簡介
發現： 2004 年 8 月 9 日
更新： 2007 年 2 月 13 日 12:27:50 PM
別名： W32/Bagle.aq@MM 【McAfee】, WORM_BAGLE.AC 【Trend Micro】, Win32.Bagle.AG 【Computer ASSOC, W32/Bagle-AQ 【Sophos】, I-Worm.Bagle.al 【Kaspersky】
類型: Worm
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
介紹
W32.Beagle.AO@mm 是一種會寄發大量郵件的蠕蟲,它會使用自身的 SMTP 引擎透過電子郵件傳播。
蠕蟲並會在 UDP與TCP 埠號80 上開啟後門
賽門鐵克安全回響中心已經創建了用來殺除 W32.Beagle.AO@mm 的工具。單擊此處可獲取該工具。
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 8 月 9 日
* 病毒定義（智慧型更新程式） 2004 年 8 月 9 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： More than 1000
* 站點數量： More than 10
* 地理位置分布： Medium
* 威脅抑制： Moderate
* 清除： Moderate
損壞
* 損壞級別： Medium
* 大規模傳送電子郵件： Yes
* 降低性能： Mass-mailing may impact system performance.
分發
* 分發級別： High
* 電子郵件的主題：
* 附屬檔案名稱： Varies with .zip file extension
* 附屬檔案大小： Varies
* 連線埠： TCP port 80 and UDP port 80
當 W32.Beagle.AO@mm 執行時,它會執行下列動作:
1. 建立檔案 %System%\WINdirect.exe.
注意:%System% 代表變數。蠕蟲會找到 System 數據夾並將自己複製過去。預設的位置是 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
2. 新增下列值:
"win_upd.exe"="%System%\WINdirect.exe"
至註冊表鍵:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
在啟動 Windows 時蠕蟲會被執行
3. 建立檔案, %System%\_dll.exe.
4. 將%System%\_dll.exe作為主執行緒注入Window類別程式 "Shell_TrayWnd." 如果成功, 此執行緒將在感染程式中持續被執行。 感染程式將執行下列步驟所列動作,而Windows工作管理員相將不會列出執行中的木馬程式。
5. 終止下列名稱的程式:
* ATUPDATER.EXE
* ATUPDATER.EXE
* aupdate.exe
* AUTODOWN.EXE
* AUTOTRACE.EXE
* autoupdate.exe
* AVPUPD.EXE
* AVWUPD32.EXE
* AVXQUAR.EXE
* AVXQUAR.EXE
* CFIAUDIT.EXE
* DRWEBUPW.EXE
* ESCANH95.EXE
* ESCANHNT.EXE
* FIREWALL.EXE
* ICSSUPPNT.EXE
* ICSUPP95.EXE
* luall.exe
* MCupdate.exe
* NUPGRADE.EXE
* NUPGRADE.EXE
* outpost.exe
* UPDATE.EXE
* sys_xp.exe
* sysxp.exe
* winxp.exe
6. 試圖由下列網站下載檔案至%Windir%\~.exe,並執行檔案
* 134.102.228.45
* 196.12.49.27
* 213.188.129.72
* 64.62.172.118
* abi-2004.org
* advm1.gm.fh-koeln.de
* alexey.pioneers.com.ru
* alfinternational.ru
* aus-Zeit.com
* binn.ru
* burn2k.ipupdater.com
* carabi.ru
* catalog.zelnet.ru
* cavalierland.5u.com
* celine.artics.ru
* change.east.ru
* colleen.ai.net
* controltechniques.ru
* dev.tikls.net
* diablo.homelinux.com
* dodgetheatre.com
* dozenten.f1.fhtw-berlin.de
* emnesty.w.interia.pl
* emnezz.e-mania.pl
* euroviolence.com
* evadia.ru
* fairy.dataforce.net
* financial.washingtonpost.com
* free.bestialityhost.com
* gutemine.wu-wien.ac.at
* herzog.cs.uni-magdeburg.de
* home.profootball.ru
* host.businessweek.com
* host.wallstreetcity.com
* host23.ipowerweb.com
* hsr.zhp.org.pl
* infokom.pl
* kafka.punkt.pl
* kooltokyo.ru
* kypexin.ru
* lars-s.privat.t-online.de
* lottery.h11.ru
* matzlinger.com
* megion.ru
* mmag.ru
* molinero-berlin.de
* momentum.ru
* niebo.net
* nominal.kaliningrad.ru
* omegat.ru
* ourcj.com
* packages.debian.or.jp
* pb195.slupsk.sdi.tpnet.pl
* photo.gornet.ru
* pixel.co.il
* pocono.ru
* polobeer.de
* PORNO-mania.net
