W32.Beagle.AZ@mm

電腦病毒的一種， 本文詳細介紹了此病毒的情況

基本介紹

• 中文名：W32.Beagle.AZ@mm
• 別名：Win32.Bagle.AU
• 發現：2005 年 1 月 26 日
• 更新：2007 年 2 月 13 日 12:32:49PM
• 類型：Worm
• 感染長度：19,810 bytes

基本信息

簡介

發現： 2005 年 1 月 26 日

更新： 2007 年 2 月 13 日 12:32:49 PM

別名： Win32.Bagle.AU [Computer Assoc], Email-Worm.Win32.Bagle.ay [Kas], W32/Bagle.bk@MM [McAfee], W32/Bagle-BK [Sophos], WORM_BAGLE.AZ [Trend Micro]

類型： Worm

感染長度： 19,810 bytes

受感染的系統

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

W32.Beagle.AZ@mm 是一種會寄發大量郵件的蠕蟲，它會藉由檔案共享網路傳播. 電子郵件將會有不同主旨和附屬檔案名稱. 附屬檔案會有.com, .cpl, .exe, 或 .scr等擴展名

注意：病毒定義檔案70126ax或更新的版本將可以自動偵測到此威脅.

防護

* 病毒定義（每周 LiveUpdate™）

* 病毒定義（智慧型更新程式）

威脅評估

廣度

* 廣度級別： Low

* 感染數量： More than 1000

* 站點數量： More than 10

* 地理位置分布： Low

* 威脅抑制： Easy

* 清除： Moderate

損壞

* 損壞級別： Medium

* 有效負載： Downloads a remote file.

* 大規模傳送電子郵件： Sends email to addresses collected from the compromised computer.

* 危及安全設定： Lowers security settings by ending security-related processes.

分發

* 分發級別： High

* 電子郵件的主題： Varies

* 附屬檔案名稱： Varies with .com, .cpl, .exe, or .scr file extension

* 附屬檔案大小： Varies

當 W32.Beagle.AZ@mm 執行時,它會執行下列動作:

將值

"My AV"

"ICQ Net"

由下列註冊表鍵刪除：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

這樣，該蠕蟲的放置程式便可在 Windows啟動時運行。

建立檔案

* %System%\sysformat.exe

* %System%\sysformat.exeopen

* %System%\sysformat.exeopenopen

注意：%Windir% 是一個變數。 蠕蟲會找到 System 資料夾，並將自身複製到其中。 默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), 或 C:\Windows\System32 (Windows XP).

"sysformat" = "%System%\sysformat.exe"

添加到註冊表鍵：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"riga" = "[Binary data]"

添加到註冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Params

終止下列與安全程式有關的程式

* APVXDWIN.EXE

* ATUPDATER.EXE

* AUPDATE.EXE

* AUTODOWN.EXE

* AUTOTRACE.EXE

* AUTOUPDATE.EXE

* Avconsol.exe

* AVENGINE.EXE

* AVPUPD.EXE

* Avsynmgr.exe

* AVWUPD32.EXE

* AVXQUAR.EXE

* bawindo.exe

* blackd.exe

* ccApp.exe

* ccEvtMgr.exe

* ccProxy.exe

* ccPxySvc.exe

* CFIAUDIT.EXE

* DefWatch.exe

* DRWEBUPW.EXE

* ESCANH95.EXE

* ESCANHNT.EXE

* FIREWALL.EXE

* FrameworkService.exe

* ICSSUPPNT.EXE

* ICSUPP95.EXE

* LUALL.EXE

* LUCOMS~1.EXE

* mcagent.exe

* mcshield.exe

* MCUPDATE.EXE

* mcvsescn.exe

* mcvsrte.exe

* mcvsshld.exe

* navapsvc.exe

* navapw32.exe

* NISUM.EXE

* nopdb.exe

* NPROTECT.EXE

* NUPGRADE.EXE

* OUTPOST.EXE

* PavFires.exe

* pavProxy.exe

* pavsrv50.exe

* Rtvscan.exe

* RuLaunch.exe

* SAVScan.exe

* SHSTAT.EXE

* SNDSrvc.exe

* symlcsvc.exe

* UPDATe.EXE

* UpdaterUI.exe

* Vshwin32.exe

* VsStat.exe

* VsTskMgr.exe

建立本身的副本

6. 試圖在任何包含字元「shar」的數據夾中建立本身的副本。檔案將會有下列檔案名稱稱:

* 1.exe

* 2.exe

* 3.exe

* 4.exe

* 5.scr

* 6.exe

* 7.exe

* 8.exe

* 9.exe

* 10.exe

* Ahead Nero 7.exe

* Windown Longhorn Beta Leak.exe

* Opera 8 New!.exe

* XXX hardcore images.exe

* WinAmp 6 New!.exe

* WinAmp 5 Pro Keygen Crack Update.exe

* Adobe Photoshop 9 full.exe

* Matrix 3 Revolution English Subtitles.exe

* ACDSee 9.exe

掃描以下擴展名的檔案以查找電子郵件地址

* .adb

* .asp

* .cfg

* .cgi

* .dbx

* .dhtm

* .eml

* .htm

* .jsp

* .mbx

* .mdx

* .mht

* .mmf

* .msg

* .nch

* .ods

* .oft

* .php

* .pl

* .sht

* .shtm

* .stm

* .tbb

* .txt

* .uin

* .wab

* .wsh

* .xls

* .xml

傳送郵件至收集的電子郵件地址

8. 通過使用自己的 SMTP 引擎將自身作為電子郵件傳送到在上述步驟收集的電子郵件地址。

電子郵件將具有以下特徵：

發件人：<欺騙性>

主旨： <下列之ㄧ>

* Delivery by mail

* Delivery service mail

* Is delivered mail

* Registration is accepted

* You are made active

正文：<下列之ㄧ>

* Before use read the help

* Thanks for use of our software.

附屬檔案：(以下其中之一)

* Jol03

* guupd02

* siupd02

* upd02

* viupd02

* wsd01

* zupd02

並有下列之一的擴展名:

* .com

* .cpl

* .exe

* .scr

病蟲將不會將本身寄至包含下列字元的電子郵件地址:

* @avp.

