最近学生机一直出现系统即将关机。请保存所有正在运行的工作,然后注销。为保存的改动将会丢失。关机

我们学校是无盘工作站。最近学生机一直出现系统即将关机。请保存所有正在运行的工作,然后注销。为保存的改动将会丢失。关机是由NT AUTHORITY＼SYSTEM初始的
离关机 还有：00：00：47
消息
系统处理程序
c:\winnt\system32\services.exe出乎意料地终止，状态码为128．系统现将关机，并重新启动．
等提示

中了蠕虫病毒。
专杀工具http://it.rising.com.cn/service/technology/rav_Zotob.htm
病毒利用了8月9日微软发布的即插即用中的漏洞（MS05-039），在微软发布安全公告后短短的5天之内即出现该蠕虫，表明病毒作者利用漏洞的能力越来越强。用户电脑感染了该病毒之后，在某些情况下会出现系统频繁重启的现象。同时，该病毒会在用户电脑上开设后门，方便黑客对其进行远程控制。
该病毒典型症状：系统处理程序c:\Windows\system32\services.exe意外中止，系统将关机并重启！ 离关机还有*妙！

一、病毒评估

1．病毒英文名：Worm.Zotob
2．病毒类型：蠕虫病毒
3．病毒危险等级：★★★☆
4．病毒传播途径：网络
5．病毒依赖系统：WIN 2000/XP/2003

二、病毒破坏

1．造成系统频繁重启
当病毒攻击失败的时候，会造成系统频繁重启。病毒攻击目标系统时，可能造成系统不断重启（如图示），与震荡波、冲击波发作的时候类似，只不过在Zotob影响的进程变了，变为系统关键进程“Services.exe”

2、给系统开设后门

3、修改系统文件，使用户的杀毒软件不能升级。

三、技术分析

一旦执行,病毒将执行以下操作:

1. 病毒启动后，会将自己复制到系统目录中，病毒文件名为“botzor.exe”。

2、在注册表中添加下列启动项：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"WINDOWS SYSTEM" = botzor.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\RunServices
"WINDOWS SYSTEM" = botzor.exe;
3、在感染的时候，病毒利用IP扫描的方式在网络中寻找具有漏洞的系统，发现后就会对系统进行攻击，连接系统的445端口，并植入系统中一个远程SHELL，此远程SHELL释放一个文件 2PAC.TXT，此文件中包含有一段FTP命令脚本，功能是利用FTP从远程将病毒文件下载到本地。

4、如果攻击失败，则造成系统重启
阻击波病毒预防完全处理办法：
1.安装防病毒软件，开启实时升级最快速度升级最新病毒库防止该病毒的入侵和完全查杀该病毒
2：使用个人网防火墙封着系统默认打开的TCP 445端口，切断病毒入侵的途径
3：安装操作系统补丁
http://www.microsoft.com/china/t ... letin/MS05-039.mspx

温馨提示：内容为网友见解，仅供参考

当前网址：https://11.t2y.org/zz/f28vpq8m.html