如何快速识别震荡波(Worm.Sasser)病毒

5月1日惊现互联网的“震荡波 (worm.sasser)”病毒来势汹汹，该病毒是通过微软的最新高危漏洞 —lsass 漏洞(微软ms04-011 公告)进行传播的，危害性极大，目前 windows 2000/xp/server 2003 等操作系统的用户都存在该漏洞，这些操作系统的用户只要一上网，就有可能受到该病毒的攻击。下面就教用户如何快速识别“震荡波(worm.sasser)”病毒。

* n9 `. F. i7 B& U6 Z　　如果用户的电脑中出现下列现象之一，则表明已经中毒，就应该立刻采取措施清除该病毒。

　　一、出现系统错误对话框
9 B+ o4 C) p  k2 ^' c7 Y
　　被攻击的用户，如果病毒攻击失败，则用户的电脑会出现 lsa shell 服务异常框，接着出现一分钟后重启计算机的“系统关机”框。

7 s8 h7 G" w) a6 h; a2 G; m2 A
　　二、系统日志中出现相应记录
4 Z; o4 C1 k; I8 o5 I
　　如果用户无法确定自己的电脑是否出现过上述的异常框或系统重启提示，还可以通过查看系统日志的办法确定是否中毒。方法是，运行事件查看器程序，查看其中系统日志，如果出现如下图所示的日志记录，则证明已经中毒。
4 f$ N' j9 ?' U& D" r& E[em03]
! [  K" f3 g6 S" Q6 b　　三、系统资源被大量占用
1 w8 v: n$ b3 Y+ N0 g9 Y
　　病毒如果攻击成功，则会占用大量系统资源，使cpu占用率达到100%，出现电脑运行异常缓慢的现象。
# r- t% C2 ]% f2 A
2 F8 y5 E1 n5 }- V: ]% K　　四、内存中出现名为 avserve 的进程

1 W* u9 ~% o) ]' `. x; h/ p　　病毒如果攻击成功，会在内存中产生名为 avserve.exe 的进程，用户可以用ctrl+shift+esc 的方式调用“任务管理器”，然后查看是内存里是否存在上述病毒进程。

　　五、系统目录中出现名为 avserve.exe 的病毒文件
0 R% m6 C! Z/ w8 W4 L
5 e! }. X1 P, U: Y2 ?　　病毒如果攻击成功，会在系统安装目录（默认为 c:\winnt ）下产生一个名为avserve.exe 的病毒文件。

5 m; r& f  h4 q: O　　六、注册表中出现病毒键值
, O1 w- u5 I1 S9 l: g! D
　　病毒如果攻击成功，会在注册表的 hkey_local_machine\software\microsoft\windows\currentversion\run 项中建立病毒键值： "avserve.exe "="%windows%\avserve.exe "