Alert wirusów dotyczący robaka Blastera i jego wariantów

W tym artykule opisano alert wirusów o robaku Blaster i jego wariantach i zawiera informacje o tym, jak zapobiegać zakażeniu robaka Blaster i jego wariantom oraz jak go odzyskać.

Dotyczy: Windows 10 — wszystkie wersje, Windows Server 2012 R2
Oryginalny numer KB: 826955

Podsumowanie

11 sierpnia 2003 r. firma Microsoft rozpoczęła badanie robaka zgłoszonego przez usługi pomocy technicznej firmy Microsoft (PSS), a zespół ds. zabezpieczeń psów firmy Microsoft wydał alert informujący klientów o nowym robaku. Robak jest typem wirusa komputerowego, który zwykle rozprzestrzenia się bez akcji użytkownika i dystrybuuje pełne kopie (prawdopodobnie zmodyfikowane) siebie między sieciami (takimi jak Internet). Znany jako "Blaster", ten nowy robak wykorzystuje lukę w zabezpieczeniach, która została rozwiązana przez Biuletyn zabezpieczeń firmy Microsoft MS03-026 (823980), aby rozłożyć się na sieci za pomocą otwartych portów zdalnego wywołania procedury (RPC) na komputerach, na których uruchomiono dowolne produkty wymienione na początku tego artykułu.

Ten artykuł zawiera informacje dla administratorów sieci i specjalistów IT o tym, jak zapobiegać zakażeniu robakiem Blaster i jego wariantom oraz jak go odzyskać. Robak i jego warianty są również znane jako W32. Blaster.Worm, W32. Blaster.C.Worm, W32. Blaster.B.Worm, W32. Randex.E (Symantec), W32/Lovsan.worm (McAfee), WORM_MSBLAST. A (Trendmicro) i Win32.Posa.Worm (Współpracownicy komputera). Aby uzyskać dodatkowe informacje na temat odzyskiwania po tym robaku, skontaktuj się z dostawcą oprogramowania antywirusowego.

Aby uzyskać dodatkowe informacje na temat dostawców oprogramowania antywirusowego, kliknij następujący numer artykułu, aby wyświetlić artykuł w bazie wiedzy Microsoft Knowledge Base:

49500 Lista dostawców oprogramowania antywirusowego

Jeśli jesteś użytkownikiem domowym, odwiedź następującą witrynę internetową firmy Microsoft, aby uzyskać instrukcje ułatwiające ochronę komputera i odzyskiwanie, jeśli komputer został zainfekowany robakiem Blaster:

Co to jest microsoft security essentials?

Objawy zakażenia

Jeśli komputer jest zainfekowany tym robakiem, mogą nie wystąpić żadne objawy lub mogą wystąpić jakiekolwiek z następujących objawów:

• Mogą zostać wyświetlone następujące komunikaty o błędach:

  Usługa zdalnego wywołania procedury (RPC) została nieoczekiwanie zakończona.
  System jest zamykany. Zapisz całą pracę w toku i wyloguj się.
  Wszelkie niezapisane zmiany zostaną utracone.
  To zamknięcie zostało zainicjowane przez NT AUTHORITY\SYSTEM.

• Komputer może być wyłączany lub wielokrotnie uruchamiany ponownie w losowych odstępach czasu.

• Na komputerze z systemem Windows XP lub na komputerze z systemem Windows Server 2003 może zostać wyświetlone okno dialogowe, które umożliwia zgłoszenie problemu firmie Microsoft.

• Jeśli używasz systemu Windows 2000 lub Windows NT, może zostać wyświetlony komunikat o błędzie Zatrzymania.

• Plik o nazwie Msblast.exe, Nstask32.exe, Penis32.exe, Teekids.exe, Winlogin.exe, Win32sockdrv.dll lub Yuetyutr.dll można znaleźć w folderze Windows\System32.

• Na komputerze mogą znajdować się nietypowe pliki TFTP*.

