校园网络用户：

 

 　　近一段时间以来，用户反映网络时断时续，而且这种情况遍及全校范围。通过深入分析发现原因为部分校园网部分用户受到一种名为ARP欺骗木马程序（病毒）的攻击。该病毒发作后同一局域网的其他用户将会出现网络链接速度变慢甚至断开，在 PC 看来，就是上不了网，“网络掉线了”，严重的影响了师生员工的上网和正常工作。为了清除木马病毒，恢复网络的正常运行，现将有关事项通知如下：

 

 一、病毒原理

 

　　该病毒主要通过 ARP （ARP是“Address Resolution Protocol”“地址解析协议”的缩写）欺骗实施破坏行为。 ARP 欺骗分两种，一种是对路由器 ARP 表的欺骗；另一种是对内网，对内网 PC 的网关欺骗。第一种 ARP 欺骗的原理是－截获网关数据。它通知路由器一系列错误的内网 MAC 地址，并按照一定的频率不断的更新学习进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送错误的 MAC 地址，造成正常的 PC 无法收到信息。第二种 ARP 欺骗原理是－通过交换机的 MAC 地址学习机制，伪造网关。它的原理是建立假的网关，让被它欺骗的 PC 向假网关发送数据，而不是通过正常的路由器或交换途径寻找网关，造成在同一网关的所有 PC 无法访问网络。

 

 二、病毒的破坏作用

 

 　　病毒发作时除了会导致同一局域网内的其他用户出现时断时续外，还会窃取用户密码（如 QQ 、网络游戏、网上银行以及其它脆弱系统帐号等），这是木马的惯用伎俩。目前已经发现一些用户密码被窃取的情况。

 

 三、预防措施及查杀办法

 

 　　方法一：建议下载Anti ARP Sniffer软件（见附件）保护本地计算机正常运行，免受ARP欺骗程序的攻击，安装方法见附件。同时把此软件设为自动启动，步骤：先把Antiarp.exe生成桌面快捷方式，再把桌面上Antiarp.exe快捷键拷到"启动"中，以保证下次开机自动运行，起到保护的作用。

         方法二：使用局域网ARP攻击免疫器（附件三）。（1）将这里面3个dll文件复制到系统安装目录（一般是C盘的windows或winnt目录）windowssystem32 里面，将npf 这个文件复制到 windowssystem32drivers 里面。（2）将这4个文件在安全属性全部改成只读。也就是不允许任何人修改。

        方法三：使用木马杀客工具软件，（附件四，不一定有效，但可对付一些其他类型的木马）。

 

四、对校园网用户的建议：

 

        避免类似网络安全问题的根本解决办法是定期更新操作系统。系统未及时更新的用户请下载系统补丁。

        立即安装或更新正版防病毒软件并对内存和硬盘全面扫描。

        立即修改操作系统和网络应用软件的各种帐号的密码。请校园网用户务必对所使用的操作系统设置 6 位以上的密码！

        立即更新操作系统，打上各种漏洞补丁。

        不要随便共享文件或文件夹，即使要使用共享，应先设置好权限，一般指定帐号或特定机器才能访问，另外不建议设置可写或可控制。

        不要随便打开不明来历的电子邮件，尤其是邮件附件。

        不要随便登陆不明网站，特别不要随意登陆需要自己银行帐号或手机及计算机系统帐号的不明网站。对进行网上交易要特别慎重！

        使用移动存储介质进行数据访问时，先对其进行病毒检查。

        做好系统和重要数据的备份，以便能够进行系统和数据灾难恢复。

 

五、特别提示

 

 　　此次校园网出现的木马病毒不仅会影响自己的上网和信息安全，还会波及全校，对学校的网络运行和信息安全是严重的威胁。请各校园用户务必行动起来，并请相互告知。发现网络时断时续的现象请及时与信息中心唐雪锋（电话：64631）门联系。

 

 附件:

                  1、Anti ARP Sniffer软件下载

                  2、Anti ARP Sniffer软件使用说明

                  3、局域网ARP攻击免疫器.rar

                  4、木马杀客（打开压缩包运行mmsk.exe文件）