W32.Beagle.AO@mm

发现: 2004 年 8 月 9 日
  更新: 2007 年 2 月 13 日 12:27:50 PM
  别名: W32/Bagle.aq@MM [McAfee], WORM_BAGLE.AC [Trend Micro], Win32.Bagle.AG [Computer Assoc, W32/Bagle-AQ [Sophos], I-Worm.Bagle.al [Kaspersky]
  类型: Worm
  受感染的系统: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
  W32.Beagle.AO@mm 是一种会寄发大量邮件的蠕虫,它会使用自身的 SMTP 引擎透过电子邮件传播。
  蠕虫并会在 UDP与TCP 埠号80 上开启后门
  赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。单击此处可获取该工具。
  防护
  * 病毒定义(每周 LiveUpdate™) 2004 年 8 月 9 日
  * 病毒定义(智能更新程序) 2004 年 8 月 9 日
  威胁评估
  广度
  * 广度级别: Low
  * 感染数量: More than 1000
  * 站点数量: More than 10
  * 地理位置分布: Medium
  * 威胁抑制: Moderate
  * 清除: Moderate
  损坏
  * 损坏级别: Medium
  * 大规模发送电子邮件: Yes
  * 降低性能: Mass-mailing may impact system performance.
  分发
  * 分发级别: High
  * 电子邮件的主题:
  * 附件名称: Varies with .zip file extension
  * 附件大小: Varies
  * 端口: TCP port 80 and UDP port 80
  当 W32.Beagle.AO@mm 执行时,它会执行下列动作:
  1. 建立档案 %System%\WINdirect.exe.
  注意:%System% 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
  2. 新增下列值:
  "win_upd.exe"="%System%\WINdirect.exe"
  至注册表键:
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  在启动 Windows 时蠕虫会被执行
  3. 建立档案, %System%\_dll.exe.
  4. 将%System%\_dll.exe作为主执行绪注入Window类别程序 "Shell_TrayWnd." 如果成功, 此执行绪将在感染程序中持续被执行。 感染程序将执行下列步骤所列动作,而Windows工作管理员相将不会列出执行中的木马程序。
  5. 终止下列名称的程序:
  * ATUPDATER.EXE
  * ATUPDATER.EXE
  * AUPDATE.EXE
  * AUTODOWN.EXE
  * AUTOTRACE.EXE
  * AUTOUPDATE.EXE
  * AVPUPD.EXE
  * AVWUPD32.EXE
  * AVXQUAR.EXE
  * AVXQUAR.EXE
  * CFIAUDIT.EXE
  * DRWEBUPW.EXE
  * ESCANH95.EXE
  * ESCANHNT.EXE
  * FIREWALL.EXE
  * ICSSUPPNT.EXE
  * ICSUPP95.EXE
  * LUALL.EXE
  * MCUPDATE.EXE
  * NUPGRADE.EXE
  * NUPGRADE.EXE
  * OUTPOST.EXE
  * UPDATE.EXE
  * sys_xp.exe
  * sysxp.exe
  * winxp.exe
  6. 试图由下列网站下载档案至%Windir%\~.exe,并执行档案
  * 134.102.228.45
  * 196.12.49.27
  * 213.188.129.72
  * 64.62.172.118
  * abi-2004.org
  * advm1.gm.fh-koeln.de
  * alexey.pioneers.com.ru
  * alfinternational.ru
  * aus-Zeit.com
  * binn.ru
  * burn2k.ipupdater.com
  * carabi.ru
  * catalog.zelnet.ru
  * cavalierland.5u.com
  * celine.artics.ru
  * change.east.ru
  * colleen.ai.net
  * controltechniques.ru
  * dev.tikls.net
  * diablo.homelinux.com
  * dodgetheatre.com
  * dozenten.f1.fhtw-berlin.de
  * emnesty.w.interia.pl
  * emnezz.e-mania.pl
  * euroviolence.com
  * evadia.ru
  * fairy.dataforce.net
  * financial.washingtonpost.com
  * free.bestialityhost.com
  * gutemine.wu-wien.ac.at
  * herzog.cs.uni-magdeburg.de
  * home.profootball.ru
  * host.businessweek.com
  * host.wallstreetcity.com
  * host23.ipowerweb.com
  * hsr.zhp.org.pl
  * infokom.pl
  * kafka.punkt.pl
  * kooltokyo.ru
  * kypexin.ru
  * lars-s.privat.t-online.de
  * lottery.h11.ru
  * matzlinger.com
  * megion.ru
  * mmag.ru
  * molinero-berlin.de
  * momentum.ru
  * niebo.net
  * nominal.kaliningrad.ru
  * omegat.ru