Szczegóły techniczne

Aby uzyskać szczegółowe informacje techniczne dotyczące zmian wprowadzonych przez tego robaka na komputerze, skontaktuj się z dostawcą oprogramowania antywirusowego.

Aby wykryć tego wirusa, wyszukaj plik o nazwie Msblast.exe, Nstask32.exe, Penis32.exe, Teekids.exe, Winlogin.exe, Win32sockdrv.dll lub Yuetyutr.dll w folderze Windows\System32 lub pobierz najnowszy sygnaturę oprogramowania antywirusowego od dostawcy oprogramowania antywirusowego, a następnie przeskanuj komputer.

Aby wyszukać następujące pliki:

1. Kliknij przycisk Start, kliknij przycisk Uruchom, wpisz cmd w polu Otwórz , a następnie kliknij przycisk OK.

2. W wierszu polecenia wpisz dir %systemroot%\system32\filename.ext /a /s, a następnie naciśnij klawisz ENTER, gdzie plik filename.ext jest Msblast.exe, Nstask32.exe, Penis32.exe, Teekids.exe, Winlogin.exe, Win32sockdrv.dll lub Yuetyutr.dll.

   Uwaga

   Powtórz krok 2 dla każdej z tych nazw plików: Msblast.exe, Nstask32.exe, Penis32.exe, Teekids.exe, Winlogin.exe, Win32sockdrv.dll i Yuetyutr.dll. Jeśli znajdziesz dowolny z tych plików, komputer może zostać zainfekowany robakiem. Jeśli znajdziesz jeden z tych plików, usuń plik, a następnie wykonaj kroki opisane w sekcji "Odzyskiwanie" tego artykułu. Aby usunąć plik, wpisz del %systemroot%\system32\filename.ext /a w wierszu polecenia, a następnie naciśnij klawisz ENTER.

Zapobiegania

Aby zapobiec infekowaniu komputera przez tego wirusa, wykonaj następujące kroki:

1. Włącz funkcję Zapory połączeń internetowych (ICF) w systemach Windows XP, Windows Server 2003, Standard Edition i Windows Server 2003, Enterprise Edition; lub użyj usługi Basic Firewall, Microsoft Internet Security and Acceleration (ISA) Server 2000 lub zapory innej firmy, aby zablokować porty TCP 135, 139, 445 i 593; Porty UDP 69 (TFTP), 135, 137 i 138; i port TCP 4444 dla zdalnej powłoki poleceń.

   Aby włączyć funkcję ICF w systemie Windows XP lub Windows Server 2003, wykonaj następujące kroki:

   1. Kliknij przycisk Start, a następnie kliknij polecenie Panel sterowania.
   2. W Panel sterowania kliknij dwukrotnie pozycję Sieć i internet Connections, a następnie kliknij pozycję Sieć Connections.
   3. Kliknij prawym przyciskiem myszy połączenie, w którym chcesz włączyć zaporę połączenia internetowego, a następnie kliknij pozycję Właściwości.
   4. Kliknij kartę Zaawansowane , a następnie kliknij, aby zaznaczyć pole wyboru Chroń mój komputer lub sieć, ograniczając lub uniemożliwiając dostęp do tego komputera z Internetu .

   Uwaga

   Niektóre połączenia telefoniczne mogą nie być wyświetlane w folderach Połączenie sieciowe. Na przykład połączenia telefoniczne AOL i MSN mogą nie być wyświetlane. W niektórych przypadkach można użyć poniższych kroków, aby włączyć protokół ICF dla połączenia, które nie jest wyświetlane w folderze Połączenie sieciowe. Jeśli te kroki nie działają, skontaktuj się z dostawcą usług internetowych (ISP), aby uzyskać informacje o sposobie zapory połączenia internetowego.

