W32.Beagle.AO@mm
发现： 2004 年 8 月 9 日
更新： 2007 年 2 月 13 日 12:27:50 PM
别名： W32/Bagle.aq@MM [McAfee], WORM_BAGLE.AC [Trend Micro], Win32.Bagle.AG [Computer Assoc, W32/Bagle-AQ [Sophos], I-Worm.Bagle.al [Kaspersky]
类型: Worm
受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
W32.Beagle.AO@mm 是一种会寄发大量邮件的蠕虫,它会使用自身的 SMTP 引擎透过电子邮件传播。
蠕虫并会在 UDP与TCP 埠号80 上开启后门
赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。单击此处可获取该工具。
防护
* 病毒定义（每周 LiveUpdate™） 2004 年 8 月 9 日
* 病毒定义（智能更新程序） 2004 年 8 月 9 日
威胁评估
广度
* 广度级别： Low
* 感染数量： More than 1000
* 站点数量： More than 10
* 地理位置分布： Medium
* 威胁抑制： Moderate
* 清除： Moderate
损坏
* 损坏级别： Medium
* 大规模发送电子邮件： Yes
* 降低性能： Mass-mailing may impact system performance.
分发
* 分发级别： High
* 电子邮件的主题：
* 附件名称： Varies with .zip file extension
* 附件大小： Varies
* 端口： TCP port 80 and UDP port 80
当 W32.Beagle.AO@mm 执行时,它会执行下列动作:
1. 建立档案 %System%WINdirect.exe.
注意:%System% 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000), or C:WindowsSystem32 (Windows XP).
2. 新增下列值:
"win_upd.exe"="%System%WINdirect.exe"
至注册表键:
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
在启动 Windows 时蠕虫会被执行
3. 建立档案, %System%\_dll.exe.
4. 将%System%\_dll.exe作为主执行绪注入Window类别程序 "Shell_TrayWnd." 如果成功, 此执行绪将在感染程序中持续被执行。 感染程序将执行下列步骤所列动作,而Windows工作管理员相将不会列出执行中的木马程序。
5. 终止下列名称的程序:
* ATUPDATER.EXE
* ATUPDATER.EXE
* AUPDATE.EXE
* AUTODOWN.EXE
* AUTOTRACE.EXE
* AUTOUPDATE.EXE
* AVPUPD.EXE
* AVWUPD32.EXE
* AVXQUAR.EXE
* AVXQUAR.EXE
* CFIAUDIT.EXE
* DRWEBUPW.EXE
* ESCANH95.EXE
* ESCANHNT.EXE
* FIREWALL.EXE
* ICSSUPPNT.EXE
* ICSUPP95.EXE
* LUALL.EXE
* MCUPDATE.EXE
* NUPGRADE.EXE
* NUPGRADE.EXE
* OUTPOST.EXE
* UPDATE.EXE
* sys_xp.exe
* sysxp.exe
* winxp.exe
6. 试图由下列网站下载档案至%Windir%~.exe,并执行档案
* 134.102.228.45
* 196.12.49.27
* 213.188.129.72
* 64.62.172.118
* abi-2004.org
* advm1.gm.fh-koeln.de
* alexey.pioneers.com.ru
* alfinternational.ru
* aus-Zeit.com
* binn.ru
* burn2k.ipupdater.com
* carabi.ru
* catalog.zelnet.ru
* cavalierland.5u.com
* celine.artics.ru
* change.east.ru
* colleen.ai.net
* controltechniques.ru
* dev.tikls.net
* diablo.homelinux.com
* dodgetheatre.com
* dozenten.f1.fhtw-berlin.de
* emnesty.w.interia.pl
* emnezz.e-mania.pl
* euroviolence.com
* evadia.ru
* fairy.dataforce.net
* financial.washingtonpost.com
* free.bestialityhost.com
* gutemine.wu-wien.ac.at
* herzog.cs.uni-magdeburg.de
* home.profootball.ru
* host.businessweek.com
* host.wallstreetcity.com
* host23.ipowerweb.com
* hsr.zhp.org.pl
* infokom.pl
* kafka.punkt.pl
* kooltokyo.ru
* kypexin.ru
* lars-s.privat.t-online.de
* lottery.h11.ru
* matzlinger.com
* megion.ru
* mmag.ru
* molinero-berlin.de
* momentum.ru
* niebo.net
* nominal.kaliningrad.ru
* omegat.ru
* ourcj.com
* packages.debian.or.jp
* pb195.slupsk.sdi.tpnet.pl
* photo.gornet.ru
* pixel.co.il
* pocono.ru
* polobeer.de
* porno-mania.net
* protek.ru
