静寂之声

今天公司多台电脑出现,诺顿杀毒软件报netapi32.dll为backdoor.haxsoor.并且重启后系统蓝屏的症状。去网上一查得知是由于诺顿杀毒软件升级病毒库后，把Windows XP系统的关键系统文件当作病毒清除，导致重启后系统瘫痪。

安全专家表示，安装了MS06-070补丁的XP系统，如果将诺顿升级最新病毒库，则诺顿杀毒软件会把系统文件netapi32.dll、lsasrv.dll隔离清除，从而造成系统崩溃。

解决办法如下:

一、已经报出有病毒,但还没有重启的机器。
用户可以用下面方法排除对netapi32.dll、lsasrv.dll的扫描或者暂时关闭自动防护，防止系统重启后蓝屏。
1、打开norton或symantec,查看>隔离区,恢复被查出病毒的文件netapi32.dll、lsasrv.dll。
2、进入配置>文件系统自动防护>选项>排除选项定的文件和文件夹。添加c:\windows\system32\目录下的netapi32.dll和lsasrv.dll。
3、临时关闭文件实时监控。选择配置>文件系统自动防护"中去掉"启用自动防护"前的小勾.

二、已经报出有病毒,但机器已经重启并无法进入系统(XP SP2),有以下解决方法:
1、从XP的安装盘启动，选择控制台恢复,按"R"键
2、假设您的光驱盘符为"F:\",敲入以下命令
Expand F:\I386\netapi32.dl_ c:\windows\system32\
Expand F:\I386\netapi32.dl_ c:\windows\system32\dllcache\
Expand F:\I386\lsasrv.dl_ c:\windows\system32\
Expand F:\I386\lsasrv.dl_ c:\windows\system32\dllcache\
如果遇到提示是否覆盖原有文件,请选择"Yes".
3、局域网用户可从其他正常机器上将这两个文件copy过来亦可.单机用户可从网上下载:netapi32.dll、lsasrv.dll
4、重新启动机器,从硬盘启动,即可进入系统.
5、重复一所做的步骤即可。

UPDATA 20070520
赛门铁克误杀系统文件的官方声明及解决方法

2007年5月18日，在赛门铁克SAV 2007-5-17 Rev 18版本的病毒定义码中，会将Windows XP操作系统的netapi32.dll文件和lsasrc.dll文件判定为Backdoor.Haxdoor病毒，并且把他们隔离，造成重启机器后无法进入系统，安全模式也无法进入，并且出现蓝屏现象。以下是赛门铁克于2007年5月18日发表的针对客户的官方声明及解决方法。全文如下：

尊敬的合作伙伴：

主题：有关更新赛门铁克防病毒软件病毒定义代码的问题

2007 年 5 月 18 日北京时间凌晨 1:00 左右，有两个简体中文版本的 Microsoft Windows 系统文件通过 LiveUpdate 或网站下载文件更新方式被错误添加到赛门铁克的防病毒软件定义中。 客户的系统如果检测到些文件（例如，通过系统扫描或自动防护功能）之后没有重新启动，并更新到5月18日下午2:30后的病毒定义代码，则系统将不会受到影响。系统如重新启动，则会受到此问题的影响。用户可以通过使用 Windows 恢复控制台，将系统回复到以前的状态。 到目前为止，赛门铁克进行的测试表明，只有在Windows XP SP2简体中文版打上补丁KB924270以后，并且当防病毒软件在5月18日凌晨1:00到下午2：30之间进行过病毒定义代码更新以后才会受到影响。 针对此问题的更新定义已于 2007 年 5 月 18 日下午 2:30 左右公布。

错误检测到的内容是通过一个自动进程添加的，此进程已经使用了一段时间，旨在应对我们全球观测到的与日俱增的威胁。由于在此自动进程中使用的一个第三方组件最近发生变化造成的意外影响，导致错误检测到两个系统文件。此问题现在已经解决，并可避免未来出现同一问题。对于由此给用户带来的不便，我们深表歉意。

解决方法：
1） 如果没有重新启动过电脑：使用LiveUpdate更新到最新的病毒定义代码就可以解决
2） 如果已经重新启动电脑并发生蓝屏现象：

要将计算机逐步恢复到工作状态，用户需要先加载恢复控制台，然后恢复 %system%\netapi32.dll 和 %system%\lsasrv.dll。重新启动计算机及安装病毒定义 20070517. 071或后续定义代码。具体步骤如下：
1) 找到Windows安装 CD，将其插入驱动器，然后重新启动计算机。
2) 在启动时，选择从从 CD 启动的选项。
3) 当 Windows 设置过程中驱动程序加载完毕后，选择“R”启动恢复控制台。
4) 选择受影响的 Windows 安装程序，然后输入您的管理员密码。
5) 依次输入下列命令（如果出现提示则选择覆盖）：
a. cd \windows\system32
b. expand（cd 驱动器盘符）:\i386\netapi32.dl_
c. expand（cd 驱动器盘符）:\i386\lsasrv.dl_
d. cd dllcache
e. expand（cd 驱动器盘符）:\i386\netapi32.dl_
f. expand（cd 驱动器盘符）:\i386\lsasrv.dl_
6) 输入“exit”，重新启动计算机
7) 下载并更新到最新的病毒定义
8) 重新安装Windows补丁程序 - KB924270。

以上步骤用户可以自行完成。如您需要了解更多信息，或在实施以上步骤时需要任何协助，请致电赛门铁克用户服务热线800-810-3992。我们愿随时为您提供协助。

此致

赛门铁克软件（北京）有限公司
2007年5月18日