* protek.ru
* przeglad-tygodnik.pl
* przeglad-tygodnik.pl
* quotes.barchart.com
* r2626r.de
* rausis.latnet.lv
* relay.great.ru
* republika.pl
* sacred.ru
* sbuilder.ru
* sec.polbox.pl
* shadkhan.ru
* silesianet.pl
* silesianet.pl
* slavarik.ru
* sovea.de
* spbbook.ru
* strony.wp.pl
* szm.sk
* tarkosale.net
* tdi-router.opola.pl
* terramail.pl
* thorpedo.us
* traveldeals.sidestep.com
* ultimate-best-hgh.0my.net
* vip.pnet.pl
* werel1.web-gratis.net
* www.5100.ru * www.PlayGround.ru * www.aannemers-nederland.nl * www.abcdesign.ru * www.airnav.com * www.aktor.ru * www.ankil.ru * www.antykoncepcja.net * www.aphel.de * www.artics.ru * www.astoria-stuttgart.de * www.avant.ru * www.baltmatours.com * www.baltnet.ru * www.biratnagarmun.org.np * www.biysk.ru * www.boglen.com * www.bridesinrussia.com * www.busheron.ru * www.ccbootcamp.com * www.chat4adult.com * www.chelny.ru * www.ciachoo.pl * www.dami.com.pl * www.ddosers.net * www.dicto.ru * www.dilver.ru * www.dsmedia.ru * www.dynex.ru * www.elemental.ru * www.elit-line.ru * www.epski.gr * www.forbes.com * www.free-time.ru * www.gamma.vyborg.ru * www.gantke-net.com * www.gin.ru * www.glass-master.ru * www.glavriba.ru * www.gradinter.ru * www.hack-gegen-rechts.com * www.hbz-nrw.de * www.hgr.de * www.hgrstrailer.com * www.ifa-guide.co.uk * www.iluminati.kicks-ass.net * www.infognt.com * www.intellect.lvc * www.interfoodtd.ru * www.interrybflot.ru * www.inversorlatino.com * www.jewishgen.org * www.k2kapital.com * www.kefaloniaresorts.com * www.lamatec.com * www.landofcash.net * www.laserbuild.ru * www.math.kobe-u.ac.jp * www.mcschnaeppchen.com * www.mdmedia.org * www.met.pl * www.metacenter.ru * www.milm.ru * www.myrtoscorp.com * www.nefkom.net * www.neostrada.pl * www.neprifan.ru * www.netradar.com * www.no-abi2003.de * www.oldtownradio.com * www.omnicom.ru * www.oshweb.com * www.pakwerk.ru * www.perfectgirls.net * www.perfectjewel.com * www.peterstar.ru * www.pgipearls.com * www.phg.pl * www.porsa.ru * www.porta.de * www.rafani.cz * www.rastt.ru * www.republika.pl * www.republika.pl * www.rollenspielzirkel.de * www.rubikon.pl * www.rumbgeo.ru * www.rweb.ru * www.scli.ru * www.sdsauto.ru * www.sensi.com * www.silesianet.pl * www.sjgreatdeals.com * www.sposob.ru * www.strefa.pl * www.tanzen-in-sh.de * www.taom-clan.de * www.tayles.com * www.teatr-estrada.ru * www.teleline.ru * www.thepositivesideofsports.com * www.timelessimages.com * www.tuhart.net * www.vconsole.net * www.vendex.ru * www.virtmemb.com * www.vivamedia.ru * www.vrack.net * www.wapf.com * www.webpark.pl * www.webronet.com * www.webzdarma.cz * www.yarcity.ru * www.youbuynow.com * www.zeiss.ru * www.zelnet.ru * www.zhp.gdynia.pl * wynnsjammer.proboards18.com
* yaguark.h10.ru
Note: %Windir%代表變數。蠕蟲會找到 System 數據夾並將自己複製過去。預設的位置是 C:\Windows or C:\Winnt.