  * ourcj.com
  * packages.debian.or.jp
  * pb195.slupsk.sdi.tpnet.pl
  * photo.gornet.ru
  * pixel.co.il
  * pocono.ru
  * polobeer.de
  * porno-mania.net
  * protek.ru
  * przeglad-tygodnik.pl
  * przeglad-tygodnik.pl
  * quotes.barchart.com
  * r2626r.de
  * rausis.latnet.lv
  * relay.great.ru
  * republika.pl
  * sacred.ru
  * sbuilder.ru
  * sec.polbox.pl
  * shadkhan.ru
  * silesianet.pl
  * silesianet.pl
  * slavarik.ru
  * sovea.de
  * spbbook.ru
  * strony.wp.pl
  * szm.sk
  * tarkosale.net
  * tdi-router.opola.pl
  * terramail.pl
  * thorpedo.us
  * traveldeals.sidestep.com
  * ultimate-best-hgh.0my.net
  * vip.pnet.pl
  * werel1.web-gratis.net
  * www.5100.ru
  * www.PlayGround.ru
  * www.aannemers-nederland.nl
  * www.abcdesign.ru
  * www.airnav.com
  * www.aktor.ru
  * www.ankil.ru
  * www.antykoncepcja.net
  * www.aphel.de
  * www.artics.ru
  * www.astoria-stuttgart.de
  * www.avant.ru
  * www.baltmatours.com
  * www.baltnet.ru
  * www.biratnagarmun.org.np
  * www.biysk.ru
  * www.boglen.com
  * www.bridesinrussia.com
  * www.busheron.ru
  * www.ccbootcamp.com
  * www.chat4adult.com
  * www.chelny.ru
  * www.ciachoo.pl
  * www.dami.com.pl
  * www.ddosers.net
  * www.dicto.ru
  * www.dilver.ru
  * www.dsmedia.ru
  * www.dynex.ru
  * www.elemental.ru
  * www.elit-line.ru
  * www.epski.gr
  * www.forbes.com
  * www.free-time.ru
  * www.gamma.vyborg.ru
  * www.gantke-net.com
  * www.gin.ru
  * www.glass-master.ru
  * www.glavriba.ru
  * www.gradinter.ru
  * www.hack-gegen-rechts.com
  * www.hbz-nrw.de
  * www.hgr.de
  * www.hgrstrailer.com
  * www.ifa-guide.co.uk
  * www.iluminati.kicks-ass.net
  * www.infognt.com
  * www.intellect.lvc
  * www.interfoodtd.ru
  * www.interrybflot.ru
  * www.inversorlatino.com
  * www.jewishgen.org
  * www.k2kapital.com
  * www.kefaloniaresorts.com
  * www.lamatec.com
  * www.landofcash.net
  * www.laserbuild.ru
  * www.math.kobe-u.ac.jp
  * www.mcschnaeppchen.com
  * www.mdmedia.org
  * www.met.pl
  * www.metacenter.ru
  * www.milm.ru
  * www.myrtoscorp.com
  * www.nefkom.net
  * www.neostrada.pl
  * www.neprifan.ru
  * www.netradar.com
  * www.no-abi2003.de
  * www.oldtownradio.com
  * www.omnicom.ru
  * www.oshweb.com
  * www.pakwerk.ru
  * www.perfectgirls.net
  * www.perfectjewel.com
  * www.peterstar.ru
  * www.pgipearls.com
  * www.phg.pl
  * www.porsa.ru
  * www.porta.de
  * www.rafani.cz
  * www.rastt.ru
  * www.republika.pl
  * www.republika.pl
  * www.rollenspielzirkel.de
  * www.rubikon.pl
  * www.rumbgeo.ru
  * www.rweb.ru
  * www.scli.ru
  * www.sdsauto.ru
  * www.sensi.com
  * www.silesianet.pl
  * www.sjgreatdeals.com
  * www.sposob.ru
  * www.strefa.pl
  * www.tanzen-in-sh.de
  * www.taom-clan.de
  * www.tayles.com
  * www.teatr-estrada.ru
  * www.teleline.ru
  * www.thepositivesideofsports.com
  * www.timelessimages.com
  * www.tuhart.net
