关于 Win32/Conficker 蠕虫的病毒警报

文章翻译 文章翻译
文章编号: 962007 - 查看本文应用于的产品
对 Windows Vista Service Pack 1 (SP1) 的支持将于 2011 年 7 月 12 日截止。若想继续获得 Windows 的安全更新,请确保运行 Windows Vista with Service Pack 2 (SP2)。有关更多信息,请参阅以下 Microsoft 网页:对 Windows 某些版本的支持即将结束
展开全部 | 关闭全部

本文内容

概要

此知识库文章中的信息旨在用于其系统管理员可实施本文中详细信息的业务环境。如果防病毒程序正确清理该病毒且系统已完全更新,则无须实施本文内容。若要确定该系统是否已清理 Conficker 病毒,请从以下网页执行快速扫描: http://www.microsoft.com/security/scanner/zh-cn/ 有关 Conficker 病毒的详细信息,请访问下面的 Microsoft 网页:
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker

感染症状

如果计算机感染了此蠕虫,您可能感觉不到任何症状,也可能会感觉到以下症状:
  • 账户锁定策略失效。
  • 自动更新、后台智能传送服务(BITS)、Windows Defender 和错误报告服务被禁用。
  • 域控制器响应客户端请求的速度慢。
  • 网络出现拥塞。
  • 无法访问多个安全相关性网站。
  • 很多与安全相关的工具将无法运行。有关已知工具的列表,请访问以下 Microsoft 网页,然后单击“分析”选项卡,了解有关 Win32/Conficker.D 的信息。有关详细信息,请访问以下 Microsoft 网页:
    http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
    (英文网页)
有关 Win32/Conficker 的详细信息,请访问以下 Microsoft 恶意软件防护中心网页:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker

传播方法

Win32/Conficker 有多种传播方法。这些方法包括:
  • 攻击安全更新 958644 (MS08-067)修补的漏洞
  • 使用网络共享
  • 使用自动播放功能
因此,清理网络时必须小心,以便威胁不会再次引入到之前已清理的系统中。

注意:Win32/Conficker.D 变体不会通过网络传播到可移动驱动器或共享文件夹。Win32/Conficker.D 是由 Win32/Conficker 的以前变体安装的。

防护措施

  • 使用对所有计算机都唯一的强管理员密码。
  • 不要使用域管理凭据或具有对所有计算机的访问权限的凭据登录到计算机。
  • 确保所有系统都已应用最新的安全更新。
  • 禁用自动播放功能。有关详细信息,请参阅“创建组策略对象”部分中的步骤 3。
  • 删除过多的共享权限。包括删除对任何共享根目录的写入权限。

缓解步骤

使用组策略设置阻止 Win32/Conficker 传播

注意
  • 重要信息:请确保在进行本文中建议的任何更改之前记录所有当前设置。
  • 此过程不会删除系统中的 Conficker 恶意软件,只能阻止恶意软件的传播。应使用防病毒产品删除系统中的 Conficker 恶意软件。也可以按照此知识库文章中的“手动删除 Win32/Conficker 病毒的步骤”部分中的步骤操作,手动删除系统中的恶意软件。
  • 完成以下步骤中建议的权限更改后,您可能无法正确安装应用程序、Service Pack 或其他更新。这包括(但不限于)使用 Windows Update、Microsoft Windows Server Update Services (WSUS) 服务器和系统中心配置管理器 (SCCM) 应用更新,因为这些产品依赖于自动更新的组件。请确保您在清理系统后将权限更改回默认设置。
  • 有关“创建组策略对象”部分中提及的 SVCHOST 注册表项和任务文件夹的默认权限的信息,请参阅本文结尾处的“默认权限表”

创建组策略对象

根据环境要求,创建一个适用于特定组织单位 (OU)、站点或域中所有计算机的新组策略对象 (GPO)。

为此,请按照下列步骤操作:
  1. 设置用于删除对以下注册表子项的写入权限的策略:
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
    这将阻止在 netsvcs 注册表值中创建随机命名的恶意软件服务。

