The worm contains the following text, which is never displayed:

"I just want to say LOVE YOU SAN!! billy gates why do you make this possible ? Stop making money and fix your software!!"

Background:
===========

Windows發現史上最嚴重安全漏洞

日前，記者收到一個來自啟明星辰的警告信息，稱其分析並驗證了迄今為止Windows最為嚴重的安全漏洞。藉助這個漏洞，全球互聯網有可能再度遭受大規模的病毒攻擊，其損失將超過幾十億美元。

根據介紹，這個漏洞是由啟明星辰積極防禦實驗室於25日12時30分時正式確認的，這個漏洞存在於所有Windows 2000、Windows XP、Windows 2003 Server的系統中，黑客（或攻擊者）可以通過此漏洞遠程的獲取這些系統的控制權限。藉助此漏洞編寫的蠕蟲病毒程序，極有可能產生成與SQL-SLAMMER類似的巨大破壞力（據不完全統計，SQL-SLAMMER蠕蟲已經在全球造成了幾十億美元的損失），而且可能比SQL-SLAMMER蠕蟲具有更大的破壞力。因為現今所有Windows NT以上的系統都存在此漏洞，不受任何應用服務（如SQL SERVER）的局限，來自黑客與蠕蟲病毒的威脅，將指向所有使用Windows的用戶（包括企業用戶和個人用戶），而不僅是過去的網站服務商。

值得注意的是，這個早在今年7月17日時就已經被Lsd-pl安全組織公布，但其並沒有提供關於此漏洞的詳細資料，只是提到135 端口的DCOM RPC服務有緩衝區溢出漏洞。因此，啟明星辰的這個分析是目前最為詳細的。

來自啟明星辰給外界的郵件中稱，此漏洞不僅僅針對135端口，而且139端口、445端口甚至HTTP，這些所有與DCOM RPC關聯的端口或服務，都存在此漏洞，這樣攻擊者可以使用多種方式來遠程的利用此漏洞。同時，該漏洞也存在使用UDP觸發的可能性，這樣利用此漏洞極有可能產生成與SQL-SLAMMER類似有巨大破壞力的蠕蟲。LSD 的RPC溢出漏洞（MS03-26）其實包含了2個溢出漏洞，一個是本地的，一個是遠程的。他們都是由一個通用接口導致的。

根據介紹，微軟公司發布的，針對此漏洞的補丁程序對於這個漏洞可以進行有效防範，一些安全公司對此發布的補丁程序也可以進行防範。

Forecast
========
電腦蠕蟲周六攻擊視窗

【 明 報 專 訊 】 電 腦 病 毒 專 家 表 示 ， 一 種 新 型 電 腦 蠕 蟲 「 Blaster 」 正 以 高 速 悄 悄 感 染 全 球 使 用 視 窗 Window XP 或 2000 的 電 腦 ， 估 計 至 今 已 有 逾 5.7 萬 個 電 腦 系 統 被 感 染 。 雖 然 此 蠕 蟲 病 毒 不 會 破 壞 被 感 染 的 電 腦 ， 但 會 於 香 港 時 間 本 周 六 正 午 （ 美 國 東 岸 時 間 周 六 凌 晨 零 時 ） 奪 取 受 感 染 電 腦 的 控 制 權 ， 利 用 它 們 群 起 「 襲 擊 」 微 軟 的 軟 件 更 新 網 站 ， 微 軟 正 研 究 措 施 應 付 。

「 Blaster 」 蠕 蟲 是 利 用 電 腦 界 3 周 前 發 現 的 一 個 微 軟 視 窗 XP 及 2000 保 安 漏 洞 ， 在 網 上 尋 找 「 獵 物 」 及 入 侵 ， 使 用 上 述 兩 系 統 並 連 接 互 聯 網 的 電 腦 （ 特 別 是 伺 服 器 ） ， 可 能 已 在 用 家 不 知 情 下 受 到 感 染 ， 另 一 些 電 腦 伺 服 器 縱 能 抗 拒 入 侵 亦 可 能 會 「 當 機 」 。 暫 未 知 香 港 有 多 少 電 腦 曾 受 蠕 蟲 攻 擊 或 入 侵 。

受 感 染 的 電 腦 起 初 不 會 出 現 特 殊 異 狀 （ 檔 案 一 般 不 會 受 破 壞 ） ， 但 蠕 蟲 會 於 美 國 東 岸 時 間 周 六 零 時 發 作 ， 利 用 受 感 染 電 腦 ， 透 過 互 聯 網 不 斷 向 微 軟 的 「 軟 件 更 新 （ update ） 網 站 」 提 出 「 服 務 要 求 」 ， 務 求 使 網 站 過 分 繁 忙 而 癱 瘓 。 微 軟 表 示 已 留 意 到 該 病 毒 ， 正 採 取 保 護 措 施 。

How to remove
=============

一，病毒特點：msblast病毒來勢兇猛，瀏覽網頁就可傳播，現在已在世界範圍內擴散。
二，中毒現象：系統操作異常關閉，提示RPC錯誤，不停重啟，文件失靈，甚至導致系統崩潰。該病毒還會對微軟的一個升級網站進行拒絕服務攻擊，導致微軟網站堵塞，使用戶無法通過該網站升級系統。在8月16日以後，該病毒還會使被攻擊的系統喪失更新該漏洞補丁的能力。

三，殺毒：

1. 去 http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html 下載 fixblast.exe, 並按指引殺毒。

2下載補丁
去microsoft網站，查找MS03-026, 下載安裝補丁

3. Check RPC Service

In many cases, on both Windows 2000 and XP, changing settings for the Remote Call Procedure (RPC) Service may allow you to connect to the Internet without the computer shutting down. Follow these steps:
Do one of the following:
Windows 2000. Right-click the My Computer icon on the Windows desktop and then click Manage. The Computer Management window opens.
Windows XP. Click the Start button, right-click the My Computer icon, click Manage. The Computer Management window opens.

In the left pane, double-click Services and Applications and then select Services. A list of services appears.
In the right pane, locate the Remote Procedure Call (RPC) service.

CAUTION: There is also a service named Remote Procedure Call (RPC) Locator. Do not confuse the two

Right-click the Remote Procedure Call (RPC) service and click Properties.
Click the Recovery tab.
Using the drop-down lists, change First failure, Second failure, and Subsequent failures to "Restart the Service."
Click Apply and then OK

CAUTION: Make sure that you change these settings back when you have removed the worm

4. Update virus definition file. For Norton, the newest one is 8/11/2003, rev. 19

Related Links
=============
1. http://www.f-secure.com/v-descs/msblast.shtml

2. http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html

3. http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp

**************************************************
If you need help, please post your question below.

IS4U