  * www.vconsole.net
  * www.vendex.ru
  * www.virtmemb.com
  * www.vivamedia.ru
  * www.vrack.net
  * www.wapf.com
  * www.webpark.pl
  * www.webronet.com
  * www.webzdarma.cz
  * www.yarcity.ru
  * www.youbuynow.com
  * www.zeiss.ru
  * www.zelnet.ru
  * www.zhp.gdynia.pl
  * wynnsjammer.proboards18.com
  * yaguark.h10.ru
  Note: %Windir%代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\Windows or C:\Winnt.
  当档案被执行时,会进行下列动作:
  1. 以下列名称建立七个 Mutex,这样可以预防 W32.Netsky@mm 的一些变异体执行:
  * MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
  * 'D'r'o'p'p'e'd'S'k'y'N'e't'
  * _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
  * [SkyNet.cz]SystemsMutex
  * AdmSkynetJklS003
  * ____--->>>>U<<<<--____
  * _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
  2. 建立下列档案:
  * %System%\windll.exe.
  * %System%\windll.exeopen, which is a copy of the worm with randomly appended data.
  * %System%\windll.exeopenopen, which is a copy of the worm with randomly appended data.
  * %System%\re_file.exe
  注意: 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
  3. 新增下列值:
  "erthgdr"="%System%\windll.exe"
  至注册表键:
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  4. 由注册表键:
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|
  删除所有包含下列字符的值:
  * "9XHtProtect"
  * "Antivirus"
  * "EasyAV"
  * "FirewallSvr"
  * "HtProtect"
  * "ICQ Net"
  * "ICQNet"
  * "Jammer2nd"
  * "KasperskyAVEng"
  * "MsInfo"
  * "My AV"
  * "NetDy"
  * "Norton Antivirus AV"
  * "PandaAVEngine"
  * "SkynetsRevenge"
  * "Special Firewall Service"
  * "SysMonXP"
  * "Tiny AV"
  * "Zone Labs Client Ex"
  * "service"
  5. 试图在任何包含字符「shar」的数据夹中建立本身的副本。档案将会有下列文件名称:
  * Microsoft Office 2003 Crack, Working!.exe
  * Microsoft Windows XP, WinXP Crack, working Keygen.exe
  * Microsoft Office XP working Crack, Keygen.exe
  * Porno, sex, oral, anal cool, awesome!!.exe
  * Porno Screensaver.scr
  * Serials.txt.exe
  * KAV 5.0
  * Kaspersky Antivirus 5.0
  * Porno pics arhive, xxx.exe
  * Windows Sourcecode update.doc.exe
  * Ahead Nero 7.exe
  * Windown Longhorn Beta Leak.exe
  * Opera 8 New!.exe
  * XXX hardcore images.exe
  * WinAmp 6 New!.exe
  * WinAmp 5 Pro Keygen Crack Update.exe
  * Adobe Photoshop 9 full.exe
  * Matrix 3 Revolution English Subtitles.exe
  * ACDSee 9.exe
  6. 在有下列扩展名的电子邮件中搜寻电子邮件地址:
  * .adb
  * .asp
  * .cfg
  * .cgi
  * .dbx
  * .dhtm
  * .eml
  * .htm
  * .jsp
  * .mbx
  * .mdx
  * .mht
  * .mmf
  * .msg
  * .nch
  * .ods
  * .oft
  * .php
  * .pl
  * .sht
  * .shtm
  * .stm
  * .tbb
  * .txt
  * .uin
  * .wab
  * .wsh
  * .xls
  * .xml
  7. 使用自身的 SMTP 引擎传送电子邮件到任何找到的地址。
  受感染的电子邮件可能具有下列特征:
  寄件者:<已伪装>
  主旨: <无>
  内文: New price
  附件:(以下其中之一)
  * 08_price.zip
  * new__price.zip
  * new_price.zip
  * newprice.zip
  * price.zip
  * price2.zip
  * price_08.zip
  * price_new.zip
  8. 并虫将不会将本身寄至包含下列字符的电子邮件地址:
  * @avp.
