红色蠕虫病毒的预防检查及系统恢复方法

　　对于可能受红色蠕虫病毒感染的计算机系统，包括安装有IIS 4.0或者IIS 5.0的Microsoft Windows NT 4.0和Windows 2000的主机，需要采取以下措施进行病毒预防和病毒感染处理。

一、立即采取以下两种安全防范措施之一，预防红色蠕虫病毒感染。
　　方法1：从微软的网站下载打补丁软件，地址为：
　　　　　http://www.microsoft.com/technet/security/bulletin/MS01-033.asp
　　　　　或者从CCERT的网站下载打补丁软件，地址为：
　　　　　对Windows NT：
　　　　　ftp://ftp.ccert.edu.cn/pub/CHSQ300972i.exe
　　　　　对Win2000：
　　　　　ftp://ftp.ccert.edu.cn/pub/Q300972_W2k_SP3_x86_cn.exe
　　方法2：把%windowsdir%\system32中的idq.dll做备份，然后删除。

二、通过主机的系统日志检察系统是否已被感染红色蠕虫病毒。
　　在目录C:\winnt\system32\logfiles\w3svc1下的文件中，如果发现含有以下内容的文件，则说明主机已经感染红色蠕虫病毒。
"GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u68
58%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%
u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0"

三、对于已经感染病毒的主机，按以下步骤消除病毒：
　　(1) 将该机器从网络上断开，以避免重复感染和感染其它机器。
　　(2) 立即停止IIS服务。打开控制面板，打开"服务"，点击World Wide Web Publishing Service. 选择"已禁用"。
　　(3) 重新启动机器，运行cmd，在cmd窗口中运行以下命令（或下载批处理文件ftp://ftp.ccert.edu.cn/pub/clean.bat），以删除蠕虫病毒留下的后门。
　　　　C:
　　　　CD C:\
　　　　ATTRIB -h -s -r explorer.exe
　　　　Del explorer.exe
　　　　Del C:\inetpub\scripts\root.exe
　　　　Del C:\progra~1\Common~1\System\MSADC\Root.exe
　　　　D:
　　　　CD D:\
　　　　Attrib -h -s -r explorer.exe
　　　　Del explorer.exe
　　　　Del D:\inetpub\scripts\root.exe
　　　　Del D:\progra~1\Common~1\System\MSADC\Root.exe
　　　　忽略其中任何错误。
(4) 修改被蠕虫改动过的注册表：
　　运行regedit
　　选择：
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
　　　　Services\W3SVC\Parameters\Virtual Roots
　　　　　　选择/C,选择删除；选择/D, 选择删除。
　　　　　　选择：/MSADC，将217换为201。
　　　　　　选择：/scripts，将271换为201。
　　对于Windows 2000系统，需要打开：
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon
　　将SFCDisable改为0。
(5) 重新启动机器。