“魔鬼波”借微软新漏洞来袭

      2006年8月13日，江民公司反病毒中心发布紧急病毒警报，一利用微软5天前刚刚发布的MS06-040漏洞传播的“魔鬼波”（Backdoor/Mocbot.b）蠕虫现身互联网，感染该蠕虫的计算机将被黑客远程完全控制。

 微软发布１２个系统漏洞补丁程序  (2006-08-14)
 微软全面支持中文 CN域名中文也成上网“官方语言”  (2006-08-14)
 美政府称微软Windows留有后门  (2006-08-12)
 方正与微软合作升级 跻身其全球TOP20 Covered OEM行列  (2006-08-11)
 离职员工称微软Windows Live濒临瘫痪  (2006-08-11)
 微软高层人事变动露玄机 盖茨早埋伏笔  (2006-08-11)
 美政府警告用户注意Windows安全漏洞  (2006-08-11)
 药品稽查队长揭露药监漏洞 谁敢相信药的质量？  (2006-08-11)
 美政府就Windows一处安全漏洞发出严重警告  (2006-08-11)
 疯狂的石头里的两个可爱却绝对无解的小漏洞  (2006-08-09)
 初中生连黑北京高校网站 只为提醒网站存有漏洞  (2006-08-07)

      据江民反病毒专家分析，“魔鬼波”蠕虫运行后，在系统目录下建立大小为9609字节的病毒文件wgareg.exe，该病毒文件经过加壳处理。病毒建立下面服务，以使自己可以在系统启动时自动运行。

                      服务名：Windows Genuine Advantage Registration Service
                      服务程序：wgareg.exe
                      描述：Ensures that your copy of Microsoft Windows is genuine and registered. Stopping or disabling                                  this service will result in system instability.
      
      “魔鬼波”通过TCP端口445利用MS06-040漏洞进行传播。蠕虫的传播过程可以在用户不知情的情况下主动进行，可能造成services.exe崩溃等现象。蠕虫还可通过AOL即时通讯工具自动发送包含恶意链接的消息。

       运行成功后，病毒会连接IRC服务器接收黑客命令，黑客的IRC服务器域名为：
              bniu.househot.com
              ypgw.wallloan.com

       经江民反病毒专家查询，以上2个服务器的IP分别位于贵州六盘水市电信和上海大学新校区。

       通过黑客命令，“魔鬼波”蠕虫可以进行下载运行任意程序，进行拒绝服务攻击(DDoS)等活动，使得用户计算机完全被黑客控制。

       江民反病毒专家提醒，针对该蠕虫，江民杀毒软件已经紧急升级了病毒库，KV系列杀毒软件用户升级到8月14日病毒库，即可全面查杀该蠕虫。专家担心，由于微软安全公告发布还不到一周，可能还有许多用户没有安装微软MS06-040漏洞补丁，专家呼吁电脑用户务必尽快安装漏洞补丁，避免遭受病病毒侵害。

       微软MS06-040Server服务漏洞可能允许远程执行代码补丁下载地址：
       http://www.microsoft.com/china/technet/security/bulletin/MS06-040.mspx
     

精彩图文