W32.Mimail.A@mm，Worm類型病毒發現於2003 年 8 月 1 日，更新在2007 年 2 月 13 日 12:09:11 PM，別名為WORM_MIMAIL.A Trend, W32/Mimail@MM McAfee, Win32.Mimail.A CA, W32/Mimail-A Sophos, I-Worm.Mimail Kaspersky。其感染長度是approximately 16kb，受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP。
基本介紹
- 中文名：W32.Mimail.A@mm
- 病毒類型：蠕蟲
- 發現：2003 年 8 月 1 日
- 更新：2007 年 2 月 13 日
基本信息,防護,威脅評估,廣度,損壞,分發,建議,手動防毒,
基本信息
CVE 參考： CAN-2002-0980 CAN-2002-0077
受感染的電子郵件具有下列特徵：
主旨：your account %s
附屬檔案：message.zip
注意：%s 是指一個變數字元串。
* 這個威脅利用了一個已知的安全漏洞。有關這個漏洞和 Microsoft 修補程式的訊息請閱讀：
* 建議系統管理員採用 Microsoft 修補程式，預防此蠕蟲的感染。
* 此蠕蟲使用 UPX 壓縮方式壓縮。
* 版本數字為 50801r，或名 August 1，2003 rev 18 或更大的病毒定義檔案能夠探測這個威脅。
* 賽門鐵克已經發布了針對這個病毒的專殺工具。
防護
* 病毒定義（每周 LiveUpdate™） 2003 年 8 月 1 日
* 病毒定義（智慧型更新程式） 2003 年 8 月 1 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： More than 1000
* 站點數量： More than 10
* 地理位置分布： Low
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Low
分發
* 分發級別：High
* 電子郵件的主題： your account %s
* 附屬檔案名稱： message.zip
* 附屬檔案大小： approximately 16kb
如果執行 W32.Mimail.A@mm，它會進行以下動作：
1. 將自身複製為 %Windir%\Videodrv.exe。
2. 新增下列值：
"VideoDriver"="%Windir%\videodrv.exe"
加入註冊鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
因此，當您啟動 Windows 時，蠕蟲就會執行。
3. 使用它自己的 SMTP 伺服器通過電子郵件傳播。
受感染的電子郵件具有下列特徵：
寄件者：admin@<current domain> (The from address may be spoofed as if to appear its coming from the current domain)
主旨：your account %s
內文：
Hello there,
I would like to inform you about important information regarding your email address.This email address will be expiring. Please read attachment for details.
Best regards,
Administrator
附屬檔案：Message.zip
4. Message.zip 含有檔案 Message.htm， 此檔案在 Temporary Internet Files 數據夾創建一個叫 Foo.exe 的蠕蟲副本，然後將其執行。
有關這個漏洞和 Microsoft 修補程式的訊息請閱讀
建議系統管理員採用 Microsoft 修補程式，預防此蠕蟲的感染。
5. 此蠕蟲在 %Windir% 數據夾中創建另外兩個檔案。
* Zip.tmp:這個是 message.zip (30,079 bytes) 的臨時副本。
* Exe.tmp:這個是 message.html (29,957 bytes) 的臨時副本。
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
使用 W32.Mimail.A@mm 防毒工具
賽門鐵克安全機制應變中心已經開發了一套工具，可用來移除 W32.Mimail.A@mm。這是移除此威脅最簡易的方法。
手動防毒
除了可以使用防毒工具外，您還可以手動移除蠕蟲。
下列指示是針對目前市面上所見的最新賽門鐵克防毒產品所撰寫，包括 Symantec AntiVirus 與 Norton AntiVirus 的產品線。
1. 關閉「系統還原」(Windows Me/XP)。
2. 更新病毒定義檔案。
3. 執行完整的系統掃描，刪除所有偵測到的 W32.Mimail.A@mm 檔案。
4. 刪除新增至註冊表里的值。
如需關於這些步驟的詳細信息，請閱讀下列指示。
1. 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
2. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從 Symantec 安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
3. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
o Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果檢測到任何檔案被 W32.Mimail.A@mm 感染，請單擊“刪除”。
4. 從註冊表中刪除值
注意:對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何為 Windows 註冊表進行備份」檔案。
1. 按下「開始」，然後按下「執行」。(畫面上便會出現「執行」對話框。)
2. 鍵入 regedit
然後按下「確定」。(「註冊表編輯器」會開啟。)
3. 跳到這個鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 刪除右邊窗格中的值：
"VideoDriver"="%Windir%\videodrv.exe"
5. 結束並離開「註冊表編輯器」。
描述者： Atli Gudmundsson
