http://dswlab.com/vir/v20070518.html 警惕：Norton杀毒软件严重误报，大量用户无法开机 出处：Dswlab Avert 时间：2007年05月18日 一、事件分析： 今日，超级巡警团队接受到大量用户求助，因为安装Norton杀毒软件，升级到最新特征定义后，导致将系统杀坏，无法开机。 杀软报警截图如下： 经过分析，这是该杀软对系统正常文件的误报，鉴于Norton杀毒软件在国际上有庞大的装机量，将会有大批用户遭遇无法开机现象。 关于被报文件netapi32.dll： 文件说明： netapi32.dll 名称为：Microsoft LAN Manager DLL，它是Windows网络应用程序接口，用于支持访问微软网络。 经过我们分析，该文件可以正常通过微软数字签名认证，从而正式证实了该杀软误报。 该杀软为什么会误报该文件呢？经过我们追踪分析，netapi32.dll曾经跟近年几个重要的漏洞有关，其中04年的Lsasrv.dll 漏洞，它是从系统Netapi32.dll中找到DsRolepEncryptPasswordStart函数，在第一个参数过长导致了溢出。由于Netapi32.dll中的DsRoleUpgradeDownlevelServer函数是一个客户端函数，该漏洞只能在本机触发，所以黑客会修改Netapi32.dll，将请求发送给本机的变量地址改为黑客制定指定的IP地址，从而远程利用该漏洞。此外还有其它的漏洞出现在Netapi32.dll本身，由于杀软会检测该文件是否被修改利用，从而就造成了特征提取错误，误报了系统中原本正常的文件。 二、解决方案： 在该杀毒软件报警后，不要重启动系统，会造成无法启动。 1、在病毒服务器的系统中心将病毒库恢复到17日以前的版本。 2、对于已经更新病毒定义的客户端，千万不要重新启动电脑，关掉symantec antivirus 服务，从隔离区里面恢复被隔离的两个文件。 3、使用该杀软的信任列表和目录，将该文件临时加入到信任列表中，并及时关注官方最新升级特征。 4、紧急停用该杀软。 5、如果系统已经无法启动，可以使用windows 安装光盘启动系统，执行如下命令恢复被杀除的文件(x表示光盘盘符)： expand x:\I386\netapi32.dl_ c:\windows\system32\netapi32.dll expand x:\I386\netapi32.dl_ c:\windows\system32\dllcache\netapi32.dll expand x:\I386\lsasrv.dl_ c:\windows\system32\lsasrv.dll expand x:\I386\lsasrv.dl_ c:\windows\system32\dllcache\lsasrv.dll 6、超级巡警团队已经紧急联系了Symantec官方，SAV用户可以在官方解决这一问题后及时更新。

东东 于 07-5-18 02:12 PM 写道： 小心,今天是周五,不要影响工作了 我的电脑也提示了,这病毒刚出来,至少在24小时内是没有解药的,只能重装系统

难道是黑色星期五

赛门铁克回复已解决升级杀毒软件后即可重启！ 东东正在吃螃蟹:D:D:D，希望没有问题了~

Norton 误报已经不是一次两次了，这次误报的事情闹大啦。 算不算Norton的“误报门”哦。

关注. 我的电脑一礼拜都没关机或者重启一次。:lol:

关注中

TMD原来是中了这个鸟毒 昨天心情好好的打算今天早上去办公室买那个六国化工 结果一去电脑死活启动不了。。（昨天晚上忘关了。。一去就按从起了） 气愤。。然后去同事的电脑里装无线上网驱动、下看盘、交易软件好10点了。。。 一看。。。直接涨停鸟

独狼 于 07-5-18 08:09 PM 写道： 关注. 我的电脑一礼拜都没关机或者重启一次。:lol:

:D你怎么不说你的电脑从来没有关机和重启过嘛！偶见到很多电脑从买回来放到桌面上开始就从来米有关机过的，一直到电脑自己当机罢工~ 看来这次真可以叫“误报门”，早上吓死人，还以为是今天有强病毒攻击！下午忘记一时忘记提醒下，又一台电脑中招，居然还是下午刚装的诺顿，运气真不错！::27:

诺顿误杀致大量中文WinXP崩溃 可能遭索赔http://www.sina.com.cn 2007年05月18日 16:52 新浪科技 　　新浪科技讯 5月18日消息，即瑞星发红色警报称“诺顿误杀可致中文WinXP系统崩溃”后，国内反病毒厂商江民、金山也相继发布警报称，今天上午相继接到大量用户投诉电话，称自己的电脑出现开机重启后蓝屏，屏幕上显示unknown hard error，安全模式下也无法进入等问题。 　　江民称，今天上午他们的反病毒中心接到多家企业求助电话，称“遭到了病毒大规模攻击，电脑重启后报错，无法进入系统。”但经江民科技诊断后发现为该企业所安装的诺顿网络版杀毒软件误报错杀导致。 　　据新浪科技了解，除了江民和金山接到的投诉电话外，一些“中招”用户也在论坛上发布消息称，“遭到攻击”“电脑被黑”等。 　　金山毒霸反病毒工程师李铁军称，事件的起因是诺顿误报Backdoor.Haxdoor病毒而导致的。该杀毒软件将简体中文版Winxp sp2的 NetSpi32.dll 和 LsaSrv.dll系统文件误报为Backdoor.Haxdoor病毒，进行文件隔离，导致用户的电脑就会出现重启后蓝屏，安全模式下也无法进入等问题。 　　针对此问题，瑞星、江民和金山都提供了系统恢复办法。 　　杀毒软件误报一些文件或者网页错误也会时常发生，但像诺顿这样误报中文WinXP系统文件并导致国内大量电脑用户系统瘫痪的事情还是很少见。 　　“这的确是一个十分低级的错误，这一定程度上说明了国外杀毒软件厂商对国内市场的不重视。”一位业内资深人士如此评价诺顿的误报行为。 　　而另外一位业内人士认为，“诺顿这次犯了一个很严重的错误。他的用户多是企业级客户，包括政府机关等。这样导致系统崩溃造成的影响和损失可想而知。” 　　更有业内人士称，如果考虑系统崩溃造成的间接损失，诺顿可能遭致用户的误工索赔等。 据业内人士估算，诺顿在企业级市场占有率在30%左右。这其中的中文WinXP系统用户都无法使用电脑，而诺顿可使用的解决的办法就是一台台的重装系统。 　　截至发稿为止，诺顿尚未对此事发表公开声明。