W32.Beagle.AO@mm

W32.Beagle.AO@mm是一種群發郵件蠕蟲病毒，它會在受感染電腦的硬碟中蒐集電郵地址，然後用自己的SMTP引擎向這些電郵地址發放有毒郵件.W32.Beagle.AO@mm蠕蟲病毒可經由對等檔案共享網路傳播。 此種蠕蟲病毒一旦被激活執行後，它會試著從網際網路上特定的網址下載檔案到受害者的電腦中.

基本介紹

• 外文名：W32.Beagle.AO@mm
• 發現：2004 年 8 月 9 日
• 更新： 2007 年 2 月 13 日 12:27:50
• 類型:：Worm

別名

： W32/Bagle.aq@MM [McAfee], WORM_BAGLE.AC [Trend Micro], Win32.Bagle.AG [Computer Assoc, W32/Bagle-AQ [Sophos], I-Worm.Bagle.al [Kaspersky]

受感染的系統

： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP

W32.Beagle.AO@mm 是一種會寄發大量郵件的蠕蟲,它會使用自身的 SMTP 引擎透過電子郵件傳播。

蠕蟲並會在 UDP與TCP 埠號80 上開啟後門

賽門鐵克安全回響中心已經創建了用來殺除 W32.Beagle.AO@mm 的工具。單擊此處可獲取該工具。

防護。

* 病毒定義（每周 LiveUpdate™） 2004 年 8 月 9 日

* 病毒定義（智慧型更新程式） 2004 年 8 月 9 日

威脅評估

廣度

* 廣度級別： Low

* 感染數量： More than 1000

* 站點數量： More than 10

* 地理位置分布： Medium

* 威脅抑制： Moderate

* 清除： Moderate

損壞

* 損壞級別： Medium

* 大規模傳送電子郵件： Yes

* 降低性能： Mass-mailing may impact system performance.

分發

* 分發級別： High

* 電子郵件的主題：

* 附屬檔案名稱： Varies with .zip file extension

* 附屬檔案大小： Varies

* 連線埠： TCP port 80 and UDP port 80

狀況

當 W32.Beagle.AO@mm 執行時,它會執行下列動作:

1

. 建立檔案 %System%\WINdirect.exe.

注意:%System% 代表變數。蠕蟲會找到 System 數據夾並將自己複製過去。預設的位置是 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).

2

. 新增下列值:

"win_upd.exe"="%System%\WINdirect.exe"

至註冊表鍵:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

在啟動 Windows 時蠕蟲會被執行

3

. 建立檔案, %System%\_dll.exe.

4

. 將%System%\_dll.exe作為主執行緒注入Window類別程式 "Shell_TrayWnd." 如果成功, 此執行緒將在感染程式中持續被執行。 感染程式將執行下列步驟所列動作,而Windows工作管理員相將不會列出執行中的木馬程式。

5

. 終止下列名稱的程式:

