infected and *$#&#$*#@ repaired."等文字 
  那就是作業系統中的 Riched20.dll 這支檔案已經被病蟲所損毀,那麼就需要回復完整的
        檔案回去,甚至要重新安裝受損的應用程式(例如Microsoft Word 或Office). 


1. 下載 FxNimdaE.com 這支修復工具 
http://securityresponse.symantec.com/avcenter/FxNimdaE.com.
http://www.savetime.com.tw/fxnimdaE.com
下載的位置,以方便存取為原則,例如在您的桌面上或c:\downlaod 等目錄,切勿下載完了,自己還找不到.

2. 為避免透過非正常的途徑取得不正確的修復程式,原廠有一支數位認證的檔案, 如果您是很小心的人,建議下載這支程式,並且利用它來確認是否為正統的檔 案,這支認證的檔案為
http://www.wmsoftware.com/pub/chktrust.exe.
,請將本檔案置於修復程式相同的目錄,然後進入MS-DOS 模式 ,
執行chktrust -i FxnimdaE.com .
如果認證無誤,會顯示以下的文字:
Do you want to install and run "FxNimdaE.com" signed on 10/30/2001 10:12 AM and distributed by Symantec Corporation. 

3. 關閉所有的執行程式,包含關閉防毒的即時防護功能,如果是 Windows Me 的 環境,強烈建議 disable System Restore 的功能.

4. .按滑鼠兩次以執行 FxnimaE.com 的修復及清除程式,直到完全清除為止(此時最好將網路分享功能暫時停止) 

5. 如果有IIS 或IE 的漏洞或修補程式未安裝,請參考以下的連結說明,將其安裝補正 


  o http://www.microsoft.com/technet/security/bulletin/ms00-078.asp 
  o http://www.microsoft.com/technet/security/bulletin/MS01-020.asp 
  o http://www.microsoft.com/technet/security/bulletin/MS01-044.asp 

6. 將電腦系統重新啟動(重新開機) 

7. 執行步驟4 直到完全清除為止. 

8. 將先前關閉的工功能,重新啟動(如防毒的即使防護,及WINDOWS ME 的 disable System Restore.)

9. 關閉沒有必要的網路分享磁碟機或設定分享必需要密碼或僅唯讀等 

10. 移除系統中Administrators 群組中,guest 的帳號 

11. 最好在執行一次防毒系統的更新(liveupdate),以確保您的系統得到最佳的保護

12. 完成. 


特別說明: 如果您的作業系統是 Windows Me,那麼系統內定的系統回復功能(System Restore)是啟動的,如果要利用本修復工具來修復系統,必需將此一功能關閉,否則會造成修復的不成功.

一旦修復工具完成了整個系統的修復工作,不管中毒與否,將會顯示以下的結果:


•多少檔案被掃瞄. 
•多少檔案被掃瞄被刪除.
•多少檔案被掃瞄被修復.
•多少的病毒活動或程序被停止.