   1. Uruchom program Internet Explorer.
   2. W menu Narzędzia kliknij polecenie Opcje internetowe.
   3. Kliknij kartę Connections, kliknij połączenie telefoniczne używane do nawiązywania połączenia z Internetem, a następnie kliknij pozycję Ustawienia.
   4. W obszarze Ustawienia połączenia telefonicznego kliknij pozycję Właściwości.
   5. Kliknij kartę Zaawansowane , a następnie kliknij, aby zaznaczyć pole wyboru Chroń mój komputer lub sieć, ograniczając lub uniemożliwiając dostęp do tego komputera z Internetu .

   Aby uzyskać więcej informacji na temat włączania zapory połączeń internetowych w systemie Windows XP lub Windows Server 2003, kliknij następujący numer artykułu, aby wyświetlić artykuł w bazie wiedzy Microsoft Knowledge Base:

   283673 Jak włączyć lub wyłączyć zaporę w systemie Windows XP

   Uwaga

   Program ICF jest dostępny tylko w systemach Windows XP, Windows Server 2003, Standard Edition i Windows Server 2003, Enterprise Edition. Podstawowa zapora jest składnikiem routingu i dostępu zdalnego, który można włączyć dla dowolnego interfejsu publicznego na komputerze z uruchomionym zarówno routingiem, jak i dostępem zdalnym oraz członkiem rodziny Windows Server 2003.

2. Ten robak wykorzystuje wcześniej ogłoszoną lukę w zabezpieczeniach w ramach swojej metody infekcji. W związku z tym należy upewnić się, że zainstalowano poprawkę zabezpieczeń 823980 na wszystkich komputerach, aby usunąć lukę w zabezpieczeniach zidentyfikowaną w biuletynie zabezpieczeń firmy Microsoft MS03-026. Poprawka zabezpieczeń 824146 zastępuje poprawkę zabezpieczeń 823980. Firma Microsoft zaleca zainstalowanie poprawki zabezpieczeń 824146, która zawiera również poprawki problemów rozwiązanych w biuletynie zabezpieczeń firmy Microsoft MS03-026 (823980).

3. Użyj najnowszej sygnatury wykrywania wirusów od dostawcy oprogramowania antywirusowego, aby wykryć nowe wirusy i ich warianty.

Odzyskiwania

Najlepsze rozwiązania dotyczące zabezpieczeń sugerują, że przeprowadzasz kompletną instalację "czystą" na wcześniej naruszonym komputerze, aby usunąć wszelkie nieodkryte luki w zabezpieczeniach, które mogą prowadzić do przyszłego naruszenia zabezpieczeń. Aby uzyskać dodatkowe informacje, odwiedź następującą witrynę internetową usługi Cert Advisory:

Kroki odzyskiwania po naruszeniach systemu UNIX lub NT.

Jednak wiele firm antywirusowych napisało narzędzia do usuwania znanego exploita, który jest skojarzony z tym konkretnym robakiem. Aby pobrać narzędzie do usuwania od dostawcy programu antywirusowego, użyj następujących procedur w zależności od systemu operacyjnego.

Odzyskiwanie dla systemów Windows XP, Windows Server 2003, Standard Edition i Windows Server 2003, Enterprise Edition

1. Włącz funkcję zapory połączenia internetowego (ICF) w systemach Windows XP, Windows Server 2003, Standard Edition i Windows Server 2003, Enterprise Edition lub użyj zapory podstawowej, programu Microsoft Internet Security and Acceleration (ISA) Server 2000 lub zapory innej firmy.

   Aby włączyć środowisko ICF, wykonaj następujące kroki:

   1. Kliknij przycisk Start, a następnie kliknij polecenie Panel sterowania.
   2. W Panel sterowania kliknij dwukrotnie pozycję Sieć i internet Connections, a następnie kliknij pozycję Sieć Connections.
   3. Kliknij prawym przyciskiem myszy połączenie, w którym chcesz włączyć zaporę połączenia internetowego, a następnie kliknij pozycję Właściwości.
   4. Kliknij kartę Zaawansowane , a następnie kliknij, aby zaznaczyć pole wyboru Chroń mój komputer lub sieć, ograniczając lub uniemożliwiając dostęp do tego komputera z Internetu .

