W32.Netsky.AB@mm

W32.Netsky.AB@mm 是一種計算機蠕蟲病毒，它掃描受感染計算機上除 CD-ROM 外的所有驅動器中的電子郵件地址。它使用自己的 SMTP 引擎，將自己傳送到找到的電子郵件地址。

基本介紹

• 外文名：W32.Netsky.AB@mm
• 發現：2004 年 4 月 27 日
• 更新：2007 年 2 月 13 日
• 類型：Worm

別名

W32/Netsky-AB [Sophos]

W32/Netsky.ab@MM [McAfee]

WORM_NETSKY.AB [Trend]

Win32.Netsky.AB [Computer Asso

I-Worm.Netsky.ac [Kaspersky]

感染長度

17,920 bytes

感染系統

Windows 2000

Windows 95

Windows 98

Windows Me

Windows NT

Windows Server 2003

Windows XP

郵件的主題、正文和附屬檔案不固定。附屬檔案擴展名為 .pif。

注意

o 支持禁止蠕蟲功能的 Symantec 單機版產品能夠自動檢測此威脅。

o賽門鐵克安全回響已開發出可清除 W32.Netsky.AB@mm 感染的防毒工具。

防護

* 病毒定義（每周 LiveUpdate™） 2004 年 4 月 28 日

* 病毒定義（智慧型更新程式） 2004 年 4 月 28 日

威脅評估

廣度

* 廣度級別：Low

* 感染數量：50 - 999

* 站點數量：More than 10

* 地理位置分布：Low

* 威脅抑制：Easy

* 清除：Moderate

損壞

* 損壞級別：Low

* 大規模傳送電子郵件：Sends itself to email addresses collected from files on the local system.

分發

* 分發級別：High

* 電子郵件的主題：Varies

* 附屬檔案名稱：Varies with .pif file extension

* 附屬檔案大小：17,920 bytes

W32.Netsky.AB@mm 運行時會執行下列操作：

⒈ 將自身複製為 %Windir%\csrss.exe。

注意：%Windir% 是一個變數。該蠕蟲會找到 Windows 安裝資料夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。

⒉ 將值：

"BagleAV"="%Windir%\csrss.exe"

添加到註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

這樣，此蠕蟲便可在 Windows啟動時運行。

⒊ 創建互斥體 “S-k-y-n-e-t--A-n-t-i-v-i-r-u-s-T-e-a-m”，僅允許該蠕蟲的一個實例執行。

⒋ 刪除以下值：

* "drvsys.exe"="%Windir%\drvsys.exe"

* "ssgrate.exe"="%Windir%\ssgrate.exe"

這些值位於以下註冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

注意：此步驟中列出的第一個值是由W32.Beagle.W@mm蠕蟲放入的。

⒌ 啟動一個枚舉受感染計算機上所有磁碟驅動器的獨立執行緒，並從具有以下擴展名的檔案中檢索電子郵件地址：

* .a

* .ad

* .adb

* .as

* .asp

* .c

* .cf

* .cfg

* .cg

* .cgi

* .d

* .db

* .dbx

* .dh

* .dht

* .dhtm

* .do

* .doc

* .e

* .em

* .eml

* .h

* .ht

* .htm

* .html

* .j

* .js

* .jsp

* .m

* .mb

* .mbx

* .md

* .mdx

* .mh

* .mht

* .mm

* .mmf

* .ms

* .msg

* .n

* .nc

* .nch

* .o

* .od

* .ods

* .of

* .oft

* .p

* .ph

* .php

* .pl

* .pp

* .ppt

* .r

* .rt

* .rtf

* .s

* .sh

* .sht

* .shtm

* .st

* .stm

* .t

* .tb

* .tbb

* .tx

* .txt

* .u

* .ui

* .uin

* .v

* .vb

* .vbs

* .w

* .wa

* .wab

* .ws

* .wsh

* .x

* .xl

* .xls

* .xm

* .xml

該蠕蟲避免向包含以下字元串的地址傳送電子郵件：

* iruslis

* antivir

* sophos

* freeav

* andasoftwa

* skynet

* messagelabs

* abuse

* fbi

* orton

* f-pro

* aspersky

* cafee

* orman

* itdefender

* f-secur

* avp

* spam

* ymantec

* antivi

* icrosoft

⒍ 使用自己的 SMTP 引擎將自己傳送到找到的電子郵件地址。

⒎ 該電子郵件具有下列特徵：

發件人：（具有欺騙性）

主題：（下列之一）

* Correction

* Hurts

* Privacy

* Password

* Wow

* Criminal

* Pictures

* Text

* Money

* Stolen

* Found

* Numbers

* Funny

* Only love?

* More samples

* Picture

* Letter

* Question

* Illegal

正文：（下列之一）

* Please use the font arial!

* How can I help you?

* Still?

* I've your password. Take it easy!

* Why do you show your body?

* Hey,are you criminal?

* Your pictures are good!

* The text you sent to me is not so good!