    为此,请按照下列步骤操作:
    1. 打开组策略管理控制台 (GPMC)。
    2. 创建一个新的 GPO,并为其命名。
    3. 打开新的 GPO,然后转到以下文件夹:
      Computer Configuration\Windows Settings\Security Settings\Registry
    4. 右键单击“注册表”,然后单击“添加项”
    5. 在“选择注册表项”对话框中,展开“计算机”,然后转到以下文件夹:
      Software\Microsoft\Windows NT\CurrentVersion\Svchost
    6. 单击“确定”
    7. 在打开的对话框中,单击以清除“管理员”和“系统”对应的“完全控制”复选框。
    8. 单击“确定”
    9. 在“添加对象”对话框中,单击“用可继承权限替换所有子项上的现有权限”
    10. 单击“确定”
  2. 设置用于删除对 %windir%\Tasks 文件夹的写入权限的策略。这将阻止 Conficker 恶意软件创建可再次感染系统的计划任务。

    为此,请按照下列步骤操作:
    1. 在您之前创建的同一个 GPO 中,转到以下文件夹:
      Computer Configuration\Windows Settings\Security Settings\File System
    2. 右键单击“文件系统”,然后单击“添加文件”
    3. “添加文件或文件夹”对话框中,浏览到 %windir%\Tasks 文件夹。请确保“任务”以高亮显示状态列出在“文件夹”对话框中。
    4. 单击“确定”
    5. 在打开的对话框中,单击清除“管理员”“系统”“完全控制”“修改”和“写入”复选框。
    6. 单击“确定”
    7. 在“添加对象”对话框中,单击“用可继承权限替换所有子项上的现有权限”
    8. 单击“确定”
  3. 将“自动播放”(自动运行)功能设置为禁用。这将阻止 Conficker 恶意软件利用内置于 Windows 的“自动播放”功能进行传播。

    注意:您必须安装不同的更新才能正确禁用自动运行功能,具体取决于所使用的 Windows 版本:
    • 若要禁用 Windows Vista 或 Windows Server 2008 中的自动运行功能,必须安装安全更新 950582(已在安全公告 MS08-038 中说明)。
    • 若要禁用 Windows XP、Windows Server 2003 或 Windows 2000 中的自动运行功能,必须安装安全更新 950582、更新 967715 或更新 953252
    若要将自动播放(自动运行)功能设置为禁用,请按照下列步骤操作:
    1. 在之前创建的同一个 GPO 中,转到以下其中一个文件夹中:
      • 对于 Windows Server 2003 域,转到以下文件夹:
        Computer Configuration\Administrative Templates\System
      • 对于 Windows 2008 域,转到以下文件夹:
        Computer Configuration\Administrative Templates\Windows Components\Autoplay Policies
    2. 打开“关闭自动播放”策略。
    3. 在“关闭自动播放”对话框中,单击“已启用”
    4. 在下拉菜单中,单击“所有驱动器”
    5. 单击“确定”
  4. 关闭组策略管理控制台。
  5. 将新创建的 GPO 链接到要应用的位置。
  6. 为组策略设置留有足够的时间更新到所有计算机。通常,需要 5 分钟才能将组策略复制到每个域控制器,然后再需要 90 分钟才能复制到系统中的其余计算机。留出几个小时的时间应该足够了。但是,根据不同环境,可能会需要更多的时间。
  7. 组策略设置传播之后,请清理系统中的恶意软件。

    为此,请按照下列步骤操作:
    1. 在所有计算机上运行全面的防病毒扫描。
    2. 如果防病毒软件未检测到 Conficker,则可以使用 Microsoft 安全扫描程序清除恶意软件。有关详细信息,请访问以下 Microsoft 网页:http://www.microsoft.com/security/scanner/zh-cn/注意 可能需要手动执行某些步骤才能清理恶意软件的所有危害。建议您按照本文中的“手动删除 Win32/Conficker病毒的步骤”部分中列出的步骤操作,清理恶意软件的所有危害。

