警惕svchost.exe报错 "扫荡波"致网络崩溃(图)
来源：岁月联盟
时间：2008-11-24
金山毒霸反病毒专家李铁军担心的表示，“扫荡波”更严重的危害在于，局域网中一旦有一台电脑中招，全网没有修复漏洞的电脑就都会感染病毒。如果待该病毒更新成为一个典型的蠕虫后，其传播量将会倍增，到时的实际危害将远超“冲击波”，国内用户面临着微软“黑屏”带来的最大后遗症。
金山毒霸反病毒专家李铁军表示，扫荡波主要通过挂马方式传播。未修补微软MS08-067漏洞补丁用户，访问被恶意挂马的网站时即遭受“扫荡波”安全，受到安全的系统，一旦安全失败将弹出svchost.exe崩溃，直接导致用户断网。如安全成功，“扫荡波”将在用户电脑中下载一个“下载者病毒”，该下载者还会下载其他的安全程序安装到被安全的计算机上。已知会下载的安全程序包括：机器狗安全下载器，QQ三国、完美系列网游等游戏盗号器，而这一切用户并不知情。
解决方案：
(1)建议用户开启金山毒霸文件监控，下载的病毒已经可以查杀。
(2)提醒用户下载MS08-067(KB958644)补丁，及时修复系统漏洞。
(3)如果打补丁出现问题或还出现安全推崇的崩溃现象则可以使用手工解决方案禁用IPC$空连接，避免病毒连接到用户系统上。方法如下：
运行regedit，找到如下子键
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/LSA
把RestrictAnonymous键值改为REG_DWORD：00000001
详解“扫荡波”蠕虫安全流程：
1.利用MS08-067漏洞安全，尝试创建IPC$空连接(图1)：
2.通过管道方式连接设备/brower(图2)：
3.安全失败的时候会弹出svchost.exe崩溃，无论点击“确定”还是“取消”按钮，都会造成网络奔溃，用户不能上网。
未安装VS的机器上(普通用户)是类似于(图3)：
4.安全成功，将执行一段shellcode下载病毒ko.exe运行，其中ko.exe是另一个安全下载器(图4)：
