论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2007-05-19 12:25 |只看该作者 |倒序浏览

诺顿误杀导致操作系统崩溃，数以百万计的电脑面临灭顶之灾。5月18日，赛门铁克公司提供的诺顿杀毒软件在升级病毒库后，会把Windows　XP系统的关键系统文件netapi32.dll 和lsasrv.dll当作病毒清除，重启后系统将会瘫痪。
目前国内的杀毒软件阵营均将其称为"近5年来国内影响面最大的误报"，但是笔者发现周围（调查面积２０台电脑）因为此事件系统崩溃的电脑基本都是安装了上海政府版windows xp professional系统，而安装联想OEM认证home版的WinXP以及其它WINDOWS版本的系统就没有出现问题。本着实事求是的态度，想在网络上进行下列调查：
1、大家[color=Red]出问题的操作系统[/color]是哪个版本的windowsXP？
2、是否是正版？

目前存在的疑问：
  1、为何norton会隔离这两个系统文件，并报告是Backdoor.Haxdoor后门病毒？
   Symantec公司做为国际性大公司犯如此低级的错误的可能性有多大？
  2、为何只有简体中文WinXP才受到影响，同样的英文版本WinXP为何没有出现这种情况？
   欧美的用户甚至香港台湾为何没有出现问题？

若以上第二个疑问微软或Symantec公司无法回答，我们是否可以得出一个结论：微软的补丁程序针对不同地区是有差别的！针对中国大陆的补丁程序也许真是含有Backdoor.Haxdoor后门病毒病毒）！若这个结论成立，那么我们也许真的错怪Symantec了！！！Symantec只是查出了微软真正的“后门”而已，只是这个“后门”就是WINDOWS本身！！！

抛开盗版不说，微软这种针对不同区域提供不同“服务”的做法，是否是一种对消费者的“歧视”？
不管真相如何，总之这次造成了大量电脑瘫痪。这里告诫广大WINDOWS用户，还是对微软多留一个心眼，自己平时做好重要数据备份，以免造成不可挽回的损失！
支持正版，拒绝盗版，是每一个中国公民的义务，也能保护自身的权益不受侵害，这里我们再一次提倡大家使用正版软件。

系统已经瘫痪的用户恢复办法：

1、使用windows　安装光盘启动系统，在提示菜单处按R进入恢复控制台。

2、在提示中按“1”然后回车，选择需要修复的系统，并输入管理员密码。

3、执行如下命令进行修复（X表示光盘盘符）：

　　Expand　x:\I386\netapi32.dl_　c:\〔回车〕
Expand　x:\I386\lsasrv.dl_　c:\〔回车〕
copy c:\netapi.dll c:\windows\system32 〔回车〕
copy c:\netapi.dll c:\windows\system32\dllcache\ 〔回车〕
copy c:\lsasrv.dll c:\windows\system32 〔回车〕
copy c:\lsasrv.dll c:\windows\system32\dllcache\ 〔回车〕
4、重启计算机，在诺顿隔离墙恢复netapi.dll和lsasrv.dll文件。

一片天工作室（YPT Tech.）
Dt331,Titan

文库|博客

Cocal

小富即安

论坛徽章:: 0

2楼 [报告]

发表于 2007-05-19 21:44 |只看该作者

我接到的首例蓝屏机即是一台Dell的预装xp professional，用户很激动的说这台机买回来半年左右，Norton从来没报过病毒，怎么一报就死翘翘了呢？

楼主这么怀疑不是完全没道理，但我想Norton应该能搞清楚到底是怎么回事，至于他们会不会公布真相，就不一定了，不妨观望几天看看。

就我掌握的情况，楼主的假设基本不成立。因为被删的两个文件的最新版本是在补丁KB924270中的，其中文版的发布日期是2006年11月，也就是说对于经常update的用户，这两个文件已经运行了半年了，没有任何一个杀毒软件发现它是病毒。然后，不幸的被Norton公司2007年5月17日的病毒定义“慧眼识金”把这个病毒给揪出来了？然后在问题爆发后10个小时之内，Norton立即又发布了新的病毒定义，把这个惊天大发现给硬生生吞了回去？呵呵，自己想吧....

至于什么机器会发生问题，我正掌握的几个条件如下：
1.系统上已经更新了KB924270这个补丁，如果从去年11月份开始用户就没有更新过XP，不会有问题。我测试过那两个文件的旧版本，不会报病毒。
2.Norton的病毒定义文件，必须是5月17日，5月15日的病毒定义不会报错，同时5月18日下午发布的病毒定义，也不再会报错。这就是说，如果用户5月15日至18日上午没有上网更新Norton病毒定义，则也可以躲过这一劫。
3.我接触的所有案例均为简体中文版，其他版本没接触。

楼主可以再去观察一下那台OEM，看看是什么原因。

如果有人怀疑那两个核心文件本身是病毒，尽管去分析测试。由于操作需要，我也于当天把被认为是病毒的KB924270补丁安装程序刻在光盘上了，周一开始随时可以提供。

这个补丁相关的漏洞描述在：
http://www.microsoft.com/technet/security/bulletin/ms06-070.mspx