* przeglad-tygodnik.pl
* przeglad-tygodnik.pl
* quotes.barchart.com
* r2626r.de
* rausis.latnet.lv
* relay.great.ru
* republika.pl
* sacred.ru
* sbuilder.ru
* sec.polbox.pl
* shadkhan.ru
* silesianet.pl
* silesianet.pl
* slavarik.ru
* sovea.de
* spbbook.ru
* strony.wp.pl
* szm.sk
* tarkosale.net
* tdi-router.opola.pl
* terramail.pl
* thorpedo.us
* traveldeals.sidestep.com
* ultimate-best-hgh.0my.net
* vip.pnet.pl
* werel1.web-gratis.net
* www.5100.ru
* www.PlayGround.ru
* www.aannemers-nederland.nl
* www.abcdesign.ru
* www.airnav.com
* www.aktor.ru
* www.ankil.ru
* www.antykoncepcja.net
* www.aphel.de
* www.artics.ru
* www.astoria-stuttgart.de
* www.avant.ru
* www.baltmatours.com
* www.baltnet.ru
* www.biratnagarmun.org.np
* www.biysk.ru
* www.boglen.com
* www.bridesinrussia.com
* www.busheron.ru
* www.ccbootcamp.com
* www.chat4adult.com
* www.chelny.ru
* www.ciachoo.pl
* www.dami.com.pl
* www.ddosers.net
* www.dicto.ru
* www.dilver.ru
* www.dsmedia.ru
* www.dynex.ru
* www.elemental.ru
* www.elit-line.ru
* www.epski.gr
* www.forbes.com
* www.free-time.ru
* www.gamma.vyborg.ru
* www.gantke-net.com
* www.gin.ru
* www.glass-master.ru
* www.glavriba.ru
* www.gradinter.ru
* www.hack-gegen-rechts.com
* www.hbz-nrw.de
* www.hgr.de
* www.hgrstrailer.com
* www.ifa-guide.co.uk
* www.iluminati.kicks-ass.net
* www.infognt.com
* www.intellect.lvc
* www.interfoodtd.ru
* www.interrybflot.ru
* www.inversorlatino.com
* www.jewishgen.org
* www.k2kapital.com
* www.kefaloniaresorts.com
* www.lamatec.com
* www.landofcash.net
* www.laserbuild.ru
* www.math.kobe-u.ac.jp
* www.mcschnaeppchen.com
* www.mdmedia.org
* www.met.pl
* www.metacenter.ru
* www.milm.ru
* www.myrtoscorp.com
* www.nefkom.net
* www.neostrada.pl
* www.neprifan.ru
* www.netradar.com
* www.no-abi2003.de
* www.oldtownradio.com
* www.omnicom.ru
* www.oshweb.com
* www.pakwerk.ru
* www.perfectgirls.net
* www.perfectjewel.com
* www.peterstar.ru
* www.pgipearls.com
* www.phg.pl
* www.porsa.ru
* www.porta.de
* www.rafani.cz
* www.rastt.ru
* www.republika.pl
* www.republika.pl
* www.rollenspielzirkel.de
* www.rubikon.pl
* www.rumbgeo.ru
* www.rweb.ru
* www.scli.ru
* www.sdsauto.ru
* www.sensi.com
* www.silesianet.pl
* www.sjgreatdeals.com
* www.sposob.ru
* www.strefa.pl
* www.tanzen-in-sh.de
* www.taom-clan.de
* www.tayles.com
* www.teatr-estrada.ru
* www.teleline.ru
* www.thepositivesideofsports.com
* www.timelessimages.com
* www.tuhart.net
* www.vconsole.net
* www.vendex.ru
* www.virtmemb.com
* www.vivamedia.ru
* www.vrack.net
* www.wapf.com
* www.webpark.pl
* www.webronet.com
* www.webzdarma.cz
* www.yarcity.ru
* www.youbuynow.com
* www.zeiss.ru
* www.zelnet.ru
* www.zhp.gdynia.pl
* wynnsjammer.proboards18.com
* yaguark.h10.ru
Note: %Windir%代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:Windows or C:Winnt.
