Email-Worm.Win32.Bagle.ch:簡介,行為分析,清除方案,

Email-Worm.Win32.Bagle.ch病毒屬郵件蠕蟲類，病毒主要通過傳送含有病毒附屬檔案的郵件傳播。病毒的圖示具有一定的欺騙性，病毒盜用Windows Xp下·txt檔案圖示，誘騙用戶瀏覽。病毒運行後首先會打開notepad.exe程式，而後修改註冊表檔案，添加病毒副本到啟動項等，修改其中安全相關的配置，降低系統的安全性能，病毒還會嘗試終止某些反病毒軟體及安全軟體的進程，修改"%System%\drivers\etc\hosts"檔案。病毒還會嘗試下載病毒相關檔案到感染主機上運行。該病毒對用戶有一定的危害。

基本介紹

中文名：Email-Worm.Win32.Bagle.ch
外文名： Email-Worm.Win32.Bagle.ch
公開範圍：完全公開
病毒類型：郵件蠕蟲

簡介,行為分析,清除方案,

簡介

病毒名稱： Email-Worm.Win32.Bagle.ch

中文名稱：白鴿變種

病毒類型：郵件蠕蟲

檔案 MD5： 04EA82E70D45B65F7B7AE204A3236CCE

公開範圍：完全公開

危害等級：中

檔案長度：36,352 位元組

感染系統： windows 98 以上版本

開發工具： Microsoft Visual C++

加殼類型： ACProtect

命名對照： Symentec[Trojan.Lodear.x]

Mcafee[W32/Bagle.gen]

行為分析

1、病毒運行後複製自身到：

%System%\winshost.exe

%System%\wiwshost.exe

2、修改註冊表檔案，達到隨系統啟動的目的：

HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\Run

鍵值：字串： "winshost.exe"="%System%\winshost.exe"

HKEY_LOCAL_METHINE\Software\Microsoft\Windows

\CurrentVersion\Run

鍵值：字串： "winshost.exe"="%System%\winshost.exe"

3、嘗試終止某些反病毒軟體及安全軟體的進程

4、通過遍歷註冊表檔案，嘗試刪除某些反病毒及安全軟體的相關鍵值，以達到保護自身的目的：

HKEY_LOCAL_METHINE\SOFTWARE\McAfee

HKEY_LOCAL_METHINE\SOFTWARE\KasperskyLab