8月14日上午8：30，瑞星全球反病毒监测网率先截获“冲击波”病毒的两个最新变种，分别命名为：冲击波II（Worm.Blaster.B）、冲击波III（Worm.Blaster.C），请广大用户提高警惕，及时升级杀毒软件或者下载专杀工具。
1.Worm.Blaster.c
破坏方法：该病毒运行后,建立一个名为“BILLY”的互斥量,将自己复制到window目录下。
文件名为：teekids.exe并在注册表加入自己的键值以达到自动运行的目的.
病毒以20秒为间隔，检测网络是否连接。当网络可用时,该病毒自己监听端口69,模拟出一个TFTP服务器。并用启动一个攻击传播线程,不断的随机生成攻击地址，尝试利用DCOM RPC漏洞进行传播（端口：135）。当被攻击系统存在漏洞时，将执行病毒的shell代码，该段代码自身被做简单加密处理，它将运行一个远程shell（CMD.EXE 端口4444）,远程shell将利用tftp从攻击这方下载病毒体到%system%目录执行。
如果当前日期是16号－31号或当前月份大于8，病毒就会对“windowsupdate.com”进行拒绝服务攻击。
病毒本内有一段文本信息：
I just want to say LOVE YOU SAN!!billy gates why do you make this possible ?
Stop making money and fix your software!!
附加说明：
RPC漏洞：
漏洞主要发生在RPC服务为DCOM服务提供__RemoteGetClassObject接口上，当传送一个特定包导致解析一个结构的指针参数为NULL的时候， __RemotoGetClassObject 未对此结构指针参数有有效性检查,导致缓冲区溢出。
病毒危害：
遭此病毒攻击之后，许多基于RPC的应用无法使用，如使用网络与拨号连接拨号，配置本地连接等，一些基于RPC，DCOM的服务与应用将无法正常运行，由于RPC服务是MS WINDOWS中一个重要的服务，他开放的135端口同时用于DCOM的认证，epmapper管道用于RPC端点的影射，并默认为系统信任，如果一个攻击者能够以低权限在被攻击机器上运行一个程序，在RPC服务崩溃以后，就可以通过劫持epmapper管道和135端口的方法来提升权限或获得DCOM客户端认证的信息，此病毒就是利用这个原理来进行传播。
此病毒能够感染的系统
Microsoft Windows NT 4.0
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows server 2003
2.Worm.RPC.Sdbot
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444.691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
3.Worm.RPC.Sdbot.enc
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444,691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
4.Worm.RPC.Sdbot.dll
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，
此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播
RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\WindowsCurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsCurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsCurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NTCurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444，691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
新版查杀冲击波工具:
瑞星“冲击波(Worm.Blaster)”病毒专杀工具1.2版( 可查杀新变种)
1.Worm.Blaster.c
破坏方法：该病毒运行后,建立一个名为“BILLY”的互斥量,将自己复制到window目录下。
文件名为：teekids.exe并在注册表加入自己的键值以达到自动运行的目的.
病毒以20秒为间隔，检测网络是否连接。当网络可用时,该病毒自己监听端口69,模拟出一个TFTP服务器。并用启动一个攻击传播线程,不断的随机生成攻击地址，尝试利用DCOM RPC漏洞进行传播（端口：135）。当被攻击系统存在漏洞时，将执行病毒的shell代码，该段代码自身被做简单加密处理，它将运行一个远程shell（CMD.EXE 端口4444）,远程shell将利用tftp从攻击这方下载病毒体到%system%目录执行。
如果当前日期是16号－31号或当前月份大于8，病毒就会对“windowsupdate.com”进行拒绝服务攻击。
病毒本内有一段文本信息：
I just want to say LOVE YOU SAN!!billy gates why do you make this possible ?
Stop making money and fix your software!!
附加说明：
RPC漏洞：
漏洞主要发生在RPC服务为DCOM服务提供__RemoteGetClassObject接口上，当传送一个特定包导致解析一个结构的指针参数为NULL的时候， __RemotoGetClassObject 未对此结构指针参数有有效性检查,导致缓冲区溢出。
病毒危害：
遭此病毒攻击之后，许多基于RPC的应用无法使用，如使用网络与拨号连接拨号，配置本地连接等，一些基于RPC，DCOM的服务与应用将无法正常运行，由于RPC服务是MS WINDOWS中一个重要的服务，他开放的135端口同时用于DCOM的认证，epmapper管道用于RPC端点的影射，并默认为系统信任，如果一个攻击者能够以低权限在被攻击机器上运行一个程序，在RPC服务崩溃以后，就可以通过劫持epmapper管道和135端口的方法来提升权限或获得DCOM客户端认证的信息，此病毒就是利用这个原理来进行传播。
此病毒能够感染的系统
Microsoft Windows NT 4.0
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows server 2003
2.Worm.RPC.Sdbot
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444.691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
3.Worm.RPC.Sdbot.enc
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444,691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
4.Worm.RPC.Sdbot.dll
破坏方法：使用RPC漏洞传播的蠕虫病毒一旦执行，将释放以下两个文件到系统目录：
winlogin.exe
yuetyutr.dll
WINLOGIN.EXE ：就是蠕虫“Worm.RPC.Sdbot”，它将YUEYUTR.DLL注入到资源管理器的进程内存中YUEYUTR.DLL ：是此病毒用来传播的组件，它运行后将探测网络上存在RPC DCOM漏洞的机器，如果存在病毒则在此机器上打开4444端口，运行一个远程shell<此shell的代码与病毒Worm.Blaster的是同一个>，随后创建一个线程来模拟一个TFTP服务器<本机>，病毒随后命令中毒机器<远程>从本机TFTP服务器下载winlogin.exe并执行，进行下一次传播流程。
其它信息：
病毒使用的是SDBOT的变种，一种IRC病毒，
此种SDBOT是一种后门病毒，它可以连接到指定的IRC服务器上并使用随机的昵称加入到指定的channel中。
病毒通过Microsoft windows的RPC漏洞进行传播
RPC漏洞详情请访问微软网站：
http://www.microsoft.com/technet/tr...in/MS03-026.asp
HKEY_CURRENT_USER\Software\Microsoft\WindowsCurrentVersion\Runonce
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsCurrentVersion\Run
NdplDeamon = "winlogin.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsCurrentVersion\Run
winlogon = "winlogin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NTCurrentVersion\Winlogon
Shell = "explorer.exe winlogin.exe"
在Windows 95, 98, and ME系统上，病毒修改文件：SYSTEM.INI
[boot]
shell = explorer.exe winlogin.exe
4444，691.在win2k下有可能导致资源管理启动异常
2.病毒进行RPC DCOM漏洞探测时可能导致系统重启
新版查杀冲击波工具:
瑞星“冲击波(Worm.Blaster)”病毒专杀工具1.2版( 可查杀新变种)
