主题：【请教专家】我的电脑这两天有点毛病 -- 起步停车
数次出现提示说：因为什么执行文件的问题，系统要重新启动；
或者挂在网上时，会自己死机；
另外上网一会后，开新窗口(Launch IE) 时，会跳个不停。
是不是中毒了？
怎么杀啊？
The Error Message:
C/windows/system32/LSass.exe terminated unexpectedly with status code -1073741819, the system will now shut down and restart.
救命啊
这里是关于Lsass.exe的基本常识。你上Google查一下，也许有人和你有同样的问题
1。 Local Security Authority
2。 Net Logon service
3。 Security Accounts Manager service
4。 LSA Server service
5。 Secure Sockets Layer (SSL)
6。 Kerberos v5 authentication protocol
7。 NTLM authentication protocol
症状是：该病毒会使“安全认证子系统”进程━━LSASS.exe崩溃，出现系统反复重启的现象，并且使跟安全认证有关的程序出现严重运行错误。
杀毒参考：
还是谢谢燕人和HIGHWAY了，大家一定要警惕啊。
别让我逮着这些造病毒的家伙，全拉出去斩首！
根据分析，“震荡波”病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。瑞星技术服务部副总经理王建锋表示，使用Win2000、2003和XP的用户，只要上网就有可能被感染，特别是ADSL等宽带用户。
目前用户反应的最重要的问题是，无法正常下载微软补丁程序，因此导致重复感染。瑞星反病毒专家分析，用户无法打补丁主要是一下几个原因：
1、已经感染此病毒，系统无法正常运行。
2、已经感染此病毒，造成电脑连续重启，而微软的补丁程序非常大，根本来不及下载。
3、未感染病毒，但是系统版本太低，如是NT或者2000操作系统，但是从未打过Service Pack，也有可能无法打补丁。
4、由于版本等其它原因，无法正常下载和安装微软补丁程序。
针对这一严峻形势，瑞星宣布于5月2日凌晨一点、用中英文两种版本全球发布其独家的内存补丁工具。该补丁程序数据量非常小(80K)、很容易下载，适用于所有被“震荡波”病毒威胁和已经被感染的用户。该补丁程序下载地址为：http://download.rising.com.cn/zsgj/RavSasser.exe。
如果用户来不及下载、或者由于版本问题无法下载微软的补丁程序，或下载的补丁无法正常安装，请立刻下载瑞星提供的、只有80K大小内存补丁工具。该程序拥有三个明显的优点：一是数据量非常小，可以在机器重启之前迅速下载；二是适用于所有无法正常下载微软补丁程序的用户；三是该补丁集成在瑞星“震荡波”专杀工具中，因此瑞星的“震荡波”专杀工具既能查杀“震荡波”病毒，又能有效防止利用MS04-011漏洞的病毒变种。
瑞星反病毒专家分析，由于五一假期的原因，大量使用Win2000、NT和XP的企事业单位用户没有开启电脑，因此更大的疫情有可能出现在5月8日正式上班之后。又讯，瑞星全球反病毒监测网于5月2日上午率先截获“震荡波”病毒第一个变种(Worm/Sasser.B)。
如果是XP用户，可以下载最新的XP Service Pack 2（Candidate Release 2），这是最新最全的补丁和更新。如果你没有权力下载，请给我来短信。
2）重新安装操作系统（clean install or upgrade),然后马上安装CD上的程序，这样在病毒激活以前先将漏洞堵上。
3）最后，用你能得到的最新杀毒软件将硬盘文件过一遍。
Good luck!
我用的系统是WIN2000，几个同事都中招了，我把系统升了三次级，几乎微软能提供的升级包都安装了，还把防病毒程序也升得没法再升了。不知道是否管用。现在我正心惊胆颤的工作，不知道机器何时再重启。
可能的话，先切断Network,大家一起行动，全部恢复后在Connect to network.
不敢上网啊，怎么办？
当然了，要有代价的。你先把雪个的秘密告诉我。Fair enough, right?