* @foo

* @iana

* @messagelab

* @microsoft

* abuse

* admin

* anyone@

* bsd

* bugs@

* cafee

* certific

* contract@

* f-secur

* feste

* free-av

* gold-certs@

* google

* help@

* icrosoft

* info@

* kasp

* linux

* listserv

* local

* news

* nobody@

* noone@

* noreply

* ntivi

* panda

* pgp

* postmaster@

* rating@

* root@

* samples

* sopho

* spam

* support

* unix

* update

* winrar

* winzip

下載檔案

試圖由下列網站下載檔案至 %System%\re_file.exe, 並執行檔案

* www.24-7-transportation.com

* www.DarrkSydebaby.com

* www.FritoPie.NET

* www.adhdtests.com

* www.aegee.org

* www.aimcenter.net

* www.alupass.lu

* www.amanit.ru

* www.andara.com

* www.angelartsanctuary.com

* www.anthonyflanagan.com

* www.approved1stmortgage.com

* www.argontech.net

* www.asianfestival.nl

* www.atlantisteste.hpg.com.br

* www.aviation-center.de

* www.bbsh.org

* www.bga-gsm.ru

* www.boneheadmusic.com

* www.bottombouncer.com

* www.bradster.com

* www.buddyboymusic.com

* www.bueroservice-it.de

* www.calderwoodinn.com

* www.capri-frames.de

* www.celula.com.mx

* www.ceskyhosting.cz

* www.chinasenfa.com

* www.cntv.info

* www.compsolutionstore.com

* www.coolfreepages.com

* www.corpsite.com

* www.couponcapital.net

* www.cpc.adv.br

* www.crystalrose.ca

* www.cscliberec.cz

* www.curtmarsh.com

* www.customloyal.com

* www.deadrobot.com

* www.dontbeaweekendparent.com

* www.dragcar.com

* www.ecofotos.com.br

* www.elenalazar.com

* www.ellarouge.com.au

* www.esperanzaparalafamilia.com

* www.eurostavba.sk

* www.everett.wednet.edu

* www.fcpages.com

* www.featech.com

* www.fepese.ufsc.br

* www.firstnightoceancounty.org

* www.flashcorp.com

* www.fleigutaetscher.ch

* www.fludir.is

* www.freeservers.com

* www.gamp.pl

* www.gci-bln.de

* www.gcnet.ru

* www.generationnow.net

* www.gfn.org

* www.giantrevenue.com

* www.glass.la

* www.handsforhealth.com

* www.hartacorporation.com

* www.himpsi.org

* www.idb-group.net

* www.immonaut.sk

* www.ims-i.com

* www.innnewport.com

* www.irakli.org

* www.irinaswelt.de

* www.jansenboiler.com

* www.jasnet.pl

* www.jhaforpresident.7p.com

* www.jimvann.com

* www.jldr.ca

* www.justrepublicans.com

* www.kencorbett.com

* www.knicks.nl

* www.kps4parents.com

* www.kradtraining.de

* www.kranenberg.de

* www.lasermach.com

* www.leonhendrix.com

* www.magicbottle.com.tw

* www.mass-i.kiev.ua

* www.mepbisu.de

* www.mepmh.de

* www.metal.pl

* www.mexis.com

* www.mongolische-renner.de

* www.mtfdesign.com

* www.oboe-online.com

* www.ohiolimo.com

* www.onepositiveplace.org

* www.oohlala-kirkland.com

* www.orari.net

* www.pankration.com

* www.pe-sh.com

* www.pfadfinder-leobersdorf.com

* www.pipni.cz

* www.polizeimotorrad.de

* www.programmierung2000.de

* www.pyrlandia-boogie.pl

* www.raecoinc.com

* www.realgps.com

* www.redlightpictures.com

* www.reliance-yachts.com

* www.relocationflorida.com

* www.rentalstation.com

* www.rieraquadros.com.br

* www.scanex-medical.fi

* www.sea.bz.it

* www.selu.edu

* www.sigi.lu

* www.sljinc.com

* www.smacgreetings.com

* www.soloconsulting.com

* www.spadochron.pl

* www.srg-neuburg.de

* www.ssmifc.ca

* www.sugardas.lt

* www.sunassetholdings.com

* www.szantomierz.art.pl

* www.the-fabulous-lions.de

* www.tivogoddess.com

* www.tkd2xcell.com

* www.topko.sk

* www.transportation.gov.bh

* www.travelchronic.de

* www.traverse.com

* www.uhcc.com

* www.ulpiano.org

* www.uslungiarue.it

* www.vandermost.de

* www.vbw.info

* www.velezcourtesymanagement.com

* www.velocityprint.com

* www.vikingpc.pl

* www.vinirforge.com

* www.wecompete.com

* www.worest.com.ar

* www.woundedshepherds.com

* www.wwwebad.com

* www.wwwebmaster.com

建議

賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。

* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。

手動防毒

以下指導適用於最新和最近的所有 Symantec 防病毒產品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品）。

1. 禁用系統還原 (Windows Me/XP)。

2. 更新病毒定義。

3. 以安全模式或 VGA 模式重新啟動計算機。

4. 運行完整的系統掃描，並刪除所有檢測為 W32.Beagle.AZ@mm 的檔案。

5. 刪除添加到註冊表的值。

有關每個步驟的詳細信息，請參閱以下指導。

1. 禁用系統還原 (Windows Me/XP)

如果正在運行 Windows Me 或 Windows XP，建議您暫時關閉系統還原功能。 此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows Me/XP 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程式在內的外部程式修改系統還原。 因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。 這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。

此外，病毒掃描也可能在 System Restore 資料夾中檢測到威脅，即使您已清除該威脅。

有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：

* "如何禁用或啟用 Windows Me 系統還原"

* "如何關閉或打開 Windows XP 系統還原"

注意：當您完全完成防毒步驟，並確定威脅已清除後，按照上述文檔中的指導重新啟用系統還原。

有關其他信息以及禁用 Windows Me 系統還原功能的其他方法，請參閱 Microsoft 知識庫文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。

2. 更新病毒定義

Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。 可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate，這是獲得病毒定義最簡單的方法：如果未遇重大病毒爆發情況，這些病毒定義會每周在 LiveUpdate 伺服器上發布一次（一般為星期三）。 要確定是否可通過 LiveUpdate 獲得用於該威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智慧型更新程式下載定義：“智慧型更新程式”病毒定義在美國工作日發布（周一至周五）。 您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。 要確定是否可通過智慧型更新程式獲得用於該威脅的定義，請參考病毒定義（智慧型更新程式）。

可以從 http://securityresponse.symantec.com/avcenter/defs.download.html 獲得智慧型更新程式病毒定義。有關詳細指導，請閱讀文檔：如何使用智慧型更新程式更新病毒定義檔案。

3. 以安全模式或 VGA 模式重新啟動計算機

關閉計算機，關掉電源。 至少等候 30 秒，然後以安全模式或 VGA 模式重新啟動計算機。

* 對於 Windows 95、98、Me、2000 或 XP 用戶，請以安全模式重新啟動計算機。 有關指導，請參閱文檔：如何以安全模式啟動計算機。

* 對於 Windows NT 4 用戶，請以 VGA 模式重新啟動計算機。

4. 掃描和刪除受感染檔案

1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。

* 對於 Norton AntiVirus 單機版產品：請參閱文檔：如何配置 Norton AntiVirus 以掃描所有檔案。

* 對於 Symantec AntiVirus 企業版產品：請參閱文檔：如何確定 Symantec 企業版防病毒產品是否設定為掃描所有檔案。

2. 運行完整的系統掃描。

3. 如果有任何檔案被檢測為 W32.Beagle.AZ@mm，則單擊“刪除”。

5. 從註冊表刪除值

警告：Symantec 強烈建議在進行任何更改前先備份註冊表。 錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。 應只修改指定的鍵。 有關指導，請參閱文檔：如何備份 Windows 註冊表。

1. 單擊“開始”＞“運行”。

2. 鍵入 regedit

然後單擊“確定”。

3. 導航至鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"sysformat" = "%System%\sysformat.exe"

5. 導航至鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Params

6. 在右窗格中，刪除值：

"riga" = "[Binary data]"

7. 退出註冊表編輯器

8. 以標準模式重新啟動計算機。有關指導，請參閱文檔：如何以安全模式啟動計算機 中有關返回標準模式的部分。