当档案被执行时,会进行下列动作:
1. 以下列名称建立七个 Mutex,这样可以预防 W32.Netsky@mm 的一些变异体执行:
* MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
* 'D'r'o'p'p'e'd'S'k'y'N'e't'
* _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
* [SkyNet.cz]SystemsMutex
* AdmSkynetJklS003
* ____--->>>>U<<<<--____
* _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
2. 建立下列档案:
* %System%windll.exe.
* %System%windll.exeopen, which is a copy of the worm with randomly appended data.
* %System%windll.exeopenopen, which is a copy of the worm with randomly appended data.
* %System%
e_file.exe
注意: 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000), or C:WindowsSystem32 (Windows XP).
3. 新增下列值:
"erthgdr"="%System%windll.exe"
至注册表键:
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
4. 由注册表键:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun|
删除所有包含下列字符的值:
* "9XHtProtect"
* "Antivirus"
* "EasyAV"
* "FirewallSvr"
* "HtProtect"
* "ICQ Net"
* "ICQNet"
* "Jammer2nd"
* "KasperskyAVEng"
* "MsInfo"
* "My AV"
* "NetDy"
* "Norton Antivirus AV"
* "PandaAVEngine"
* "SkynetsRevenge"
* "Special Firewall Service"
* "SysMonXP"
* "Tiny AV"
* "Zone Labs Client Ex"
* "service"
5. 试图在任何包含字符「shar」的数据夹中建立本身的副本。档案将会有下列文件名称:
* Microsoft Office 2003 Crack, Working!.exe
* Microsoft Windows XP, WinXP Crack, working Keygen.exe
* Microsoft Office XP working Crack, Keygen.exe
* Porno, sex, oral, anal cool, awesome!!.exe
* Porno Screensaver.scr
* Serials.txt.exe
* KAV 5.0
* Kaspersky Antivirus 5.0
* Porno pics arhive, xxx.exe
* Windows Sourcecode update.doc.exe
* Ahead Nero 7.exe
* Windown Longhorn Beta Leak.exe
* Opera 8 New!.exe
* XXX hardcore images.exe
* WinAmp 6 New!.exe
* WinAmp 5 Pro Keygen Crack Update.exe
* Adobe Photoshop 9 full.exe
* Matrix 3 Revolution English Subtitles.exe
* ACDSee 9.exe
6. 在有下列扩展名的电子邮件中搜寻电子邮件地址:
* .adb
* .asp
* .cfg
* .cgi
* .dbx
* .dhtm
* .eml
* .htm
* .jsp
* .mbx
* .mdx
* .mht
* .mmf
* .msg
* .nch
* .ods
* .oft
* .php
* .pl
* .sht
* .shtm
* .stm
* .tbb
* .txt
* .uin
* .wab
* .wsh
* .xls
* .xml
7. 使用自身的 SMTP 引擎传送电子邮件到任何找到的地址。
受感染的电子邮件可能具有下列特征:
寄件者:<已伪装>
主旨: <无>
内文: New price
附件:(以下其中之一)
* 08_price.zip
* new__price.zip
* new_price.zip
* newprice.zip
* price.zip
* price2.zip
* price_08.zip
* price_new.zip
8. 并虫将不会将本身寄至包含下列字符的电子邮件地址:
* @avp.