“震荡波”技术细节及处理方法
--------------------------------------------------------------------------------
http://www.sina.com.cn 2004年05月01日 19:13 新浪科技
【附加信息】
以下是“震荡波”的技术细节：
病毒信息
病毒名称:Worm.Sasser
病毒长度:15,872Bytes
中文名称:震荡波
病毒别名:
W32/Sasser.worm
病毒类型:漏洞蠕虫
受影响系统:Win9x/WinNT/Win2000/WinXP/Win2003
病毒传染方式：
A、在注册表主键：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
下添加如下键值:
"avserve.exe" = %SystemRoot%avserve.exe
B、拷贝其本身至系统目录：
%System%<5位随机数字>_up.exe
C、在C盘根目录创建以下文件：
C:win.log(该文件用以记录本地主机的IP地址)
D、该病毒会监听以1068起始的TCP端口，同时扫描随机的IP地址；
E、它还会开启TCP端口5554来建立一个FTP服务器，用于传播病毒本身；
F、由于该病毒本身编写的漏洞存在，它运行一段时间后会导致LSASS.EXE的崩溃，当LSASS.EXE崩溃时系统默认会重启。
如果不幸中招，无法上网，高级用户也可通过如下办法进行手工清除：
A、如果系统为WinMe或WinXP，则请先关闭系统还原功能。
B、对于系统是Win9x/WinMe
步骤一，删除病毒主程序
请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录(默认的系统目录为C:windows)，分别输入以下命令，以便删除病毒程序：
C:windowssystem32>del *_up.exe
C:windowssystem32>cd..
C:windows>del avserve.exe
完毕后，取出系统软盘，重新引导到Windows系统。
如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。
步骤二，清除病毒在注册表里添加的项
打开注册表编辑器:点击开始>运行,输入REGEDIT,按Enter；
在左边的面板中,双击(按箭头顺序查找，找到后双击)：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
在右边的面板中,找到并删除如下项目："avserve.exe" = %SystemRoot%avserve.exe
关闭注册表编辑器
步骤一，使用进程序管里器结束病毒进程
右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务管理器中，单击“进程”标签，在例表栏内找到病毒进程“avserve.exe”，单击“结束进程按钮”，点击“是”，结束病毒进程，然后关闭“Windows任务管理器”；
步骤二，查找并删除病毒程序
通过“我的电脑”或“资源管理器”进入系统安装目录(Winnt或windows)，找到文件“avserve.exe”，将它删除;然后进入系统目录(Winntsystem32或windowssystem32)，找到文件"*_up.exe",将它们删除；
步骤三，清除病毒在注册表里添加的项
打开注册表编辑器:点击开始>运行,输入REGEDIT,按Enter；
在左边的面板中,双击(按箭头顺序查找，找到后双击)：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
在右边的面板中,找到并删除如下项目："avserve.exe" = %SystemRoot%avserve.exe
关闭注册表编辑器.
外电介绍清除和预防震荡波病毒的三种方法
--------------------------------------------------------------------------------
http://www.sina.com.cn 2004年05月04日 10:04 新浪科技
新浪科技讯 正在迅速蔓延的震荡波病毒不断侵袭着人们的Windows系统，感染者上网速度极慢，不停地被迫关机。这里向大家介绍一些反病毒公司和微软推荐的去除病毒和避免再次感染的方法：
1、保护你的计算机。如果可能的话，为你的计算机安装一个防火墙，这样可以限制病毒的破坏程度，保证病毒被清除之后不再返回。Windows XP就带有一个防火墙，可以通过微软网站进行安装(www.microsoft.com/security/protect)，网站上还告诉旧版Windows用户如何安装这一防火墙。此外，还可以从第三方公司获得防火墙，有专家推荐从www.zonelabs.com下载ZoneAlarm的防火墙。由于震荡波会对计算机的互联网接入产生影响，所以在安装防火墙之后你应该运行扫描程序，检查病毒是否已经回到了你的计算机中。
