诺顿误杀致系统崩溃 中国百万用户面临灾难

近日不少中国电脑用户发现装有诺顿杀毒系统的电脑，在按照诺顿清除病毒的要求重新启动操作系统后，系统出现瘫痪，由于该次误杀只发生在简体中文版的XP系统上，因此对国外用户几乎没有影响，据估计，中国地区将有数百万台电脑面临崩溃的危险。
瑞星公司表示，出现此种情况是由于诺顿杀毒软件升级病毒库后，把Windows XP系统的关键系统文件当作病毒清除，导致重启后系统瘫痪。据了解，截至18日下午2点已有超过八千名个人用户和近百家企业用户向瑞星客户服务中心求助，更多用户由于系统繁忙无法打入电话。
安全专家表示，安装了MS06-070补丁的XP系统，如果将诺顿升级最新病毒库，则诺顿杀毒软件会把系统文件netapi32.dll、lsasrv.dll隔离清除，从而造成系统崩溃。由于该次误杀只发生在简体中文版的XP系统上，因此对国外用户几乎没有影响。
瑞星客户服务中心的疫情监控工程师分析，赛门铁克在企业级市场上占有相当大的份额，特别在金融、电信等行业拥有一定的优势，因此此次误杀会导致许多企业网络完全瘫痪。根据初步预测，此次诺顿误杀将是近年来最严重的一次安全事故，给国内用户造成的整体经济损失甚至可能超过“熊猫烧香”病毒。
关于该事件的原因，瑞星研发负责人刘刚表示，近年来部分反病毒企业为了追求病毒数量、查杀率、新病毒反应时间等单项技术指标，而降低了产品测试的标准，这样做会导致两个很严重的后果，一是误报率急速上升，二是容易出现重大的产品BUG，甚至导致比普通的病毒攻击更严重的后果。
关于该安全事故的预防和解决方法
反病毒专家建议：还没有受到误杀影响的用户
1、拔掉网线再开启计算机。
2、启动计算机后，关闭诺顿杀毒软件的实时监控程序再插入网线上网。
3、等待赛门铁克公司解决该问题后，才可以继续启用诺顿实时监控程序。
4、关闭杀毒软件实时监控程序可能导致计算机感染其它的病毒、木马及恶意程序，用户可以暂时选用其它的杀毒软件。
对于系统已经瘫痪的用户：
1、使用windows 安装光盘启动系统，在提示菜单处按R进入恢复控制台。
2、在提示中按“1”然后回车，选择需要修复的系统，并输入管理员密码。
3、执行如下命令进行修复（X表示光盘盘符）：
Expand x:\I386\netapi32.dl_ c:\windows\system32\ [回车]
Expand x:\I386\netapi32.dl_ c:\windows\system32\dllcache\ [回车]
Expand x:\I386\lsasrv.dl_ c:\windows\system32\ [回车]
Expand x:\I386\lsasrv.dl_ c:\windows\system32\dllcache\ [回车]
4、重新启动计算机，关闭诺顿的实时监控程序。
5、启动诺顿的隔离区，恢复netapi32.dll和lsasrv.dll。
6、等待赛门铁克公司解决该问题后，才可以继续启用诺顿实时监控程序。
7、关闭杀毒软件实时监控程序可能导致计算机感染其它的病毒、木马及恶意程序，用户可以暂时选用其它的杀毒软件。
金山：只有充分测试才能避免“误杀”
近日不少电脑用户发现装有诺顿杀毒系统的电脑，在按照诺顿清除病毒的要求重新启动操作系统后，系统出现瘫痪。而出现此种情况的原因，是由于诺顿杀毒软件升级病毒库后，把Windows XP系统的关键系统文件当作病毒清除，导致重启后系统瘫痪。
金山毒霸研发部经理陈睿表示，从理论层面上来说，并不能够完全解决“误报”，但是可以通过其它技术手段来保证不出现“误报”。据陈睿介绍，目前绝大多数杀毒厂商是采用二进制的方式采集病毒样本，做成病毒资源库，病毒资源库的样本的是否全面，决定了是否会产生“误报”。“通常我们的做法是，在推出病毒库之前，对病毒库进行反复测试，以求达到最佳效果。”
而对于此次事件，陈睿表示，确实对很多企业产生了严重的影响，而产生这次事件的原因，是由于诺顿软件误报库里没有中文Windows，“这在国内厂商是不可能出现的情况。”金山毒霸相关负责人表示，金山毒霸工程师已为广大用户免费提供了紧急修复工具，尽量将损失降低到最小。“我们把这个事情当成一个安全事件来处理，只要用户来找我们，我们都会给他们提供解决方案。”陈睿表示。
卡巴斯基市场部有关负责人18日下午称，已经注意到由于诺顿病毒库升级导致XP系统无法启动这一事件，并且公司已经下发通知，并能够提供相关修复方案，一旦有用户投诉或拨打技术支持即可提供给用户。对于此次事故发生的原因，该负责人表示由于事涉竞争对手诺顿，卡巴斯基方面不便做出评论。
江民提供恢复办法
江民反病毒中心接到多家企业求助电话，称遭到了病毒大规模攻击，电脑重启后报错，无法进入系统。江民科技迅速派出技术人员上门解决问题，最终发现系该企业所安装的诺顿网络版杀毒软件误报错杀导致。
经江民反病毒工程师分析，5月17日病毒库的诺顿杀毒软件会强制删除lsasrv.dll和netapi32.dll这两个文件，并把这两个文件报为backdoor.haxdoor的病毒，导致重新启动计算机后机器将会无法进入系统。经分析，lsasrv.dll和netapi32.dll系系统的正常文件，诺顿把这两个文件报为病毒并删除的操作系严重的误报误杀行为。
江民反病毒专家建议，遇到此类情况的用户可以采用以下几种方法处理：
1、已经出现情况但未重启电脑的用户，可以从杀毒软件病毒隔离区恢复上述两个文件。
2、已经出现情况并且电脑重启后并无法进入系统的用户,可以使用系统安装盘，并设置BIOS从光驱启动，选择从控制台恢复系统，拷贝上述两个文件到硬盘相应目录下。
netapi32.dll和lsasrv.dll 文件在光盘f:\I386目录下
把上述两个文件分别拷贝到以下两个路径：
c:\windows\system32\netapi32.dll
c:\windows\system32\lsasrv.dll
3、重启电脑，修改BIOS从硬盘启动电脑，系统即可进入。