* ATUPDATER.EXE

* ATUPDATER.EXE

* AUPDATE.EXE

* AUTODOWN.EXE

* AUTOTRACE.EXE

* AUTOUPDATE.EXE

* AVPUPD.EXE

* AVWUPD32.EXE

* AVXQUAR.EXE

* AVXQUAR.EXE

* CFIAUDIT.EXE

* DRWEBUPW.EXE

* ESCANH95.EXE

* ESCANHNT.EXE

* FIREWALL.EXE

* ICSSUPPNT.EXE

* ICSUPP95.EXE

* LUALL.EXE

* MCUPDATE.EXE

* NUPGRADE.EXE

* NUPGRADE.EXE

* OUTPOST.EXE

* UPDATE.EXE

* sys_xp.exe

* sysxp.exe

* winxp.exe

6

. 試圖由下列網站下載檔案至%Windir%\~.exe,並執行檔案

* 134.102.228.45

* 196.12.49.27

* 213.188.129.72

* 64.62.172.118

* abi-2004.org

* advm1.gm.fh-koeln.de

* alexey.pioneers.com.ru

* alfinternational.ru

* aus-Zeit.com

* binn.ru

* burn2k.ipupdater.com

* carabi.ru

* catalog.zelnet.ru

* cavalierland.5u.com

* celine.artics.ru

* change.east.ru

* colleen.ai.net

* controltechniques.ru

* dev.tikls.net

* diablo.homelinux.com

* dodgetheatre.com

* dozenten.f1.fhtw-berlin.de

* emnesty.w.interia.pl

* emnezz.e-mania.pl

* euroviolence.com

* evadia.ru

* fairy.dataforce.net

* financial.washingtonpost.com

* free.bestialityhost.com

* gutemine.wu-wien.ac.at

* herzog.cs.uni-magdeburg.de

* home.profootball.ru

* host.businessweek.com

* host.wallstreetcity.com

* host23.ipowerweb.com

* hsr.zhp.org.pl

* infokom.pl

* kafka.punkt.pl

* kooltokyo.ru

* kypexin.ru

* lars-s.privat.t-online.de

* lottery.h11.ru

* matzlinger.com

* megion.ru

* mmag.ru

* molinero-berlin.de

* momentum.ru

* niebo.net

* nominal.kaliningrad.ru

* omegat.ru

* ourcj.com

* packages.debian.or.jp

* pb195.slupsk.sdi.tpnet.pl

* photo.gornet.ru

* pixel.co.il

* pocono.ru

* polobeer.de

* porno-mania.net

* protek.ru

* przeglad-tygodnik.pl

* przeglad-tygodnik.pl

* quotes.barchart.com

* r2626r.de

* rausis.latnet.lv

* relay.great.ru

* republika.pl

* sacred.ru

* sbuilder.ru

* sec.polbox.pl

* shadkhan.ru

* silesianet.pl

* silesianet.pl

* slavarik.ru

* sovea.de

* spbbook.ru

* strony.wp.pl

* szm.sk

* tarkosale.net

* tdi-router.opola.pl

* terramail.pl

* thorpedo.us

* traveldeals.sidestep.com

* ultimate-best-hgh.0my.net

* vip.pnet.pl

* werel1.web-gratis.net

* www.5100.ru

* www.PlayGround.ru

* www.aannemers-nederland.nl

* www.abcdesign.ru

* www.airnav.com

* www.aktor.ru

* www.ankil.ru

* www.antykoncepcja.net

* www.aphel.de

* www.artics.ru

* www.astoria-stuttgart.de

* www.avant.ru

* www.baltmatours.com

* www.baltnet.ru

* www.biratnagarmun.org.np

* www.biysk.ru

* www.boglen.com

* www.bridesinrussia.com

* www.busheron.ru

* www.ccbootcamp.com

* www.chat4adult.com

* www.chelny.ru

* www.ciachoo.pl

* www.dami.com.pl

* www.ddosers.net

* www.dicto.ru

* www.dilver.ru

* www.dsmedia.ru

* www.dynex.ru

* www.elemental.ru

* www.elit-line.ru

* www.epski.gr

* www.forbes.com

* www.free-time.ru

* www.gamma.vyborg.ru

* www.gantke-net.com

* www.gin.ru

* www.glass-master.ru

* www.glavriba.ru

* www.gradinter.ru

* www.hack-gegen-rechts.com

* www.hbz-nrw.de

* www.hgr.de

* www.hgrstrailer.com

* www.ifa-guide.co.uk

* www.iluminati.kicks-ass.net

* www.infognt.com

* www.intellect.lvc

* www.interfoodtd.ru

* www.interrybflot.ru

* www.inversorlatino.com

* www.jewishgen.org

* www.k2kapital.com

* www.kefaloniaresorts.com

* www.lamatec.com

* www.landofcash.net

* www.laserbuild.ru

* www.math.kobe-u.ac.jp

* www.mcschnaeppchen.com

* www.mdmedia.org

* www.met.pl

* www.metacenter.ru

* www.milm.ru

* www.myrtoscorp.com

* www.nefkom.net

* www.neostrada.pl

* www.neprifan.ru

* www.netradar.com

* www.no-abi2003.de

* www.oldtownradio.com

* www.omnicom.ru

* www.oshweb.com

* www.pakwerk.ru

* www.perfectgirls.net

* www.perfectjewel.com

* www.peterstar.ru

* www.pgipearls.com

* www.phg.pl

* www.porsa.ru

* www.porta.de

* www.rafani.cz

* www.rastt.ru

* www.republika.pl

* www.republika.pl

* www.rollenspielzirkel.de

* www.rubikon.pl

* www.rumbgeo.ru

* www.rweb.ru

* www.scli.ru

* www.sdsauto.ru

* www.sensi.com

* www.silesianet.pl

* www.sjgreatdeals.com

* www.sposob.ru

* www.strefa.pl

* www.tanzen-in-sh.de

* www.taom-clan.de

* www.tayles.com

* www.teatr-estrada.ru

* www.teleline.ru

* www.thepositivesideofsports.com

* www.timelessimages.com

* www.tuhart.net

* www.vconsole.net

* www.vendex.ru

* www.virtmemb.com

* www.vivamedia.ru

* www.vrack.net

* www.wapf.com

* www.webpark.pl

* www.webronet.com

* www.webzdarma.cz

* www.yarcity.ru

* www.youbuynow.com

* www.zeiss.ru

* www.zelnet.ru

* www.zhp.gdynia.pl

* wynnsjammer.proboards18.com

* yaguark.h10.ru

Note: %Windir%代表變數。蠕蟲會找到 System 數據夾並將自己複製過去。預設的位置是 C:\Windows or C:\Winnt.

