Worm.Blaster（中文：沖擊波/震盪波）技術檔案與清除指南

病毒檔案

• 類型：蠕蟲
• 警惕程度：★★★★
• 發作時間：隨機
• 傳播途徑：網絡 / RPC DCOM 緩衝區溢出 (MS03-026 / CVE-2003-0352)
• 依賴系統：Windows NT 4.0 / 2000 / XP / Server 2003

行為特徵

1. 掃描感染：不斷掃描網絡尋找 Win2K/XP 主機，利用 DCOM RPC 漏洞攻擊，成功則傳送病毒體感染，導致系統異常、頻繁重啟、甚至崩潰。
2. DoS 攻擊微軟更新站點：阻塞 windowsupdate.com，使用戶無法下載補丁。
3. 8月16日後：破壞系統下載/安裝該漏洞補丁的能力。

系統痕跡

• 互斥體：BILLY（防止重複運行）
• 進程名：msblast.exe（可在任務管理器終止）
• 文件落地：%systemdir%\msblast.exe
• 註冊表自啟動：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ "windows auto update" = "msblast.exe"
• 使用端口：135 (RPC)、4444 (Shell)、69 (TFTP)

清除步驟

1. 斷網，防止繼續掃描傳播。
2. 任務管理器結束 msblast.exe 進程。
3. 刪除 %systemdir%\msblast.exe。
4. 註冊表刪除 Run 下的 windows auto update 鍵值。
5. 防火牆/TCP-IP 篩選封鎖 135/4444/69 端口。
6. 安裝 MS03-026 補丁（補丁鏈接見原文），徹底堵住漏洞。

瑞星專家安全建議

1. 養成良好習慣：不開可疑郵件/附件/網站/未掃描下載文件。
2. 關閉/刪除不必要服務（FTP、Telnet、Web 服務等）。
3. 定期打系統安全補丁（80% 網絡病毒利用漏洞傳播）。
4. 使用複雜密碼防暴力破解。
5. 發現異常立即斷網隔離。
6. 學習註冊表/內存/進程基礎知識，定期自查。
7. 安裝專業殺毒軟件並持續更新、開啟實時監控、郵件監控、主動上報樣本。