恢复

运行 Microsoft 安全扫描程序。

Microsoft 恶意软件防护中心已更新了 Microsoft 安全扫描程序。这是一个独立的二进制文件,有助于删除流行的恶意软件以及 Win32/Conficker 恶意软件家族。

注意:Microsoft 安全扫描程序不会阻止再次感染,因为它不是实时防病毒程序。

您可从以下 Microsoft 网站下载 Microsoft 安全扫描程序:
http://www.microsoft.com/security/scanner/zh-cn/

注意独立系统清理程序还将删除该感染。该工具可作为 Microsoft Desktop Optimization Pack 6.0 或客户服务和支持中的一个组件。若要获取 Microsoft 桌面优化数据包,请访问以下 Microsoft 网站:
http://www.microsoft.com/zh-cn/windows/enterprise/products-and-technologies/mdop/default.aspx
(英文网页)如果 Windows Live OneCare 或 Microsoft Forefront Client Security 在系统上运行,则安装该数据包之前这些程序还会阻止威胁。

手动删除 Win32/Conficker 病毒的步骤

注意
  • 不再需要这些手动步骤,且应仅在没有可删除 Conficker 病毒的防病毒软件时才使用。
  • 本节中引用的某些值可能尚未被病毒更改,具体取决于计算机感染的 Win32/Conficker 变体。
以下详细步骤可帮助您手动删除系统中的 Conficker:
  1. 使用本地帐户登录到系统。

    重要信息请勿使用域帐户登录到系统(如有可能)。特别是,不要使用域管理员帐户登录。恶意软件使用已登录用户凭据模拟已登录用户并访问网络资源。该行为会允许恶意软件传播。
  2. 停止服务器服务。该操作删除系统中的管理员共享,以便恶意软件无法使用该方法传播。

    注意清理环境中的恶意软件时,应仅暂时禁用服务器服务。对于生产服务器尤其是这样,原因是该步骤会影响网络资源可用性。环境清理后,可立即重新启用服务器服务。

    要停止服务器服务,请使用服务 Microsoft 管理控制台 (MMC)。为此,请按照下列步骤操作:
    1. 根据您的系统,请执行以下操作:
      • 在 Windows Vista 和 Windows Server 2008 中,单击“开始”,在“开始搜索”框中键入 services.msc,然后单击“程序”列表中的 services.msc。
      • 在 Windows 2000、Windows XP 和 Windows Server 2003 中,请依次单击“开始”、“运行”,键入 services.msc,然后单击“确定”。
    2. 双击“服务器”。
    3. 单击“停止”。
    4. 在“启动类型”框中选择“已禁用”。
    5. 单击“应用”。
  3. 删除所有创建 AT 的计划任务。为此,请在命令提示符处键入 AT /Delete /Yes
  4. 停止任务计划程序服务。
    • 若要停止 Windows 2000、Windows XP 和 Windows Server 2003 中的任务计划程序服务,请使用服务 Microsoft 管理控制台(MMC)或 SC.exe 实用程序。
    • 若要停止 Windows Vista 或 Windows Server 2008 中的任务计划程序服务,请执行以下步骤。

      重要说明:此部分、方法或任务包含有关如何修改注册表的步骤。但是,注册表修改不当可能会出现严重问题。因此,请一定严格按照下列步骤操作。为了获得进一步保护,请在修改注册表之前对其进行备份。这样就可以在出现问题时还原注册表。有关如何备份和还原注册表的更多信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
      322756 如何在 Windows 中备份和还原注册表
      1. 单击“开始”,在“开始搜索”框中键入 regedit,然后单击“程序”列表中的“regedit.exe”
      2. 找到并单击下面的注册表子项:
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
      3. 在详细信息窗格中,右键单击“开始”DWORD 项,然后单击“修改”
      4. 在“数值数据”框中,键入 4,然后单击“确定”
      5. 退出注册表编辑器,然后重新启动计算机。