當檔案被執行時,會進行下列動作:
1. 以下列名稱建立七個 mutex,這樣可以預防 W32.netsky@mm 的一些變異體執行:
* MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
* 'D'r'o'p'p'e'd'S'k'y'N'e't'
* _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
* 【SkyNet.cz】SystemsMutex
* AdmSkynetJklS003
* ____--->>>>U<<<<--____
* _-oO】xX|-S-k-y-N-e-t-|Xx【Oo-_
2. 建立下列檔案:
* %System%\windll.exe.
* %System%\windll.exeopen, which is a copy of the worm with randomly appended data.
* %System%\windll.exeopenopen, which is a copy of the worm with randomly appended data.
* %System%\re_file.exe
注意: 代表變數。蠕蟲會找到 System 數據夾並將自己複製過去。預設的位置是 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).
3. 新增下列值:
"erthgdr"="%System%\windll.exe"
至註冊表鍵:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 由註冊表鍵:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|
刪除所有包含下列字元的值:
* "9XHtProtect"
* "Antivirus"
* "EasyAV"
* "FirewallSvr"
* "HtProtect"
* "ICQ Net"
* "ICQNet"
* "Jammer2nd"
* "KasperskyAVEng"
* "MsInfo"
* "My AV"
* "NetDy"
* "Norton Antivirus AV"
* "PandaAVEngine"
* "SkynetsRevenge"
* "Special Firewall Service"
* "SysMonXP"
* "Tiny AV"
* "Zone Labs Client Ex"
* "service"
5. 試圖在任何包含字元「shar」的數據夾中建立本身的副本。檔案將會有下列檔案名稱稱:
* Microsoft Office 2003 Crack, Working!.exe
* Microsoft Windows XP, WinXP Crack, working keygen.exe
* Microsoft Office XP working Crack, Keygen.exe
* Porno, sex, oral, anal cool, awesome!!.exe
* Porno Screensaver.scr
* Serials.txt.exe
* kav 5.0
* Kaspersky Antivirus 5.0
* Porno pics arhive, xxx.exe
* Windows Sourcecode update.doc.exe
* Ahead Nero 7.exe
* Windown Longhorn Beta Leak.exe
* Opera 8 New!.exe
* XXX hardcore images.exe
* WinAmp 6 New!.exe
* WinAmp 5 Pro Keygen Crack Update.exe
* Adobe Photoshop 9 full.exe
* Matrix 3 Revolution English Subtitles.exe
* ACDSee 9.exe
6. 在有下列擴展名的電子郵件中搜尋電子郵件地址:
* .adb
* .asp
* .cfg
* .cgi
* .dbx
* .dhtm
* .eml
* .htm
* .jsp
* .mbx
* .mdx
* .mht
* .mmf
* .msg
* .NCH
* .ods
* .oft
* .php
* .pl
* .sht
* .shtm
* .stm
* .tbb
* .txt
* .uin
* .wab
* .wsh
* .xls
* .xml
7. 使用自身的 SMTP 引擎傳送電子郵件到任何找到的地址。
受感染的電子郵件可能具有下列特徵:
寄件者:<已偽裝>
主旨: <無>
內文: New price
附屬檔案:(以下其中之一)
* 08_price.zip
* new__price.zip
* new_price.zip
* newprice.zip
* price.zip
* price2.zip
* price_08.zip
* price_new.zip
8. 並蟲將不會將本身寄至包含下列字元的電子郵件地址:
* @avp.