  * @foo
  * @iana
  * @messagelab
  * @microsoft
  * abuse
  * admin
  * anyone@
  * bsd
  * bugs@
  * cafee
  * certific
  * contract@
  * feste
  * free-av
  * f-secur
  * gold-certs@
  * google
  * help@
  * icrosoft
  * info@
  * kasp
  * linux
  * listserv
  * local
  * news
  * nobody@
  * noone@
  * noreply
  * ntivi
  * panda
  * pgp
  * postmaster@
  * rating@
  * root@
  * samples
  * sopho
  * spam
  * support
  * unix
  * update
  * winrar
  * winzip
  9. 在 UDP与TCP 埠号 80 上开启后门,这使得受感染的计算机成为电子邮件的转信主机。
  10. 建立下列注册表键:
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
  建议
  赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”:
  * 禁用并删除不需要的服务。 默认情况下,许多操作系统会安装不必要的辅助服务,如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除,混合型威胁的攻击途径会大为减少,同时您的维护工作也会减少,只通过补丁程序更新即可完成。
  * 如果混合型威胁攻击了一个或多个网络服务,则在应用补丁程序之前,请禁用或禁止访问这些服务。
  * 始终安装最新的补丁程序,尤其是那些提供公共服务而且可以通过防火墙访问的计算机,如 HTTP、FTP、邮件和 DNS 服务(例如,所有基于 Windows 的计算机上都应该安装最新的 Service Pack)。. 另外,对于本文中、可靠的安全公告或供应商网站上公布的安全更新,也要及时应用。
  * 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。
  * 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件,这些文件常用于传播病毒。
  * 迅速隔离受感染的计算机,防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。
  * 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序,那么访问受感染的网站也会造成病毒感染。
  使用杀毒工具杀毒
  赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。这是消除此威胁的最简便方法。单击此处可获取该工具。
  当然,您也可以按照以下指示自己手动杀毒。
  手动杀毒
  以下指导适用于最新和最近的所有 Symantec 防病毒产品(包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品)。
  1. 禁用系统还原 (Windows Me/XP)。
  2. 更新病毒定义。
  3. 以安全模式或 VGA 模式重新启动计算机。
  4. 运行完整的系统扫描,并删除所有检测为 W32.Beagle.AB@mm 的文件。
  5. 删除添加到注册表的值。
  6. 手动删除下列文件:
  o %system%\sysxp.exeopenopenopen
  o %system%\sysxp.exeopenopenopen
  有关每个步骤的详细信息,请参阅以下指导。
  1. 禁用系统还原 (Windows Me/XP)
  如果正在运行 Windows Me 或 Windows XP,建议您暂时关闭系统还原功能。 此功能默认情况下是启用的,一旦计算机中的文件被破坏,Windows Me/XP 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机,则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
  Windows 禁止包括防病毒程序在内的外部程序修改系统还原。 因此,防病毒程序或工具无法删除 System Restore 文件夹中的威胁。 这样,系统还原就可能将受感染文件还原到计算机上,即使您已经清除了所有其他位置的受感染文件。