        注意:该任务计划程序服务应仅在清理环境中的恶意软件时临时禁用。在 Windows Vista 和 Windows Server 2008 上更应该这样做,因为此步骤将影响各种内置的计划任务。清理环境后,请立即重新启用该服务器服务。
  5. 下载安全更新 958644 (MS08-067)并进行手动安装。有关更多信息,请访问下面的 Microsoft 网站:
    http://www.microsoft.com/china/technet/security/bulletin/MS08-067.mspx
    注意可能会由于恶意软件感染阻止该站点。在该方案中,必须通过未感染的计算机下载更新,然后将该更新文件传送到已感染的系统。建议您将更新刻录到 CD 中,原因是刻录的 CD 不可写。因此,它无法被感染。如果可刻录的 CD 驱动器不可用,则可移动的 USB 内存驱动器可能是将更新复制到已感染系统的唯一方法。如果使用可移动驱动器,则注意恶意软件可以感染带有 Autorun.inf 文件的驱动器。将更新复制到可移动驱动器后,请确保将驱动器更改为只读模式,如果设备具有该选项。如果只读模式可用,则通常使用设备上的物理开关启用。因此,将更新文件复制到已感染的计算机后,请检查可移动驱动器以查看 Autorun.inf 文件是否已写入到该驱动器。如果是,则将 Autorun.inf 文件重命名为类似于 Autorun.bad 的名称,以便将可移动驱动器连接到计算机时该文件不会运行。
  6. 重置本地管理员和域管理员密码以便使用新的强密码。有关更多信息,请访问下面的 Microsoft 网站:
    http://technet.microsoft.com/zh-cn/library/cc875814.aspx
  7. 在注册表编辑器中,找到并单击下面的注册表子项:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
  8. 在详细信息窗格中,右键单击“netsvcs”项,然后单击“修改”。
  9. 如果计算机感染了 Win32/Conficker 病毒,将列出一个随机服务名称。

    注意:感染了 Win32/Conficker.B 后,该服务名称变成随机字母且位于列表末端。感染了后来的病毒变体后,该服务名称可能位于列表的任何位置,且看上去可能更合理。如果随机服务名称不位于列表末端,请将系统与此过程中的“服务表”进行比较,以确定可能已由 Win32/Conficker 添加的服务名称。若要验证,请将该“服务表”中的列表与已知未被感染的相似系统进行比较。

    记下恶意软件服务的名称。稍后您将需要此过程中的此信息。
  10. 删除包含恶意软件服务参考的行。请确保将列出的最后合法项下的换行保留为空,然后单击“确定”。

    有关服务表的说明
    • 除了以粗体高亮显示的项目外,该服务表中的所有项都是有效项。
    • 以粗体高亮显示的项就是 Win32/Conficker 病毒可能添加到 SVCHOST 注册表项的 netsvcs 值中的内容示例。
    • 根据系统上安装的服务,这可能不是服务的完整列表。
    • 服务表来自 Windows 的默认安装。
    • Win32/Conficker 病毒添加到列表中的项是一种迷惑技术。蓄意使首字母相似的高亮显示恶意项首字母是小写的“L”,但实际上是大写的“I”。由于操作系统使用的字体的原因,大写的“I”看起来与小写的“L”很相像。

