一、事件分析：

近日， 微软新发布了一份关于DNS服务RPC接口的安全通报(935964)，公告中提示DNS服务的RPC接口存在缓冲区溢出漏洞，攻击者通过这个漏洞可以编写相关攻击代码，从而获得本地系统权限。目前dswlab Avert 监测到已有相关0day公开流传，并有恶意攻击者利用此漏洞进行攻击。目前DNS服务RPC出现了多个漏洞，超级巡警团队发现DNS 0day早在一个月前就在地下流传。

微软官方声称在5月8日才能发出有关的全部补丁，在此期间已经出现多个蠕虫，利用DNS漏洞在 *** 传播，据相关统计目前DNS漏洞受害者数量美国之一，中国第二，超级巡警团队提醒广大网民、网管给予重视并预防相关蠕虫破坏。

该漏洞会影响Windows 2000 Server和Windows 2003的所有版本。

目前，已有多个蠕虫在 *** 上传播，蠕虫通过扫描TCP：1025端口，利用DNS漏洞攻击受影响的服务器，被侵入后受攻击服务器将从攻击服务器处下载并运行病毒副本，释放多个病毒文件并把病毒释放的含病毒文件路径加载到注册表启动项。此外，蠕虫还具有后门功能，会连接远程IRC服务器接收操控指令。此外，受"DNS蠕虫"攻击后的系统，会主动去攻击带有DNS漏洞的局域网内的机器，并从攻击服务器下载"DNS蠕虫"及其它病毒，使被攻击的机器沦为肉鸡。

DNS蠕虫攻击成功后，还会在网页中加入病毒链接，会进一步扩大病毒传播的范围。

二、解决方案：

1、及时升级杀毒软件特征库至最新，超级巡警目前可完全查杀该蠕虫多个变种。
2、在服务中将DNS Server服务关闭。
3、如果需要提供DNS服务，可以通过禁用DNS的RPC接口来阻止远程攻击：
在注册表中“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters”下新建一个“双字节值”，命名为“RpcProtocol”并将“RpcProtocol”的值设置为“4”。重启DNS服务。