Email-Worm.Win32.Bagle.fn
病毒名称： Email-Worm.Win32.Bagle.fn
中文名称： 白鸽变种
病毒类型： 邮件蠕虫
文件MD5：CC9DADBF4432B8DC65D582D3825B4CDC
公开范围： 完全公开
危害等级： 中
文件长度： 10,175 字节
感染系统： Windows 98 及以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 未知壳
命名对照： Symentec[Trojan.Lodav.x]
Mcafee[W32/Bagle.gen]
病毒描述：
该病毒属邮件蠕虫类，为白鸽病毒家族的最新变种，病毒主要通过发送含有病毒附件的邮件传播，从传播方式上来看该变种同其他变种相类似。病毒盗用Windows Xp 下BMP图片的图标。病毒运行后复制原病毒副本到 %System%anti_troj.exe，修改注册表文件，而后病毒尝试连接网络，下载病毒相关文件到%Windows%exefld下并运行，运行后又尝试将原副本删除。该病毒对用户有一定的危害。
行为分析：
1、复制原病毒体到：%System%anti_troj.exe
2、修改注册表文件：
HKEY_USERSS-1-5-21-1960408961-413027322-839522115-500SoftwareMicrosoftWindowsCurrentVersionRunanti_troj
键值: 字串: "C:WINNTSystem32anti_troj.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
Runanti_troj
键值: 字串: "C:WINNTSystem32anti_troj.exe"
3、尝试连接网络，并尝试连接以下网站，下载病毒相关文件到%Windows%exefld下并运行：
www.*****realservis.sk
www.*****fag.ru
www.*****stcheapdomainregistration.info
www.*****dsforbaby.com
www.*****nhaigolf.com
www.*****otenk.com
www.*****saquecanta.com
www.*****ilotitomarino.cl
alev*****irligi.ch
alfa*****assic.sk
alla*****oni.it
www.*****nininfo.com
www.*****nnylife.com
www.*****ericarising.com
amer*****asenergyco.com
amer*****aameryka.com
amis*****a.com
anal*****isyconsultoria.com
cala*****rco.com
www.*****inaculturedpearl.com
www.*****sino-malibu.ru
www.*****lin18.com
www.*****onkaenpoc.com
www.*****nnectesl.com
ala-*****.net
alli*****o.com.au
elec*****tek.com
www.*****lkemailservicenow.com
www.*****lkemaildirectmarketing.com
www.*****lidad.biz
www.*****tsolution.ro
www.*****tltd.com
www.*****ettools.com
www.*****ldrussell.com
www.*****onko-m.ru
www.*****nsew.ca
www.*****nsultdubai.ae
4、病毒通过查找某些扩展名的文件并获取其中的邮件地址，继而发送含有病毒附件的邮件。
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%System%anti_troj.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：
HKEY_USERSS-1-5-21-1960408961-413027322-839522115-500SoftwareMicrosoftWindowsCurrentVersionRunanti_troj
键值: 字串: "C:WINNTSystem32anti_troj.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunanti_troj
键值: 字串: "C:WINNTSystem32anti_troj.exe"