* True love letter?

* Do you have no money?

* Do you have asked me?

* I've found your creditcard. Check the data!

* Are your numbers correct?

* You have no chance...

* Wow! Why are you so shy?

* Do you have more samples?

* Do you have more photos about you?

* Do you have written the letter?

* Does it hurt you?

* Please do not sent me your illegal stuff again!!!

附屬檔案：（下列之一）

* corrected_doc.pif

* hurts.pif

* document1.pif

* passwords02.pif

* image034.pif

* myabuselist.pif

* your_picture01.pif

* your_text01.pif

* your_letter.pif

* your_bill.pif

* my_stolen_document.pif

* visa_data.pif

* pin_tel.pif

* your_text.pif

* loveletter02.pif

* all_pictures.pif

* your_letter_03.pif

* your_picture.pif

* abuses.pif

該蠕蟲試圖使用受感染計算機的默認 DNS 伺服器獲得電子郵件伺服器的 IP 地址。

例如，如果電子郵件地址是 [email protected]，則它會試圖檢索伺服器hostname.com的 IP 地址。如果失敗，它會試圖使用以下 DNS 伺服器之一：

* 212.44.160.8

* 195.185.185.195

* 151.189.13.35

* 213.191.74.19

* 193.189.244.205

* 145.253.2.171

* 193.141.40.42

* 193.193.144.12

* 217.5.97.137

* 195.20.224.234

* 194.25.2.130

* 194.25.2.129

* 212.185.252.136

* 212.185.253.70

* 212.185.252.73

* 62.155.255.16

* 194.25.2.134

* 194.25.2.133

* 194.25.2.132

* 194.25.2.131

* 193.193.158.10

* 212.7.128.165

* 212.7.128.162

Symantec Gateway Security 5400 系列設備和 Symantec Gateway Security v1.0

*防病毒組件：針對 Symantec Gateway Security防病毒引擎、用於防護 W32.Netsky.AB蠕蟲的更新程式現已可用。建議 Symantec Gateway Security 5000系列用戶運行 LiveUpdate。

* IDS/IPS 組件：沒有針對該蠕蟲發布更新程式的計畫。

* 全面的應用程式檢查防火牆組件：默認情況下，Symantec 的全面應用程式檢查防火牆技術通過阻止受感染的系統直接向 Internet 傳送電子郵件來阻止 W32.Netsky.AB@mm蠕蟲傳播。

Symantec Enterprise Firewall 8.0

Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5

Symantec Clientless VPN Gateway 4400 系列

Symantec Clientless VPN Gateway v5.0 不會受此威脅的感染。為了降低進一步傳播的風險，還應該設定規則，僅允許經過授權的遠程用戶訪問您的內部郵件伺服器。

Symantec Gateway Security 300 系列

為了降低進一步傳播的風險，請使用 SGS 300 系列，以確保所有 AV 客戶有最新病毒定義。

Symantec Firewall/VPN 100/200 系列

為了降低進一步傳播的風險，請確保設定了規則，僅允許入站/出站郵件進出您的郵件伺服器。

建議

建議所有用戶和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。

* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）.. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。

* 強制執行密碼策略。複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件伺服器以禁止或刪除帶有.vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附屬檔案。並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。

使用W32.Netsky.AB@mm 防毒工具防毒

賽門鐵克安全回響中心開發了一種防毒工具，可用來清除 W32.Netsky.AB@mm 感染。這是消除此威脅最簡易的方法，請先使用此方法防毒。

手動防毒

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

⒈ 禁用系統還原 (Windows Me/XP）。

⒉ 更新病毒定義。

⒊ 將計算機重啟到安全模式或者 VGA 模式。

⒋ 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.AB@mm 的檔案。

⒌ 刪除添加到註冊表的值。

有關每個步驟的詳細信息，請閱讀以下指導。

禁用系統還原（Windows Me/XP）

如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。

此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：

* 如何禁用或啟用 Windows XP 系統還原

* 如何禁用或啟用 Windows Me 系統還原

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。

有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。

更新病毒定義

賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate）。

* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。

提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。

將計算機重啟到安全模式或者 VGA 模式

請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機。

* Windows NT 4 用戶：將計算機重啟到 VGA 模式。

掃描和刪除受感染檔案

⒈ 啟動 Symantec防病毒程式，並確保已將其配置為掃描所有檔案。

* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。

* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。

⒉ 運行完整的系統掃描。

⒊ 如果檢測到任何檔案被 W32.Netsky.AB@mm 感染，請單擊“刪除”。

從註冊表中刪除值

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。

⒈ 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

⒉ 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

⒊ 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

⒋ 在右窗格中，刪除值：

"BagleAV"="%Windir%\csrss.exe"

⒌ 退出註冊表編輯器。

⒍ 以正常模式重新啟動計算機。更多信息請參閱文檔 如何以安全模式啟動計算機 內如何以正常模式重新啟動計算機一節。

描述者：Ying Lin