   Uwaga

   • Jeśli komputer jest wielokrotnie wyłączany lub uruchamiany ponownie podczas próby wykonania tych kroków, przed włączeniem zapory odłącz się od Internetu. Jeśli połączysz się z Internetem za pośrednictwem połączenia szerokopasmowego, znajdź kabel uruchamiany z zewnętrznego modemu DSL lub kabla, a następnie odłącz ten kabel od modemu lub gniazda telefonicznego. Jeśli używasz połączenia telefonicznego, znajdź kabel telefoniczny uruchamiany z modemu wewnątrz komputera do gniazda telefonicznego, a następnie odłącz ten kabel od gniazda telefonicznego lub komputera. Jeśli nie możesz odłączyć się od Internetu, wpisz następujący wiersz w wierszu polecenia, aby skonfigurować usługę RPCSS, aby nie uruchamiać ponownie komputera w przypadku niepowodzenia usługi: sc failure rpcss reset= 0 actions= restart.

     Aby zresetować usługę RPCSS do domyślnego ustawienia odzyskiwania po wykonaniu tych kroków, wpisz następujący wiersz w wierszu polecenia: sc failure rpcss reset= 0 actions= reboot/60000.

   • Jeśli masz więcej niż jeden komputer udostępniający połączenie internetowe, użyj zapory tylko na komputerze, który jest bezpośrednio połączony z Internetem. Nie używaj zapory na innych komputerach, które współużytkują połączenie internetowe. Jeśli korzystasz z systemu Windows XP, użyj Kreatora instalacji sieci, aby włączyć funkcję ICF.

   • Użycie zapory nie powinno mieć wpływu na usługę poczty e-mail ani przeglądanie sieci Web, ale zapora może wyłączyć niektóre oprogramowanie, usługi lub funkcje internetowe. W takim przypadku może być konieczne otwarcie niektórych portów w zaporze, aby niektóre funkcje internetowe działały. Zapoznaj się z dokumentacją dołączoną do usługi internetowej, która nie działa, aby określić, które porty należy otworzyć. Zapoznaj się z dokumentacją dołączoną do zapory, aby określić sposób otwierania tych portów.

   • W niektórych przypadkach można użyć poniższych kroków, aby włączyć protokół ICF dla połączenia, które nie jest wyświetlane w folderze Connections sieci. Jeśli te kroki nie działają, skontaktuj się z dostawcą usług internetowych (ISP), aby uzyskać informacje o sposobie zapory połączenia internetowego.

     1. Uruchom program Internet Explorer.
     2. W menu Narzędzia kliknij polecenie Opcje internetowe.
     3. Kliknij kartę Connections, kliknij połączenie telefoniczne używane do nawiązywania połączenia z Internetem, a następnie kliknij pozycję Ustawienia.
     4. W obszarze Ustawienia połączenia telefonicznego kliknij pozycję Właściwości.
     5. Kliknij kartę Zaawansowane , a następnie kliknij, aby zaznaczyć pole wyboru Chroń mój komputer lub sieć, ograniczając lub uniemożliwiając dostęp do tego komputera z Internetu .

   Aby uzyskać więcej informacji na temat włączania zapory połączeń internetowych w systemie Windows XP lub Windows Server 2003, kliknij następujący numer artykułu, aby wyświetlić artykuł w bazie wiedzy Microsoft Knowledge Base:

   283673 Jak włączyć lub wyłączyć zaporę w systemie Windows XP

   Uwaga

   Program ICF jest dostępny tylko w systemach Windows XP, Windows Server 2003, Standard Edition i Windows Server 2003, Enterprise Edition. Podstawowa zapora jest składnikiem routingu i dostępu zdalnego, który można włączyć dla dowolnego interfejsu publicznego na komputerze z uruchomionym routingiem i dostępem zdalnym i jest członkiem rodziny Windows Server 2003.