    服务表

    收起该表格展开该表格
    Windows Server 2008Windows VistaWindows Server 2003Windows XPWindows 2000
    AeLookupSvcAeLookupSvcAppMgmt6to4EventSystem
    wercplsupportwercplsupportAudioSrvAppMgmtIas
    ThemesThemesBrowserAudioSrvIprip
    CertPropSvcCertPropSvcCryptSvcBrowserIrmon
    SCPolicySvcSCPolicySvcDMServerCryptSvcNetman
    lanmanserverlanmanserverEventSystemDMServerNwsapagent
    gpsvcgpsvcHidServDHCPRasauto
    IKEEXTIKEEXTIasERSvcIaslogon
    AudioSrvAudioSrvIpripEventSystemRasman
    FastUserSwitchingCompatibilityFastUserSwitchingCompatibilityIrmonFastUserSwitchingCompatibilityRemoteaccess
    IasIasLanmanServerHidServSENS
    IrmonIrmonLanmanWorkstationIasSharedaccess
    NlaNlaMessengerIpripNtmssvc
    NtmssvcNtmssvcNetmanIrmonwzcsvc
    NWCWorkstationNWCWorkstationNlaLanmanServer
    NwsapagentNwsapagentNtmssvcLanmanWorkstation
    RasautoRasautoNWCWorkstationMessenger
    RasmanRasmanNwsapagentNetman
    IaslogonIaslogonIaslogonIaslogon
    RemoteaccessRemoteaccessRasautoNla
    SENSSENSRasmanNtmssvc
    SharedaccessSharedaccessRemoteaccessNWCWorkstation
    SRServiceSRServiceSacsvrNwsapagent
    TapisrvTapisrvScheduleRasauto
    WmiWmiSeclogonRasman
    WmdmPmSpWmdmPmSpSENSRemoteaccess
    TermServiceTermServiceSharedaccessSchedule
    wuauservwuauservThemesSeclogon
    BITSBITSTrkWksSENS
    ShellHWDetectionShellHWDetectionTrkSvrSharedaccess
    LogonHoursLogonHoursW32TimeSRService
    PCAuditPCAuditWZCSVCTapisrv
    helpsvchelpsvcWmiThemes
    uploadmgruploadmgrWmdmPmSpTrkWks
    iphlpsvciphlpsvcwinmgmtW32Time
    seclogonseclogonwuauservWZCSVC
    AppInfoAppInfoBITSWmi
    msiscsimsiscsiShellHWDetectionWmdmPmSp
    MMCSSMMCSSuploadmgrwinmgmt
    browserProfSvcWmdmPmSNTermService
    winmgmtEapHostxmlprovwuauserv
    SessionEnvwinmgmtAeLookupSvcBITS
    ProfSvcschedulehelpsvcShellHWDetection
    EapHostSessionEnvhelpsvc
    hkmsvcbrowserxmlprov
    schedulehkmsvcwscsvc
    AppMgmtAppMgmtWmdmPmSN
    sacsvrhkmsvc
  11. 在前面的过程中,您已记下恶意软件服务的名称。在示例中,恶意软件项的名称为“Iaslogon”。使用该信息,按照下列步骤操作:
    1. 在注册表编辑器中,找到并单击以下注册表子项,其中 BadServiceName 是恶意软件服务的名称:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceName
      例如,找到并单击下面的注册表子项: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
    2. 右键单击导航窗格中恶意软件服务名称的子项,然后单击“权限”
    3. 在“SvcHost 权限项”对话框中,单击“高级”。
    4. “高级安全设置”对话框中,单击选中以下两个复选框:
      从父级继承应用于子对象的权限项。包括那些在此明确定义的项目”。