* @foo
* @iana
* @messagelab
* @microsoft
* abuse
* admin
* anyone@
* bsd
* bugs@
* cafee
* certific
* contract@
* feste
* free-av
* f-secur
* gold-certs@
* google
* help@
* icrosoft
* info@
* kasp
* linux
* listserv
* local
* news
* nobody@
* noone@
* noreply
* ntivi
* panda
* pgp
* postmaster@
* rating@
* root@
* samples
* sopho
* spam
* support
* unix
* update
* winrar
* winzip
9. 在 UDP與TCP 埠號 80 上開啟後門,這使得受感染的計算機成為電子郵件的轉信主機。
10. 建立下列註冊表鍵:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
使用防毒工具防毒
賽門鐵克安全回響中心已經創建了用來殺除 W32.Beagle.AO@mm 的工具。這是消除此威脅的最簡便方法。單擊此處可獲取該工具。
當然，您也可以按照以下指示自己手動防毒。
手動防毒
以下指導適用於最新和最近的所有 Symantec 防病毒產品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品）。
1. 禁用系統還原 (Windows Me/XP)。
2. 更新病毒定義。
3. 以安全模式或 VGA 模式重新啟動計算機。
4. 運行完整的系統掃描，並刪除所有檢測為 W32.Beagle.AB@mm 的檔案。
5. 刪除添加到註冊表的值。
6. 手動刪除下列檔案：
o %system%\sysxp.exeopenopenopen
o %system%\sysxp.exeopenopenopen
有關每個步驟的詳細信息，請參閱以下指導。
1. 禁用系統還原 (Windows Me/XP)
如果正在運行 Windows Me 或 Windows XP，建議您暫時關閉系統還原功能。 此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows Me/XP 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。 因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。 這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描也可能在 System Restore 資料夾中檢測到威脅，即使您已清除該威脅。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* "如何禁用或啟用 Windows Me 系統還原
* "如何關閉或打開 Windows XP 系統還原”
注意：當您完全完成防毒步驟，並確定威脅已清除後，按照上述文檔中的指導重新啟用系統還原。
有關其他信息以及禁用 Windows Me 系統還原功能的其他方法，請參閱 Microsoft 知識庫文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。
2. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。 可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate，這是獲得病毒定義最簡單的方法：如果未遇重大病毒爆發情況，這些病毒定義會每周在 LiveUpdate 伺服器上發布一次（一般為星期三）。 要確定是否可通過 LiveUpdate 獲得用於該威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載定義：“智慧型更新程式”病毒定義在美國工作日發布（周一至周五）。 您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。 要確定是否可通過智慧型更新程式獲得用於該威脅的定義，請參考病毒定義（智慧型更新程式）。
可以從 http://securityresponse.symantec.com/avcenter/defs.download.html 獲得智慧型更新程式病毒定義。有關詳細指導，請閱讀文檔：如何使用智慧型更新程式更新病毒定義檔案。
3. 以安全模式或 VGA 模式重新啟動計算機
關閉計算機，關掉電源。 至少等候 30 秒，然後以安全模式或 VGA 模式重新啟動計算機。
* 對於 Windows 95、98、Me、2000 或 XP 用戶，請以安全模式重新啟動計算機。 有關指導，請參閱文檔：如何以安全模式啟動計算機。
* 對於 Windows NT 4 用戶，請以 VGA 模式重新啟動計算機。
4. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* 對於 Norton AntiVirus 單機版產品：請參閱文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 對於 Symantec AntiVirus 企業版產品：請參閱文檔：如何確定 Symantec 企業版防病毒產品是否設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果有任何檔案被檢測為 W32.Beagle.AB@mm，則單擊“刪除”。
4. 導航到%System%資料夾並刪除sysxp.exeopenopenopen。
注意：如果您的 Symantec 防病毒產品報告無法刪除受感染檔案，Windows 可能在使用該檔案。 要解決該問題，請在安全模式下運行掃描。 有關指導，請參閱文檔：如何以安全模式啟動計算機。以安全模式重啟後，在此運行掃描。
（在檔案被刪除後，可以不離開安全模式並繼續執行部分4。完成後，在將以正常模式重新啟動計算機。）
5. 從註冊表刪除值
警告：Symantec 強烈建議在進行任何更改前先備份註冊表。 錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。 應只修改指定的鍵。 有關指導，請參閱文檔：如何備份 Windows 註冊表。
1. 單擊“開始”>“運行”。
2. 鍵入 regedit
然後單擊“確定”。
3. 導航至鍵：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除值：
"win_upd2.exe" = "%System%\WINdirect.exe"
"erthgdr" = "%System%\windll.exe"
5. 導航至鍵：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion
6. 刪除右邊窗格中的子鍵Ru1n
7. 退出註冊表編輯器。
