震荡波手工清除

一、手工清除四部曲。
1、断网打补丁。
如果不给系统打上相应的漏洞补丁，则连网后依然会遭受到该病毒的攻击，用户应该先到以下地址http://www.microsoft.com/china/technet/security/bulletin/ms04-011.mspx下载相应的漏洞补丁程序，然后断开网络，运行补丁程序，当补丁安装完成后再上网。
2、清除内存中的病毒进程
要想彻底清除该病毒，应该先清除内存中的病毒进程，用户可以按CTRL+SHIFT+ESC三或者右键单击任务栏，在弹出菜单中选择“任务管理器”打开任务管理器界面，然后在内存中查找名为“avserve.exe”的进程，找到后直接将它结束。
3、删除病毒文件
病毒感染系统时会在系统安装目录（默认为C:\\WINNT）下产生一个名为avserve.exe的病毒文件，并在系统目录下(默认为C:\\WINNT\\System32)生成一些名为<随机字符串>_UP.exe的病毒文件，用户可以查找这些文件，找到后删除，如果系统提示删除文件失败，则用户需要到安全模式下或DOS系统下删除这些文件。
4、删除注册表键值
该病毒会在电脑注册表的HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run项中建立名为“avserve.exe”，内容为：“%WINDOWS%\\avserve.exe”的病毒键值，为了防止病毒下次系统启动时自动运行，用户应该将该键值删除，方法是在“运行”菜单中键入“REGEDIT” 然后调出注册表编辑器，找到该病毒键值，然后直接删除。
二、自动清除三部曲
1、使用瑞星杀毒软件进行清除
用户可以将瑞星杀毒软件标准版或下载版产品升级到16.24.42版本，并进行系统盘和内存的杀毒。
2、使用瑞星在线杀毒进行清除
用户还可以使用瑞星免费的在线杀毒产品（http://online.rising.com.cn/）查找系统中是否存在病毒，然后用在线杀毒进行清除。
3、使用瑞星免费专杀工具进行清除
用户还可以到http://it.rising.com.cn/service/technology/RS_sasser.htm网址下载免费的“震荡波病毒专杀工具”然后对电脑进行病毒扫描。
Windows 2000 用户：计算机感染震荡波 (Sasser) 蠕虫时应采取的措施
发布日期：2004 年 5 月 7 日
立即将本页面打印出来，为您自己提供相关说明（如果您的计算机持续关机），或者用来帮助您的朋友。
如果您使用的是 Microsoft® Windows 2000 Service Pack 2 (SP2)、Windows 2000 SP3 或 Windows 2000 SP4 并且您的计算机感染了震荡波蠕虫病毒，则可以采取这些措施来更新您的软件、移除蠕虫病毒并使您免于以后再被感染。
第 1 步：断开 Internet 连接
为了避免出现更多问题，请断开 Internet 连接：
宽带连接用户： 确定连接外置 DSL 或电缆调制解调器的电缆位置，然后从调制解调器或电话线插孔将该电缆拔下。
拨号连接用户：确定连接计算机内置调制解调器与电话线插孔的电缆位置，然后从电话线插孔或从计算机将该电缆拔下。
第 2 步：减轻漏洞隐患
您可以通过创建日志文件来暂时消除令蠕虫病毒可通过其侵入计算机的漏洞。
创建日志文件
在屏幕底部的任务栏上单击“开始”，然后单击“运行”。
键入“cmd”，然后单击“确定”。
在命令提示符下键入“ echo dcpromo >%systemroot%\debug\dcpromo.log ”，然后按 ENTER。
将日志文件设置为只读属性
在命令提示符下键入“attrib +R %systemroot%\debug\dcpromo.log”，然后按 ENTER。
第 3 步：改善系统性能
如果您的计算机反应迟缓或者 Internet 连接速度过慢，则说明蠕虫病毒可能已经在您的局域网连接内扩散。 这会使您无法下载并安装所需的软件更新。 要改善系统性能：
按 CTRL+ALT+DELETE，然后单击“任务管理器”。
对于以下可能列出的每个任务，单击并选中该任务，然后单击“结束任务”按钮，将其结束。
任意以_up.exe 结尾的任务（例如 12345_up.exe）。
任意以avserve 开头的任务（例如 avserve.exe）。
任意以avserve2 开头的任务（例如 avserve2.exe）。
任意以skynetave 开头的任务（例如 skynetave.exe）。
hkey.exe
msiwin84.exe
wmiprvsw.exe
注意：切勿结束 wmiprvse.exe 任务；这是一个合法的系统任
第 4 步：启用防火墙
防火墙是一个软件或硬件，能够在计算机和 Internet 之间构筑一道保护屏障。 Microsoft 并不制造独立于操作系统之外的软件防火墙。 以下资源提供了有关一些防火墙选项的详细信息。
硬件防火墙
硬件防火墙是 Windows XP 之前的 Windows 操作系统版本的理想选择。 有些家庭网络硬件，如无线接入点和宽带路由器等，都附带了嵌入式的硬件防火墙。 这些防火墙有助于保护大多数的家庭网络。
软件防火墙
Microsoft 强烈建议所有用户，在连接 Internet 之前，务必获得并安装防火墙。 不过，我们也意识到，有些用户会发现，下载软件是他们唯一的选择。 如果您选择重新连接 Internet 来获得软件防火墙，此处提供了一些选择：
BlackICE PC Protection—节省 25% (http://blackice.iss.net/microsoft.php)
Computer Associates—12 个月免费试用期 (http://www.my-etrust.com/microsoft/)
F-secure—6 个月免费试用期 (http://www.f-secure.com/protectyourpc/)
McAfee Security—节省多达 35% (http://us.mcafee.com/root/campaign.asp?cid=8437)
Panda Software—90 天免费试用期 (http://www.pandasoftware.com/microsoft/)
Symantec/Norton—90 天免费试用期 (http://www.symantecstore.com/dr/v2/ec_dynamic.main?sp=1&pn=46&sid=27674)
Tiny Software: Tiny Personal Firewall (http://www.tinysoftware.com)
ZoneAlarm—节省 20 美元 (http://download.zonelabs.com/bin/promotions/microsoftsecurity/)
第 5 步：重新连接 Internet
将电缆（参阅第 1 步）重新接回计算机、电话线插孔或调制解调器。
第 6 步：安装所需的更新
要使以后您的计算机不受此蠕虫病毒的感染，您必须下载并安装安全更新 835732，此更新以 Microsoft 安全公告 MS04-011 发布。 要下载安全更新 835732，请转到http://go.microsoft.com/?LinkID=526386
第 7 步：检查并移除震荡波蠕虫
在完成安装更新并重新启动计算机后，转到网页http://www.microsoft.com/china/technet/security/incident/sasser.asp上的“What You Should Know About the Sasser Worm and Its Variants”（对于震荡波蠕虫及其变体您应该了解的信息）。 使用震荡波蠕虫移除工具搜索您的硬盘并移除 Sasser.A、Sasser.B、Sasser.C 和 Sasser.D。
关于防火墙
要了解更多有关其它公司出品的软件防火墙、硬件防火墙和网络路由器以及选择对应于您计算机的防火墙的信息，请参见 http://www.microsoft.com/security/articles/firewall.asp上的“Why You Should Use a Computer Firewall”（为何您应该使用计算机防火墙）。 如果您有如小型网络等其它配置，或者要了解更多有关防火墙的信息，请阅读 http://www.microsoft.com/china/security/protect/firewall.asp （有关 Internet 防火墙的常见问题解答）。
http://www.microsoft.com/china/technet/security/incident/sasser_print2000.asp