2、清除病毒。微软和很多反病毒公司都在他们的网站上提供了震荡波病毒的扫描和清除工具，它们都是免费的，微软的下载网址是www.microsoft.com/security/incident/sasser.asp，该网站还提供了反病毒公司免费扫描和清除工具的下载链接。如果你的计算机受病毒影响无法下载这些工具，你可以请自己的朋友或同事使用未被感染的计算机下载这些工具，然后通过磁盘或USB等进行安装。安全专家指出，震荡波病毒不会影响计算机使用磁盘和USB等的能力。最后，如果你还不能清除病毒的话，请试试Network Associates Inc.(vil.nai.com/vil/content/v_125007.htm)和赛门铁克(securityresponse.symantec.com/avcenter/venc/data/w32.sasser.worm.html)推荐的手工清除方法：
a、如果病毒正在运行，按control-alt-delete，选择任务管理器，用鼠标点击清除带有avserve.exe和后带_up.exe的4位或5位数字(例如74354_up.exe)，然后退出任务管理器。
b、如果你的系统是Windows Me或XP，暂停System Restore功能，以防止系统重新安装病毒(上面的赛门铁克网站上提供了具体的方法)。
c、关闭计算机，中断网线或是无线连接卡。
d、重新启动计算机，进入安全模式(必须在启动画面按F8)。
e、进入Windows Explorer，然后删除WINDOWS目录(c:windows或c:winnt)下的AVSERVE.EXE文件。
f、现在，必须编辑计算机的注册表，消除病毒。这时要非常小心，因为这一工作很有可能对你的计算机产生危害。先点击“开始”，选“运行”，输入REGEDIT，确认。然后点击正确的小加号进入HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun，在右边框内删除avserve.exe"="%Windir%avserve.exe值。然后退出编辑器。
g、在默认状态重新启动计算机。
h、重新接入互联网，运行上面提到过的微软或反病毒公司提供的工具，确认你已经消除了病毒。
i、最后重新恢复System Restore功能。
还有，需要警告的一点是不要打开任何声称带有震荡波清除病毒工具的邮件附件。
3、防止再度感染。首先，进入windowsupdate.microsoft.com点击扫描升级，然后安装升级补丁，835732对Windows的一个漏洞进行了修复，可以防止病毒感染。另外，还要安装其它一些安全补丁，保护你的计算机将来不受其它病毒的感染。注意不要过早地恢复你的System Restore功能，一定在确定没有感染病毒和计算机已经得到妥善保护之后再恢复。(明月编译)
“震荡波”让微软补丁失效 瑞星发布新补丁
--------------------------------------------------------------------------------
http://www.sina.com.cn 2004年05月02日 13:25 新浪科技
针对微软MS04-011漏洞的“震荡波”病毒来势汹汹，目前已有大量被感染用户向瑞星技术服务部门求助。在4月29日瑞星发布的一级安全警报中表示，根据瑞星互联网攻防实验室的监测，有90%以上的用户没有下载微软的补丁程序。
根据瑞星技术服务部门的监测，目前“震荡波”病毒已经开始在全球泛滥，预计在未来数日内将会迅速蔓延。虽然瑞星已经升级了杀毒软件并且向非瑞星用户提供免费的专杀工具，但是一个非常重要的问题是，许多被感染的用户由于病毒的破坏，已经无法正常上网下载补丁程序和反病毒软件。
针对这一严峻形势，瑞星宣布于5月2日凌晨两点、用中英文两种版本全球发布其独家的内存补丁工具。该补丁程序数据量非常小(80K)、很容易下载，适用于所有被“震荡波”病毒威胁和已经被感染的用户。该补丁程序下载地址为：http://download.rising.com.cn/zsgj/RavSasser.exe。
如果用户来不及下载、或者由于版本问题无法下载微软的补丁程序，或下载的补丁无法正常安装，请立刻下载瑞星提供的、只有80K大小内存补丁工具。该程序拥有三个明显的优点：一是数据量非常小，可以在机器重启之前迅速下载；二是适用于所有无法正常下载微软补丁程序的用户；三是该补丁集成在瑞星“震荡波”专杀工具中，因此瑞星的“震荡波”专杀工具既能查杀“震荡波”病毒，又能有效防止利用MS04-011漏洞的后续版本的病毒。
瑞星研发部总经理王耀华表示,这是全球首次由反病毒厂商向用户提供内存补丁工具,解决了用户无法正常下载微软补丁程序、以及杀了毒再中毒的问题,是全球安全业界的一个创举,受益者不光包括国内用户,还有国外的用户。
用户无法正常下载微软补丁程序的原因如下：
1、已经感染此病毒，系统无法正常运行。
2、已经感染此病毒，造成电脑连续重启，而微软的补丁程序非常大，根本来不及下载。
3、未感染病毒，但是系统版本太低，如是NT或者2000操作系统，但是从未打过Service Pack，也有可能无法打补丁。
4、由于版本等其它原因，无法正常下载和安装微软补丁程序。
该补丁程序适用于以下几种用户:
1、该此补丁适合于所有未打过或者无法打上微软官方MS04-011漏洞补丁的电脑，也适合于由于业务需要能打补丁、但不能进行系统重启的核心业务电脑。
2、此补丁能自动检测操作系统类型，动态生成内存补丁，并立即生效，适合于Windows 2000系列操作系统，以及Windows XP系列操作系统。
3、由于版本等其它原因，无法正常下载和安装微软补丁程序。