2. Pobierz poprawkę zabezpieczeń 824146, a następnie zainstaluj ją na wszystkich komputerach, aby usunąć lukę w zabezpieczeniach zidentyfikowaną w biuletynach zabezpieczeń firmy Microsoft MS03-026 i MS03-039.

   Uwaga

   Poprawka zabezpieczeń 824146 zastępuje poprawkę zabezpieczeń 823980. Firma Microsoft zaleca zainstalowanie poprawki zabezpieczeń 824146, która zawiera również poprawki problemów rozwiązanych w biuletynie zabezpieczeń firmy Microsoft MS03-026 (823980).

3. Zainstaluj lub zaktualizuj oprogramowanie antywirusowe, a następnie uruchom pełne skanowanie systemu.

4. Pobierz i uruchom narzędzie do usuwania robaków od dostawcy programu antywirusowego.

Odzyskiwanie dla systemów Windows 2000 i Windows NT 4.0

Funkcja zapory połączenia internetowego nie jest dostępna w systemie Windows 2000 lub Windows NT 4.0. Jeśli program Microsoft Internet Security and Acceleration (ISA) Server 2000 lub zapora innej firmy nie jest dostępna do blokowania portów TCP 135, 139, 445 i 593, porty UDP 69 (TFTP), 135, 137 i 138 oraz port TCP 4444 dla zdalnej powłoki poleceń, wykonaj następujące kroki, aby pomóc zablokować porty, których dotyczy problem, dla połączeń sieci lokalnej (LAN). Filtrowanie TCP/IP nie jest dostępne dla połączeń telefonicznych. Jeśli używasz połączenia telefonicznego do nawiązywania połączenia z Internetem, należy włączyć zaporę.

1. Konfigurowanie zabezpieczeń protokołu TCP/IP. W tym celu użyj procedury dla systemu operacyjnego.

   Windows 2000

   1. W Panel sterowania kliknij dwukrotnie pozycję Sieć i Connections telefoniczne.

   2. Kliknij prawym przyciskiem myszy interfejs używany do uzyskiwania dostępu do Internetu, a następnie kliknij pozycję Właściwości.

   3. W zaznaczonym polu Składniki są używane przez to połączenie kliknij pozycję Protokół internetowy (TCP/IP), a następnie kliknij pozycję Właściwości.

   4. W oknie dialogowym Właściwości protokołu internetowego (TCP/IP) kliknij pozycję Zaawansowane.

   5. Kliknij kartę Opcje .

   6. Kliknij pozycję Filtrowanie TCP/IP, a następnie kliknij pozycję Właściwości.

   7. Kliknij, aby zaznaczyć pole wyboru Włącz filtrowanie TCP/IP (wszystkie karty ).

   8. Istnieją trzy kolumny z następującymi etykietami:

      • Porty TCP
      • Porty UDP
      • Protokoły IP

      W każdej kolumnie kliknij opcję Zezwalaj tylko .

   9. Kliknij przycisk OK.

   Uwaga

   • Jeśli komputer jest wielokrotnie wyłączany lub uruchamiany ponownie podczas próby wykonania tych kroków, przed włączeniem zapory odłącz się od Internetu. Jeśli połączysz się z Internetem za pośrednictwem połączenia szerokopasmowego, znajdź kabel uruchamiany z zewnętrznego modemu DSL lub kabla, a następnie odłącz ten kabel od modemu lub gniazda telefonicznego. Jeśli używasz połączenia telefonicznego, znajdź kabel telefoniczny uruchamiany z modemu wewnątrz komputera do gniazda telefonicznego, a następnie odłącz ten kabel od gniazda telefonicznego lub komputera.
   • Jeśli masz więcej niż jeden komputer udostępniający połączenie internetowe, użyj zapory tylko na komputerze, który jest bezpośrednio połączony z Internetem. Nie używaj zapory na innych komputerach, które współużytkują połączenie internetowe.
   • Użycie zapory nie powinno mieć wpływu na usługę poczty e-mail ani przeglądanie sieci Web, ale zapora może wyłączyć niektóre oprogramowanie, usługi lub funkcje internetowe. W takim przypadku może być konieczne otwarcie niektórych portów w zaporze, aby niektóre funkcje internetowe działały. Zapoznaj się z dokumentacją dołączoną do usługi internetowej, która nie działa, aby określić, które porty należy otworzyć. Zapoznaj się z dokumentacją dołączoną do zapory, aby określić sposób otwierania tych portów.
   • Te kroki są oparte na zmodyfikowanym fragmencie artykułu bazy wiedzy Microsoft Knowledge Base 309798.