建議

賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。

* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。

使用防毒工具防毒

賽門鐵克安全回響中心已經創建了用來殺除 W32.Beagle.AO@mm 的工具。這是消除此威脅的最簡便方法。單擊此處可獲取該工具。

當然，您也可以按照以下指示自己手動防毒。

手動防毒

以下指導適用於最新和最近的所有 Symantec 防病毒產品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品）。

1. 禁用系統還原 (Windows Me/XP)。

2. 更新病毒定義。

3. 以安全模式或 VGA 模式重新啟動計算機。

4. 運行完整的系統掃描，並刪除所有檢測為 W32.Beagle.AB@mm 的檔案。

5. 刪除添加到註冊表的值。

6. 手動刪除下列檔案：

o %system%\sysxp.exeopenopenopen

o %system%\sysxp.exeopenopenopen

指導

有關每個步驟的詳細信息，請參閱以下指導。

1. 禁用系統還原 (Windows Me/XP)

如果正在運行 Windows Me 或 Windows XP，建議您暫時關閉系統還原功能。 此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows Me/XP 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程式在內的外部程式修改系統還原。 因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。 這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。

此外，病毒掃描也可能在 System Restore 資料夾中檢測到威脅，即使您已清除該威脅。

有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：

* "如何禁用或啟用 Windows Me 系統還原

* "如何關閉或打開 Windows XP 系統還原”

注意：當您完全完成防毒步驟，並確定威脅已清除後，按照上述文檔中的指導重新啟用系統還原。

有關其他信息以及禁用 Windows Me 系統還原功能的其他方法，請參閱 Microsoft 知識庫文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。

2. 更新病毒定義

Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。 可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate，這是獲得病毒定義最簡單的方法：如果未遇重大病毒爆發情況，這些病毒定義會每周在 LiveUpdate 伺服器上發布一次（一般為星期三）。 要確定是否可通過 LiveUpdate 獲得用於該威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智慧型更新程式下載定義：“智慧型更新程式”病毒定義在美國工作日發布（周一至周五）。 您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。 要確定是否可通過智慧型更新程式獲得用於該威脅的定義，請參考病毒定義（智慧型更新程式）。

可以從 http://securityresponse.symantec.com/avcenter/defs.download.html 獲得智慧型更新程式病毒定義。有關詳細指導，請閱讀文檔：如何使用智慧型更新程式更新病毒定義檔案。

3. 以安全模式或 VGA 模式重新啟動計算機

關閉計算機，關掉電源。 至少等候 30 秒，然後以安全模式或 VGA 模式重新啟動計算機。

* 對於 Windows 95、98、Me、2000 或 XP 用戶，請以安全模式重新啟動計算機。 有關指導，請參閱文檔：如何以安全模式啟動計算機。

* 對於 Windows NT 4 用戶，請以 VGA 模式重新啟動計算機。

4. 掃描和刪除受感染檔案

1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。

* 對於 Norton AntiVirus 單機版產品：請參閱文檔：如何配置 Norton AntiVirus 以掃描所有檔案。

* 對於 Symantec AntiVirus 企業版產品：請參閱文檔：如何確定 Symantec 企業版防病毒產品是否設定為掃描所有檔案。

2. 運行完整的系統掃描。

3. 如果有任何檔案被檢測為 W32.Beagle.AB@mm，則單擊“刪除”。

4. 導航到%System%資料夾並刪除sysxp.exeopenopenopen。

注意：如果您的 Symantec 防病毒產品報告無法刪除受感染檔案，Windows 可能在使用該檔案。 要解決該問題，請在安全模式下運行掃描。 有關指導，請參閱文檔：如何以安全模式啟動計算機。以安全模式重啟後，在此運行掃描。

（在檔案被刪除後，可以不離開安全模式並繼續執行部分4。完成後，在將以正常模式重新啟動計算機。）

5. 從註冊表刪除值

警告

：Symantec 強烈建議在進行任何更改前先備份註冊表。 錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。 應只修改指定的鍵。 有關指導，請參閱文檔：如何備份 Windows 註冊表。

1. 單擊“開始”>“運行”。

2. 鍵入 regedit

然後單擊“確定”。

3. 導航至鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"win_upd2.exe" = "%System%\WINdirect.exe"

"erthgdr" = "%System%\windll.exe"

5. 導航至鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion

6. 刪除右邊窗格中的子鍵Ru1n

7. 退出註冊表編輯器。