      使用此处显示的应用到子对象的项替换所有子对象上的权限项。
  12. 按 F5 更新注册表编辑器。在详细信息窗格中,现在可以看到并编辑作为“ServiceDll”加载的恶意软件 DLL。为此,请执行以下步骤:
    1. 双击 ServiceDll 项。
    2. 记下参考 DLL 的路径。稍后您将需要此过程中的此信息。例如,参考 DLL 的路径可能类似于以下内容:
       %SystemRoot%\System32\doieuln.dll
      将参考重命名为类似于以下内容:
       %SystemRoot%\System32\doieuln.old
    3. 单击“确定”
  13. 从注册表中的“运行”子项删除恶意软件服务项。
    1. 在注册表编辑器中,找到并单击下面的注册表子项:
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    2. 在两个子项中,找到以“rundll32.exe”开头的任意项,并参考作为在步骤 12b 中发现的“ServiceDll”加载的恶意软件 DLL。删除该项。
    3. 退出注册表编辑器,然后重新启动计算机。
  14. 检查系统上所有驱动器中的 Autorun.inf 文件。使用记事本打开每个文件,然后验证该文件是有效的 Autorun.inf 文件。下面是一个通常有效 Autorun.inf 文件的示例。
    [autorun]
    shellexecute=Servers\splash.hta *DVD*
    icon=Servers\autorun.ico
    有效的 Autorun.inf 通常为 1 到 2 千字节(KB)。
  15. 删除看似无效的任意 Autorun.inf 文件。
  16. 重新启动计算机。
  17. 使隐藏的文件可见。为此,在命令提示符处键入以下命令:
    reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
  18. 设置“显示隐藏文件和文件夹”,以便您可以看到该文件。若要执行此操作,请执行下列步骤:
    1. 在步骤 12b 中,记下恶意软件引用的 .dll 文件的路径。例如,记下类似于以下内容的路径:
      %systemroot%\System32\doieuln.dll
      在 Windows 资源管理器中,打开 %systemroot%\System32 目录或包含该恶意软件的目录。
    2. 单击“工具”,然后单击“文件夹选项”。
    3. 单击“查看”选项卡。
    4. 选中“显示隐藏的文件和文件夹”复选框。
    5. 单击“确定”
  19. 选择该 .dll 文件。
  20. 编辑文件的权限以添加“完全控制每个人”。为此,请按照下列步骤操作:
    1. 右键单击该 .dll 文件,然后单击“属性”
    2. 单击“安全”选项卡。
    3. 单击“每个人”,然后单击选中“允许”列中的“完全控制”复选框。
    4. 单击“确定”
  21. 删除恶意软件引用的 .dll 文件。例如,删除 %systemroot%\System32\doieuln.dll 文件。
  22. 使用服务 Microsoft 管理控制台(MMC)启用 BITS、自动更新、错误报告和 Windows Defender 服务。
  23. 关闭自动运行功能有助于降低任何再次感染的可能性。为此,请按照下列步骤操作:
    1. 根据您的环境,安装下列更新之一:
      • 如果运行的是 Windows 2000、Windows XP 或 Windows Server 2003,则安装更新 967715。 有关更多信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
        967715 如何禁用 Windows 中的自动运行功能
      • 如果运行的是 Windows Vista 或 Windows Server 2008,则安装安全更新 950582。 有关更多信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
        950582 MS08-038:Windows 资源管理器中的漏洞可能允许远程执行代码
      注意:更新 967715 和安全更新 950582 与此恶意软件问题无关。必须安装这些更新才能启用步骤 23b 中的注册表功能。
    2. 在命令提示符处键入下面的命令:
      reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
  24. 如果系统运行的是 Windows Defender,则重新启用 Windows Defender 自动启动位置。为此,请在命令提示符下键入以下命令:
    reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
  25. 对于 Windows Vista 和较新的操作系统,恶意软件会将 TCP Receive Window Autotuning 的全局设置改为禁用。若要将此设置改回,请在命令提示符处键入以下命令:
    netsh interface tcp set global autotuning=normal
如果在完成该过程后,计算机看似已再次感染,则以下条件之一可能为真:
  • 自动启动位置之一未被删除。例如,AT 作业未被删除,或 Autorun.inf 文件未被删除。
  • 安全更新 MS08-067 未正确安装。
此恶意软件可能会更改本文中未提及的其他设置。请访问以下 Microsoft 恶意软件防护中心网页,获取有关 Win32/Conficker 的最新详细信息:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker

验证该系统为干净系统

验证已启动以下服务:
  • 自动更新(wuauserv)
  • 后台智能传输服务(BITS)
  • Windows Defender (windefend)(如果适用)
  • Windows 错误报告服务
为此,请在命令提示符下键入以下命令。在键入每个命令后按 Enter:

Sc.exe query wuauserv
Sc.exe query bits
Sc.exe query windefend
Sc.exe query ersvc