  此外,病毒扫描也可能在 System Restore 文件夹中检测到威胁,即使您已清除该威胁。
  有关如何关闭系统还原功能的指导,请参阅 Windows 文档或下列文章之一:
  * "如何禁用或启用 Windows Me 系统还原
  * "如何关闭或打开 Windows XP 系统还原”
  注意:当您完全完成杀毒步骤,并确定威胁已清除后,按照上述文档中的指导重新启用系统还原。
  有关其他信息以及禁用 Windows Me 系统还原功能的其他方法,请参阅 Microsoft 知识库文章:Antivirus Tools Cannot Clean Infected Files in the _Restore Folder,文章 ID:Q263455。
  2. 更新病毒定义
  Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前,会对其进行全面测试以保证质量。 可以通过两种方式获得最新的病毒定义:
  * 运行 LiveUpdate,这是获得病毒定义最简单的方法:如果未遇重大病毒爆发情况,这些病毒定义会每周在 LiveUpdate 服务器上发布一次(一般为星期三)。 要确定是否可通过 LiveUpdate 获得用于该威胁的定义,请参考病毒定义 (LiveUpdate)。
  * 使用智能更新程序下载定义:“智能更新程序”病毒定义在美国工作日发布(周一至周五)。 您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。 要确定是否可通过智能更新程序获得用于该威胁的定义,请参考病毒定义(智能更新程序)。
  可以从 http://securityresponse.symantec.com/avcenter/defs.download.html 获得智能更新程序病毒定义。有关详细指导,请阅读文档:如何使用智能更新程序更新病毒定义文件。
  3. 以安全模式或 VGA 模式重新启动计算机
  关闭计算机,关掉电源。 至少等候 30 秒,然后以安全模式或 VGA 模式重新启动计算机。
  * 对于 Windows 95、98、Me、2000 或 XP 用户,请以安全模式重新启动计算机。 有关指导,请参阅文档:如何以安全模式启动计算机。
  * 对于 Windows NT 4 用户,请以 VGA 模式重新启动计算机。
  4. 扫描和删除受感染文件
  1. 启动 Symantec 防病毒程序,并确保已将其配置为扫描所有文件。
  * 对于 Norton AntiVirus 单机版产品:请参阅文档:如何配置 Norton AntiVirus 以扫描所有文件。
  * 对于 Symantec AntiVirus 企业版产品:请参阅文档:如何确定 Symantec 企业版防病毒产品是否设置为扫描所有文件。
  2. 运行完整的系统扫描。
  3. 如果有任何文件被检测为 W32.Beagle.AB@mm,则单击“删除”。
  4. 导航到%System%文件夹并删除sysxp.exeopenopenopen。
  注意:如果您的 Symantec 防病毒产品报告无法删除受感染文件,Windows 可能在使用该文件。 要解决该问题,请在安全模式下运行扫描。 有关指导,请参阅文档:如何以安全模式启动计算机。以安全模式重启后,在此运行扫描。
  (在文件被删除后,可以不离开安全模式并继续执行部分4。完成后,在将以正常模式重新启动计算机。)
  5. 从注册表删除值
  警告:Symantec 强烈建议在进行任何更改前先备份注册表。 错误地更改注册表可能导致数据永久丢失或文件损坏。 应只修改指定的键。 有关指导,请参阅文档:如何备份 Windows 注册表。
  1. 单击“开始”>“运行”。
  2. 键入 regedit
  然后单击“确定”。
  3. 导航至键:
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  4. 在右窗格中,删除值:
  "win_upd2.exe" = "%System%\WINdirect.exe"
  "erthgdr" = "%System%\windll.exe"
  5. 导航至键:
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion
  6. 删除右边窗格中的子键Ru1n
  7. 退出注册表编辑器。
编辑/发表时间:2009-05-30 10:27
编辑词条如何编辑词条?)                          历史版本

资料出处:
贡献者:
陈峰