近日，一种名为“冲击波”（ＷＯＲＭＭＳＢｌａｓｔＡ）的新型蠕虫病毒在我国迅速传播。我省公安机关网监部门和各杀毒软件厂商纷纷接到关于该病毒的用户紧急救助电话。
该病毒是利用前不久微软公司公布的Windows操作系统RPCDCOM漏洞进行传播，能够使遭受攻击的系统崩溃，并通过网络向仍有此漏洞的计算机传播。
计算机感染该病毒后会导致系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启, 不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响。
一、病毒详细情况
1. 病毒运行时会将自身复制到window目录下，并命名为： msblast.exe。
2. 病毒运行时会在系统中建立一个名为：“BILLY”的互斥量，目的是病毒只保证在内存中有一份病毒体，为了避免用户发现。
3. 病毒运行时会在内存中建立一个名为：“msblast.exe”的进程，该进程就是活的病毒体。
4. 病毒会修改注册表，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加以下键值："windows auto update"="msblast.exe"，以便每次启动系统时，病毒都会运行。
5. 病毒体内隐藏有一段文本信息：
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
6. 病毒会以20秒为间隔，每20秒检测一次网络状态，当网络可用时，病毒会在本地的UDP/69端口上建立一个tftp服务器，并启动一个攻击传播线程，不断地随机生成攻击地址，进行攻击，另外该病毒攻击时，会首先搜索子网的IP地址，以便就近攻击。
7. 当病毒扫描到计算机后，就会向目标计算机的TCP/135端口发送攻击数据。
8. 当病毒攻击成功后，便会监听目标计算机的TCP/4444端口作为后门，并绑定cmd.exe。然后蠕虫会连接到这个端口，发送tftp命令，回连到发起进攻的主机，将msblast.exe传到目标计算机上并运行。
9. 当病毒攻击失败时，可能会造成没有打补丁的Windows系统RPC服务崩溃，Windows XP系统可能会自动重启计算机。该蠕虫不能成功攻击Windows Server2003，但是可以造成Windows Server2003系统的RPC服务崩溃，默认情况下是系统反复重启。
10. 病毒检测到当前系统月份是8月之后或者日期是15日之后，就会向微软的更新站点"windowsupdate.com"发动拒绝服务攻击，使微软网站的更新站点无法为用户提供服务。
二、防治办法
为防止计算机感染该病毒，用户可以采取以下措施进行预防：
（一）、 立即给系统安装相应的RPC漏洞补丁程序。
如果您的操作系统是WINDOWS 2000、XP或者是WINDOWS 2003的系统，可连接互联网，利用系统本身的自动更新功能升级。用户也可以先进入微软网站，下载并安装相应的补丁程序，。以下是补丁的具体下载地址：
Windows NT 4.0 Server：
http://microsoft.com/downloads/details.aspx?FamilyId=2CC66F4E-217E-4FA7-BDBF-DF77A0B9303F&displaylang=en
Windows NT 4.0 Terminal Server Edition ：
http://microsoft.com/downloads/details.aspx?FamilyId=6C0F0160-64FA-424C-A3C1-C9FAD2DC65CA&displaylang=en
Windows 2000：
http://microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=en
Windows XP 32 bit Edition：
http://microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=en
Windows XP 64 bit Edition：
http://microsoft.com/downloads/details.aspx?FamilyId=1B00F5DF-4A85-488F-80E3-C347ADCC4DF1&displaylang=en
Windows Server 2003 32 bit Edition：
http://microsoft.com/downloads/details.aspx?FamilyId=F8E0FF3A-9F4C-4061-9009-3A212458E92E&displaylang=en
Windows Server 2003 64 bit Edition：
http://microsoft.com/downloads/details.aspx?FamilyId=2B566973-C3F0-4EC1-995F-017E35692BC7&displaylang=en
（二）、购买或升级杀毒软件
目前，国内外的杀毒软件厂商已提供查杀此病毒的升级程序，能迅速查杀“冲击波”病毒，用户可购买或升级杀毒软件到最新版本，实时监测并查杀该病毒。
另外，很多杀毒软件厂商开发了专门工具查杀“冲击波”病毒，用户可登陆这些厂商的互联网站免费获得这些工具。
（三）、通过设置防火墙防范
对于配备有防火墙的用户，可在防火墙上添加过滤规则，关闭对TCP135端口的访问，阻止病毒的攻击和传播。
如果机器已经被病毒感染，可以立即使用杀毒软件清除，或上网下载专杀工具清除病毒，然后下载安装补丁程序。
对于已经感染病毒的计算机，如果出现系统在启动后就反复重启的现象，无法上网去下载专杀工具或补丁，可以采用下列办法解决问题：
第一种办法：
1、运行services.msc（或打开“管理工具”中的“服务”），双击“Remote Procedure Call (RPC) ”服务，在“故障恢复”（或“恢复”）中将“第一次失败”“第二次失败”“后续失败”的操作都改为“不操作”；该操作使机器不会不断重启。
2、下载安装相应的补丁程序；
3、下载并运行“RPC蠕虫”病毒专杀工具对本机病毒进行查杀；
4、重新启动计算机；
第二种办法：进入安全模式，手工清除病毒
启动系统后进入安全模式，然后搜索C盘（WINDOWS或WINNT目录所在的磁盘），查找msblast.exe文件，找到后直接将该文件删除，然后再次正常启动计算机即可。
第三种办法：使用启动盘，在DOS环境下清除病毒
1、用DOS系统启动盘启动进入DOS环境下，进入操作系统目录如C:\windows (或 c:\winnt)
2、查找目录中的“msblast.exe”病毒文件。dir msblast.exe /s/p
3、找到后进入病毒所在的子目录，然后直接将该病毒文件删除。Del msblast.exe
用户手工清除了病毒体后，应上网下载安装相应的补丁程序。
此次遭病毒攻击的用户既有个人用户也有企业用户，包括电信、ＩＴ、政府部门。在这么短的时间内，病毒造成这么大的影响，主要原因是因为用户没有及时给系统打上RPC漏洞补丁的缘故，该漏洞补丁程序微软公司在半个多月以前就已经在其网站上公布。目前很多病毒都是利用系统漏洞来进行攻击及破坏，“冲击波”病毒就是典型代表，所以及时地给系统打补丁是防范这类病毒的必要措施。
