[转贴]现在电脑无端重启的看过来——MS05-039的蠕虫Zotob被发现

卡风光

安全警告：首度利用MS05-039的蠕虫Zotob被发现 
 
Anti-vir.cn报道：

    2005.8.14，著名的防病毒机构F-Secure截获了首例利用MS05-039漏洞的蠕虫Zotob.A。 距离微软发布的8月安全公告只有五天。

    MS05-039，即插即用中的漏洞可能允许远程执行代码和特权提升。早在前两天的时候，关于这个漏洞的代码已被放到网上。根据F-Secure的分析，这个蠕虫Zotob.A是将mytob与Microsoft Windows 2000 Plug and Play Universal Remote Exploit攻击代码结合在一起的产物，并通过TCP445端口扫描其他机器，如果发现漏洞，将会通过ftp从扫描的机器上下载病毒。

  此次的漏洞代码也属远程溢出来进行攻击。通过对漏洞代码的分析，可以看到漏洞代码中提到：

1. 在XP SP1，需要授权用户才能进行攻击；

2. 在XP SP2和2003，要管理员才能进行攻击；

3. 在WIN2000，可以匿名进行攻击

从攻击源码来看，编写者就是在Windows 2000 SP4上进行的测试，所以小陌在此提醒广大用户注意，请赶快给你的机器安装MS05-039的补丁。

  从昨天开始，我们国内也开始有不少用户在反映会提到有重启现象，而MS05-039漏洞中的Plug and Play服务也是采用X:\WINNT\system32\services.exe，所以很有可能此次的现象与这个远程漏洞有关。

  Zotob蠕虫，大小22528字节，会在%system%下生成botzor.exe，并创建一个叫B-O-T-Z-O-R的互斥量，同时在注册表中添加：

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run， "WINDOWS SYSTEM" = "botzor.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices，"WINDOWS SYSTEM" = "botzor.exe"

MS05-039补丁下载地址：http://www.microsoft.com/china/technet/security/bulletin/MS05-039.mspx

卡风光

今天 我们公司的服务器就中了 在此提醒各位朋友 注意防毒。

芒芒果

谢谢楼主！

no1wj

谢啦！

小零

楼主谢啦，我这几天电脑也这样，下了，试试，

我想走

我的电脑这两天也有类似的情况（具体情况详见我的求助帖子），不知道是不是中了这种病毒，下了楼主说的补丁，没有效，反而“我的电脑”界面被更改了，也不知道怎么回事。头痛啊~~~~~~~~~~~~~~~~~

离离原上草

谢谢,偶要当心了。