发现日期：5月14日

此病毒利用“震荡波”的后门及系统MS-4011漏洞进行传播，会尝试清除系统里的“震荡波”、“恶鹰”、“网络天空”等多个电脑病毒，可能造成系统异常。占用大量网络资源，可能会造成企业局域网运行缓慢甚至瘫痪。

一、病毒评估

1．病毒中文名：假警察
2．病毒英文名：Worm.Win32.Dabber.a
3．病毒别名：Worm.Win32.Dabber.A (AVP)
4．病毒大小：29,696字节
5．病毒类型：蠕虫病毒
6．病毒危险等级：★★★★
7．病毒传播途径：系统漏洞/后门
8．病毒依赖系统：Windows 9X（可感染，但无危害）NT/2000/XP（可危害）

二、技术细节

1．复制自己到系统目录并实现自启动

   病毒运行后，将自己复制到%SYSTEM%目录，c:\Documents and Settings\All Users\Main menu\Programs\StartUp目录及c:\Documents and Settings\All Users\Start Menu\Programs\Starup目录中，文件名为：package.exe。在注册表HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\CurrentVersion\Run中加入自己的键值：sassfix=%system%\package.exe，病毒使用"sas4dab"为互斥量。

2．试图清除一些病毒的注册表键值：

尝试删除注册表Run项中的以下键值，使之不能正常启动：
   Video Process.
   TempCom.
   SkynetRevenge
   MapiDrv
   BagleAV
   System Updater Service
   soundcontrl
   WinMsrv32
   drvddll.exe
   navapsrc.exe
   skynetave.exe
   Generic Host Service
   Windows Drive Compatibility
   windows.Microsoft Update
   Drvddll.exe
   Drvddll_exe
   drvsys
   drvsys.exe
   ssgrate
   ssgrate.exe
   lsasss
   lsasss.exe
   avserve2.exe
   avvserrve32.avserve

3．建立四个线程实现一些功能。

（1）后门：
     病毒监视9898端口，等待客户端的连接。该后门可以执行一些如：执行文件，从特定网站下载文件等功能。

 （2）TFTP服务器：
    病毒监听69端口，实现一个tftp服务器，一旦病毒成功的利用漏洞攻击一个系统后被攻入的系统将从利用该服务器将病毒复制过去执行。以达到传播的目的。

 （3）一个空线程：
   病毒作者并没有实现任何代码。（可能下个版本将实现）

（4）利用漏洞进行攻击
   病毒利用本地系统的ip进行计算，找到攻击目标地址并尝试对其5554端口（震荡波的后门）的连接。

   A．如果联接失败：
   病毒将尝试对其9898端口的连接（用以识别目标系统是否已被病毒感染过），失败（目标系统没有被病毒感染）时病毒利用MS04-011漏洞对目标系统进行攻击，并利用自己的tftp服务器将自己复制过去。

   B．联接成功：
   病毒将尝试对其9898端口的连接（用以识别目标系统是否已被病毒感染过）当失败（目标系统没有被病毒感染）时病毒利用震荡波的后门将自己复制过去。

三、解决方案：

1.进行升级

瑞星公司将于当天进行升级，升级后的软件版本号为16.26.40，该版本的瑞星杀毒软件可以彻底查杀此病毒，瑞星杀毒软件标准版和网络版的用户可以直接登陆瑞星网站（http://www.rising.com.cn/）下载升级包进行升级，或者使用瑞星杀毒软件的“智能升级”功能。

2.使用在线杀毒和下载版

用户还可以使用瑞星公司的在线杀毒与下载版产品清除该病毒，这两款产品有多种支付途径，用户可以登陆网址：http://online.rising.com.cn/来使用在线杀毒产品，或者登陆网址： http://go.rising.com.cn/来使用下载版产品。

3.打电话求救

如果遇到关于该病毒的其它问题，用户可以随时拨打瑞星反病毒急救电话：010-82678800来寻求反病毒专家的帮助！

4.手动清除

（1） 打开注册表编辑器,删除如下键值<如果存在的话>:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Sassfix=%SYSTEM%\package.exe
（2） 打开任务管理器查看是否存在进程名为: package.exe（文件为%SYSTEM%\package.exe）终止它

（3） 将%SYSTEM%\system，C:\Documents and Settings\All Users\Main menu\Programs\StartUp目录及C:\Documents and Settings\All Users\Start Menu\Programs\Starup目录下的文件: package.exe删除。

注:%SYSTEM%是Windows系统的核心动态库所在目录，在Windows 9X/ME下默认为:C:\WINDOWS\SYSTEM,Windows 2000/XP下默认为:C:\WINNT\SYSTEM32。

四、安全建议：

1.建立良好的安全习惯。例如：不要轻易打开一些来历不明的邮件及附件，不要上一些不太了解的网站，不要运行从互联网上下载的未经杀毒处理的软件等，这些必要的习惯会使您的计算机更加安全。

2.关闭或删除系统中不需要的服务。默认情况下，操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大作用，如果删除它们，就能大大减少被攻击的可能性，增强电脑的安全。

3.经常升级安全补丁。据统计，大部分网络病毒都是通过系统安全漏洞进行传播的，象冲击波、大无极、SCO炸弹、网络天空等。漏洞的存在，会造成杀毒杀不干净的状况，所以应该定期到微软网站去下载最新的安全补丁，堵住系统的漏洞。

4.使用复杂的密码。有许多网络病毒是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数，减少被病毒攻击的概率。

5.迅速隔离受感染的计算机。当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。

6.了解一些病毒知识。这样您就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果能了解一些内存知识，就可以经常看看内存中是否有可疑程序。

7.最好是安装专业的防毒软件进行全面监控。在病毒日益增多的今天，使用杀毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控打开（如邮件监控）、遇到问题要及时上报，这样才能真正保障计算机的安全。

报告人：LiuGang