   Windows NT 4.0

   1. W Panel sterowania kliknij dwukrotnie pozycję Sieć.
   2. Kliknij kartę Protokół , kliknij pozycję Protokół TCP/IP, a następnie kliknij pozycję Właściwości.
   3. Kliknij kartę Adres IP , a następnie kliknij pozycję Zaawansowane.
   4. Kliknij, aby zaznaczyć pole wyboru Włącz zabezpieczenia , a następnie kliknij pozycję Konfiguruj.
   5. W kolumnach Porty TCP, Porty UDP i Protokoły IP kliknij, aby wybrać ustawienie Zezwalaj tylko .
   6. Kliknij przycisk OK, a następnie zamknij narzędzie Sieć.

2. Pobierz poprawkę zabezpieczeń 824146, a następnie zainstaluj ją na wszystkich komputerach, aby usunąć lukę w zabezpieczeniach zidentyfikowaną w biuletynach zabezpieczeń firmy Microsoft MS03-026 i MS03-039.

   Poprawka zabezpieczeń 824146 zastępuje poprawkę zabezpieczeń 823980. Firma Microsoft zaleca zainstalowanie poprawki zabezpieczeń 824146, która zawiera również poprawki problemów rozwiązanych w biuletynie zabezpieczeń firmy Microsoft MS03-026 (823980).

3. Zainstaluj lub zaktualizuj oprogramowanie antywirusowe, a następnie uruchom pełne skanowanie systemu.

4. Pobierz i uruchom narzędzie do usuwania robaków od dostawcy programu antywirusowego.

Aby uzyskać dodatkowe szczegóły techniczne dotyczące robaka Blaster od dostawców oprogramowania antywirusowego, którzy uczestniczą w Microsoft Virus Information Alliance (VIA), odwiedź dowolną z następujących witryn sieci Web innych firm:

• Skojarzenia sieci

• Trend Micro

• Symantec

• Skojarzenia komputera

Aby uzyskać dodatkowe szczegóły techniczne dotyczące znanych wariantów robaka Blaster, odwiedź następujące witryny sieci Web firmy Symantec:

W32. Randex.E: Nstask32.exe, Winlogin.exe, Win32sockdrv.dll i Yyuetyutr.dll

Symantec Security Center.

Aby uzyskać więcej informacji na temat programu Microsoft Virus Information Alliance, odwiedź następującą witrynę internetową firmy Microsoft:

Microsoft Security Response Center.

Aby uzyskać dodatkowe informacje na temat odzyskiwania po tym robaku, skontaktuj się z dostawcą oprogramowania antywirusowego.

Firma Microsoft udostępnia informacje dotyczące sposobów kontaktowania się z innymi firmami, aby ułatwić uzyskanie niezbędnej pomocy technicznej. Informacje te mogą zostać zmienione bez powiadomienia. Firma Microsoft nie gwarantuje dokładności informacji dotyczących innych firm.

Informacje

Aby uzyskać najbardziej aktualne informacje od firmy Microsoft na temat tego robaka, odwiedź stronę Microsoft Security Intelligence, aby uzyskać zasoby i narzędzia, aby zapewnić bezpieczeństwo i kondycję komputera. Jeśli masz problemy z zainstalowaniem samej aktualizacji, odwiedź stronę Pomoc techniczna dla usługi Microsoft Update dotyczącą zasobów i narzędzi, aby na bieżąco aktualizować komputer przy użyciu najnowszych aktualizacji.