該病毒屬郵件蠕蟲類，為白鴿病毒家族的最新變種，病毒主要通過傳送含有病毒附屬檔案的郵件傳播，從傳播方式上來看該變種同其他變種相類似。病毒盜用Windows Xp 下BMP圖片的圖示。病毒運行後複製原病毒副本到 %System%\anti_troj.exe，修改註冊表檔案，而後病毒嘗試連線網路，下載病毒相關檔案到%Windows%\exefld\下並運行，運行後又嘗試將原副本刪除。該病毒對用戶有一定的危害。
基本介紹
- 中文名：白鴿變種
- 病毒名稱：Email-Worm.Win32.Bagle.fn
- 病毒類型：郵件蠕蟲
- 公開範圍：完全公開
病毒檔案,行為分析,清除方案,
病毒檔案
病毒名稱： Email-Worm.Win32.Bagle.fn
中文名稱： 白鴿變種
病毒類型： 郵件蠕蟲
檔案MD5： CC9DADBF4432B8DC65D582D3825B4CDC
公開範圍： 完全公開
危害等級： 中
檔案長度： 10,175 位元組
感染系統： Windows 98 及以上版本
開發工具： Microsoft Visual C++ 6.0
加殼類型： 未知殼
命名對照： Symentec[Trojan.Lodav.x]
Mcafee[W32/Bagle.gen]
行為分析
1、複製原病毒體到：%System%\anti_troj.exe
2、修改註冊表檔案：
HKEY_USERS\S-1-5-21-1965-500\Software\Microsoft\Windows\CurrentVersion\Run\anti_troj
鍵值: 字串: "C:\WINNT\System32\anti_troj.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\anti_troj
鍵值: 字串: "C:\WINNT\System32\anti_troj.exe"
3、嘗試連線網路，並嘗試連線以下網站，下載病毒相關檔案到%Windows%\exefld\下並運行：
4、病毒通過查找某些擴展名的檔案並獲取其中的郵件地址，繼而傳送含有病毒附屬檔案的郵件。
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案
%System%\anti_troj.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項：
HKEY_USERS\S-1-5-21-1965-500\Software\Microsoft\Windows\CurrentVersion\Run\anti_troj
鍵值: 字串: "C:\WINNT\System32\anti_troj.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\anti_troj
鍵值: 字串: "C:\WINNT\System32\anti_troj.exe"