每个命令运行后,您将会收到一条类似于以下内容的消息:
SERVICE_NAME:wuauserv
TYPE :20 WIN32_SHARE_PROCESS
STATE :4 RUNNING
(STOPPABLE,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE :0 (0x0)
SERVICE_EXIT_CODE :0 (0x0)
CHECKPOINT :0x0
WAIT_HINT :0x0
在此示例中,“STATE :4 RUNNING”表示该服务正在运行。

若要验证 SvcHost 注册表子项的状态,请执行以下步骤:
  1. 在注册表编辑器中,找到并单击下面的注册表子项:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
  2. 在详细信息窗格中,单击 netsvcs,然后查看列出的服务名称。滚动到列表的底端。如果该计算机再次感染了 Conficker,将列出随机服务名称。例如,在此过程中,恶意软件服务的名称为“Iaslogon”。
如果这些步骤未解决该问题,则与您的防病毒软件供应商联系。 有关此问题的详细信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:
49500 防病毒软件供应商列表
如果没有防病毒软件供应商,或您的防病毒软件供应商无法提供帮助,则与 Microsoft 客户支持服务联系获取更多帮助。

完全清理环境后

完全清理环境后,请执行以下步骤:
  1. 重新启用服务器服务和任务计划程序服务。
  2. 还原 SVCHOST 注册表项和任务文件夹的默认权限。应使用组策略设置将此权限恢复到默认设置。如果仅删除策略,可能不会更改回默认权限。请参阅“缓解步骤”部分中的默认权限表了解详细信息。
  3. 通过安装任意遗漏的安全更新来更新计算机。为此,使用 Windows Update、Microsoft Windows Server Update Services (WSUS)服务器、Systems Management Server (SMS)、System Center Configuration Manager (SCCM) 或第三方更新管理产品。如果使用 SMS 或 SCCM,则必须首先重新启用服务器服务。否则,SMS 或 SCCM 可能无法更新系统。

识别受感染的系统

如果在识别感染了 Conficker 的系统时遇到问题,则以下 TechNet 博客中提供的详细信息可能会对您有所帮助:
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx(英文网页)

默认权限表

下表显示了每个操作系统的默认权限。这些权限在您应用本文中所建议的更改之前就存在。它们可能与您的环境中设置的权限有所不同。因此,必须在进行任何更改前记录下您的设置,以便可以在清理系统后还原您的设置。
收起该表格展开该表格
操作系统Windows Server 2008Windows VistaWindows Server 2003Windows XPWindows 2000
设置Svchost 注册表任务文件夹Svchost 注册表任务文件夹Svchost 注册表任务文件夹Svchost 注册表任务文件夹Svchost 注册表任务文件夹
帐户
管理员(本地组)完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制
系统完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制完全控制
超级用户(本地组)不适用不适用不适用不适用读取不适用读取不适用读取不适用
用户(本地组)特殊不适用特殊不适用读取不适用读取不适用读取不适用
应用于:此项及子项应用于:此项及子项
查询值查询值
枚举子项枚举子项
通知通知
读取控制读取控制
经过身份验证的用户不适用特殊不适用特殊不适用不适用不适用不适用不适用不适用
应用于:仅此文件夹应用于:仅此文件夹
遍历文件夹遍历文件夹
列出文件夹列出文件夹
读取属性读取属性
读取扩展属性读取扩展属性
创建文件创建文件
读取权限读取权限
备份操作员(本地组)不适用不适用不适用不适用不适用特殊不适用特殊
应用于:仅此文件夹应用于:仅此文件夹
遍历文件夹遍历文件夹
列出文件夹列出文件夹
读取属性读取属性
读取扩展属性读取扩展属性
创建文件创建文件
读取权限读取权限
每个用户不适用不适用不适用不适用不适用不适用不适用不适用不适用特殊
应用于:此文件夹、子文件夹和文件
遍历文件夹
列出文件夹
读取属性
读取扩展属性
创建文件
创建文件夹
写入属性
写入扩展属性
读取权限