* @foo
* @iana
* @messagelab
* @microsoft
* abuse
* admin
* anyone@
* bsd
* bugs@
* cafee
* certific
* contract@
* feste
* free-av
* f-secur
* gold-certs@
* help@
* icrosoft
* info@
* kasp
* linux
* listserv
* local
* news
* nobody@
* noone@
* noreply
* ntivi
* panda
* pgp
* postmaster@
* rating@
* root@
* samples
* sopho
* spam
* support
* unix
* update
* winrar
* winzip
9. 在 UDP与TCP 埠号 80 上开启后门,这使得受感染的计算机成为电子邮件的转信主机。
10. 建立下列注册表键:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRu1n
建议
赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：
* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。
* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。
* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。
* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。
* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。
* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。
* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。
使用杀毒工具杀毒
赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。这是消除此威胁的最简便方法。单击此处可获取该工具。
当然，您也可以按照以下指示自己手动杀毒。
手动杀毒
以下指导适用于最新和最近的所有 Symantec 防病毒产品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品）。
1. 禁用系统还原 (Windows Me/XP)。
2. 更新病毒定义。
3. 以安全模式或 VGA 模式重新启动计算机。
4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.AB@mm 的文件。
5. 删除添加到注册表的值。
6. 手动删除下列文件：
o %system%sysxp.exeopenopenopen
o %system%sysxp.exeopenopenopen
有关每个步骤的详细信息，请参阅以下指导。
1. 禁用系统还原 (Windows Me/XP)
如果正在运行 Windows Me 或 Windows XP，建议您暂时关闭系统还原功能。 此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows Me/XP 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。 因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。 这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。
此外，病毒扫描也可能在 System Restore 文件夹中检测到威胁，即使您已清除该威胁。
有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：
* "如何禁用或启用 Windows Me 系统还原
* "如何关闭或打开 Windows XP 系统还原”
注意：当您完全完成杀毒步骤，并确定威胁已清除后，按照上述文档中的指导重新启用系统还原。
有关其他信息以及禁用 Windows Me 系统还原功能的其他方法，请参阅 Microsoft 知识库文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。
2. 更新病毒定义
Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。 可以通过两种方式获得最新的病毒定义：
* 运行 LiveUpdate，这是获得病毒定义最简单的方法：如果未遇重大病毒爆发情况，这些病毒定义会每周在 LiveUpdate 服务器上发布一次（一般为星期三）。 要确定是否可通过 LiveUpdate 获得用于该威胁的定义，请参考病毒定义 (LiveUpdate)。
* 使用智能更新程序下载定义：“智能更新程序”病毒定义在美国工作日发布（周一至周五）。 您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。 要确定是否可通过智能更新程序获得用于该威胁的定义，请参考病毒定义（智能更新程序）。
可以从 http://securityresponse.symantec.com/avcenter/defs.download.html 获得智能更新程序病毒定义。有关详细指导，请阅读文档：如何使用智能更新程序更新病毒定义文件。
3. 以安全模式或 VGA 模式重新启动计算机
关闭计算机，关掉电源。 至少等候 30 秒，然后以安全模式或 VGA 模式重新启动计算机。
* 对于 Windows 95、98、Me、2000 或 XP 用户，请以安全模式重新启动计算机。 有关指导，请参阅文档：如何以安全模式启动计算机。
* 对于 Windows NT 4 用户，请以 VGA 模式重新启动计算机。
4. 扫描和删除受感染文件
1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。
* 对于 Norton AntiVirus 单机版产品：请参阅文档：如何配置 Norton AntiVirus 以扫描所有文件。
* 对于 Symantec AntiVirus 企业版产品：请参阅文档：如何确定 Symantec 企业版防病毒产品是否设置为扫描所有文件。
2. 运行完整的系统扫描。
3. 如果有任何文件被检测为 W32.Beagle.AB@mm，则单击“删除”。
4. 导航到%System%文件夹并删除sysxp.exeopenopenopen。
注意：如果您的 Symantec 防病毒产品报告无法删除受感染文件，Windows 可能在使用该文件。 要解决该问题，请在安全模式下运行扫描。 有关指导，请参阅文档：如何以安全模式启动计算机。以安全模式重启后，在此运行扫描。
（在文件被删除后，可以不离开安全模式并继续执行部分4。完成后，在将以正常模式重新启动计算机。）
5. 从注册表删除值
警告：Symantec 强烈建议在进行任何更改前先备份注册表。 错误地更改注册表可能导致数据永久丢失或文件损坏。 应只修改指定的键。 有关指导，请参阅文档：如何备份 Windows 注册表。
1. 单击“开始”>“运行”。
2. 键入 regedit
然后单击“确定”。
3. 导航至键：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
4. 在右窗格中，删除值：
"win_upd2.exe" = "%System%WINdirect.exe"
"erthgdr" = "%System%windll.exe"
5. 导航至键：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersion
6. 删除右边窗格中的子键Ru1n
7. 退出注册表编辑器。