諾頓誤殺致系統崩潰 中國百萬用戶面臨災難

近日不少中國電腦用戶發現裝有諾頓殺毒系統的電腦，在按照諾頓清除病毒的要求重新啟動操作系統后，系統出現癱瘓，由於該次誤殺只發生在簡體中文版的XP系統上，因此對國外用戶幾乎沒有影響，據估計，中國地區將有數百萬台電腦面臨崩潰的危險。



　　瑞星公司表示，出現此種情況是由於諾頓殺毒軟體升級病毒庫后，把Windows XP系統的關鍵系統文件當作病毒清除，導致重啟后系統癱瘓。據了解，截至18日下午2點已有超過八千名個人用戶和近百家企業用戶向瑞星客戶服務中心求助，更多用戶由於系統繁忙無法打入電話。

　　安全專家表示，安裝了MS06-070補丁的XP系統，如果將諾頓升級最新病毒庫，則諾頓殺毒軟體會把系統文件netapi32.dll、lsasrv.dll隔離清除，從而造成系統崩潰。由於該次誤殺只發生在簡體中文版的XP系統上，因此對國外用戶幾乎沒有影響。

　　瑞星客戶服務中心的疫情監控工程師分析，賽門鐵克在企業級市場上佔有相當大的份額，特別在金融、電信等行業擁有一定的優勢，因此此次誤殺會導致許多企業網路完全癱瘓。根據初步預測，此次諾頓誤殺將是近年來最嚴重的一次安全事故，給國內用戶造成的整體經濟損失甚至可能超過「熊貓燒香」病毒。

　　關於該事件的原因，瑞星研發負責人劉剛表示，近年來部分反病毒企業為了追求病毒數量、查殺率、新病毒反應時間等單項技術指標，而降低了產品測試的標準，這樣做會導致兩個很嚴重的後果，一是誤報率急速上升，二是容易出現重大的產品BUG，甚至導致比普通的病毒攻擊更嚴重的後果。



　　關於該安全事故的預防和解決方法

　　反病毒專家建議：還沒有受到誤殺影響的用戶

　　1、拔掉網線再開啟計算機。

　　2、啟動計算機后，關閉諾頓殺毒軟體的實時監控程序再插入網線上網。

　　3、等待賽門鐵克公司解決該問題后，才可以繼續啟用諾頓實時監控程序。

　　4、關閉殺毒軟體實時監控程序可能導致計算機感染其它的病毒、木馬及惡意程序，用戶可以暫時選用其它的殺毒軟體。

　　對於系統已經癱瘓的用戶：

　　1、使用windows 安裝光碟啟動系統，在提示菜單處按R進入恢復控制台。

　　2、在提示中按「1」然後回車，選擇需要修復的系統，並輸入管理員密碼。

　　3、執行如下命令進行修復（X表示光碟盤符）：

　　Expand x:\I386\netapi32.dl_ c:\windows\system32\ [回車]

　　Expand x:\I386\netapi32.dl_ c:\windows\system32\dllcache\ [回車]

　　Expand x:\I386\lsasrv.dl_ c:\windows\system32\ [回車]

　　Expand x:\I386\lsasrv.dl_ c:\windows\system32\dllcache\ [回車]

　　4、重新啟動計算機，關閉諾頓的實時監控程序。

　　5、啟動諾頓的隔離區，恢復netapi32.dll和lsasrv.dll。

　　6、等待賽門鐵克公司解決該問題后，才可以繼續啟用諾頓實時監控程序。

　　7、關閉殺毒軟體實時監控程序可能導致計算機感染其它的病毒、木馬及惡意程序，用戶可以暫時選用其它的殺毒軟體。

金山：只有充分測試才能避免「誤殺」

　　近日不少電腦用戶發現裝有諾頓殺毒系統的電腦，在按照諾頓清除病毒的要求重新啟動操作系統后，系統出現癱瘓。而出現此種情況的原因，是由於諾頓殺毒軟體升級病毒庫后，把Windows XP系統的關鍵系統文件當作病毒清除，導致重啟后系統癱瘓。

　　金山毒霸研發部經理陳睿表示，從理論層面上來說，並不能夠完全解決「誤報」，但是可以通過其它技術手段來保證不出現「誤報」。據陳睿介紹，目前絕大多數殺毒廠商是採用二進位的方式採集病毒樣本，做成病毒資源庫，病毒資源庫的樣本的是否全面，決定了是否會產生「誤報」。「通常我們的做法是，在推出病毒庫之前，對病毒庫進行反覆測試，以求達到最佳效果。」

　　而對於此次事件，陳睿表示，確實對很多企業產生了嚴重的影響，而產生這次事件的原因，是由於諾頓軟體誤報庫里沒有中文Windows，「這在國內廠商是不可能出現的情況。」金山毒霸相關負責人表示，金山毒霸工程師已為廣大用戶免費提供了緊急修復工具，盡量將損失降低到最小。「我們把這個事情當成一個安全事件來處理，只要用戶來找我們，我們都會給他們提供解決方案。」陳睿表示。

　　卡巴斯基市場部有關負責人18日下午稱，已經注意到由於諾頓病毒庫升級導致XP系統無法啟動這一事件，並且公司已經下發通知，並能夠提供相關修復方案，一旦有用戶投訴或撥打技術支持即可提供給用戶。對於此次事故發生的原因，該負責人表示由於事涉競爭對手諾頓，卡巴斯基方面不便做出評論。

江民提供恢復辦法

　　江民反病毒中心接到多家企業求助電話，稱遭到了病毒大規模攻擊，電腦重啟后報錯，無法進入系統。江民科技迅速派出技術人員上門解決問題，最終發現系該企業所安裝的諾頓網路版殺毒軟體誤報錯殺導致。

　　經江民反病毒工程師分析，5月17日病毒庫的諾頓殺毒軟體會強制刪除lsasrv.dll和netapi32.dll這兩個文件，並把這兩個文件報為backdoor.haxdoor的病毒，導致重新啟動計算機后機器將會無法進入系統。經分析，lsasrv.dll和netapi32.dll系系統的正常文件，諾頓把這兩個文件報為病毒並刪除的操作系嚴重的誤報誤殺行為。

　　江民反病毒專家建議，遇到此類情況的用戶可以採用以下幾種方法處理：

　　1、已經出現情況但未重啟電腦的用戶，可以從殺毒軟體病毒隔離區恢復上述兩個文件。

　　2、已經出現情況並且電腦重啟后並無法進入系統的用戶,可以使用系統安裝盤，並設置BIOS從光碟機啟動，選擇從控制台恢復系統，拷貝上述兩個文件到硬碟相應目錄下。

　　netapi32.dll和lsasrv.dll 文件在光碟f:\I386目錄下

　　把上述兩個文件分別拷貝到以下兩個路徑：

　　c:\windows\system32\netapi32.dll

　　c:\windows\system32\lsasrv.dll

　　3、重啟電腦，修改BIOS從硬碟啟動電腦，系統即可進入。