其他帮助

? 有关此问题的更多帮助,如果您正在美国境内,则可以与 Answer Desk 人员进行实时聊天:
Answer Desk
注意:本篇“快速发布”文章是从 Microsoft 支持组织直接创建的。 文中包含的信息按原样提供,用于响应紧急问题。 由于发布仓促,材料可能包含印刷错误,并且可能随时修订,恕不另行通知。 有关其他注意事项,请参阅使用条款

属性

文章编号: 962007 - 最后修改: 2013年1月15日 - 修订: 1.0
这篇文章中的信息适用于:
  • Windows Server 2008 Datacenter without Hyper-V
  • Windows Server 2008 Enterprise without Hyper-V
  • Windows Server 2008 for Itanium-Based Systems
  • Windows Server 2008 Standard without Hyper-V
  • Windows Server 2008 Datacenter
  • Windows Server 2008 Enterprise
  • Windows Server 2008 Standard
  • Windows Web Server 2008
  • Windows Vista Service Pack 1?当用于
    • Windows Vista Business
    • Windows Vista Enterprise
    • Windows Vista Home Basic
    • Windows Vista Home Premium
    • Windows Vista Starter
    • Windows Vista Ultimate
    • Windows Vista Enterprise 64-bit edition
    • Windows Vista Home Basic 64-bit edition
    • Windows Vista Home Premium 64-bit edition
    • Windows Vista Ultimate 64-bit edition
    • Windows Vista Business 64-bit edition
  • Windows Vista Business
  • Windows Vista Enterprise
  • Windows Vista Home Basic
  • Windows Vista Home Premium
  • Windows Vista Starter
  • Windows Vista Ultimate
  • Windows Vista Enterprise 64-bit edition
  • Windows Vista Home Basic 64-bit edition
  • Windows Vista Home Premium 64-bit edition
  • Windows Vista Ultimate 64-bit edition
  • Windows Vista Business 64-bit edition
  • Microsoft Windows Server 2003 Service Pack 1?当用于
    • Microsoft Windows Server 2003 Standard Edition
    • Microsoft Windows Server 2003 Enterprise Edition
    • Microsoft Windows Server 2003 Datacenter Edition
    • Microsoft Windows Server 2003 Web Edition
    • Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
    • Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
  • Microsoft Windows Server 2003, Datacenter x64 Edition
  • Microsoft Windows Server 2003, Enterprise x64 Edition
  • Microsoft Windows Server 2003, Standard x64 Edition
  • Microsoft Windows XP Professional x64 Edition
  • Microsoft Windows Server 2003 Service Pack 2?当用于
    • Microsoft Windows Server 2003 Standard Edition
    • Microsoft Windows Server 2003 Enterprise Edition
    • Microsoft Windows Server 2003 Datacenter Edition
    • Microsoft Windows Server 2003 Web Edition
    • Microsoft Windows Server 2003, Datacenter x64 Edition
    • Microsoft Windows Server 2003, Enterprise x64 Edition
    • Microsoft Windows Server 2003, Standard x64 Edition
    • Microsoft Windows XP Professional x64 Edition
    • Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
    • Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
  • Microsoft Windows XP Service Pack 2?当用于
    • Microsoft Windows XP Home Edition
    • Microsoft Windows XP Professional Edition
  • Microsoft Windows XP Service Pack 3?当用于
    • Microsoft Windows XP Home Edition
    • Microsoft Windows XP Professional Edition
  • Microsoft Windows 2000 Service Pack 4?当用于
    • Microsoft Windows 2000 Advanced Server
    • Microsoft Windows 2000 Professional Edition
    • Microsoft Windows 2000 Server
关键字:?
kbsccm kbregistry kbexpertiseinter kbsecurity kbsecvulnerability kbsurveynew KB962007
Microsoft和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性,不作任何声明。 所有该等文件及有关图形均"依样"提供,而不带任何性质的保证。Microsoft和/或其各供应商特此声明,对所有与该等信息有关的保证和条件不负任何责任,该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下,在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中,Microsoft和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。

提供反馈

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com