W32.Netsky.D@mm

當該威脅試圖傳播時，支持禁止蠕蟲功能的 Symantec 單機版產品會自動檢測到此威脅。

基本介紹

• 外文名：W32.Netsky.D@mm
• * 廣度級別：Medium
• * 感染數量：More than 1000
• * 站點數量：More than 10
• * 威脅抑制： Low
• * 清除：Easy

病毒介紹

由於提交率的提高，Symantec 安全回響中心自 2004 年 3 月 1 日起，將 W32.Netsky.D@mm 的威脅級別從 3 類升級為 4 類。

W32.Netsky.D@mm 蠕蟲是一個群發郵件蠕蟲，是 W32.Netsky.C@mm 的變種。 該蠕蟲掃描驅動器 C 到 Z 來查找電子郵件地址，然後將自身傳送到找到的那些地址。

主題、正文和附屬檔案名稱無一定之規。附屬檔案的檔案擴展名為 .pif。

* Symantec 安全回響中心開發了一種防毒工具，可用來清除 W32.Netsky.D@mm 感染。

* 該蠕蟲的 MD5 值為0x6f49434d7e4532520372a4721a7a9aec。

防護

* 病毒定義（每周 LiveUpdate™） 2004 年 3 月 1 日

* 病毒定義（智慧型更新程式） 2004 年 3 月 1 日

威脅評估

廣度

* ：

：

：

：

：

： Moderate

損壞

* 損壞級別： Low

* 大規模傳送電子郵件： Sends itself to email addresses retrieved from file system.

分發

* 分發級別： High

* 電子郵件的主題： Varies

* 附屬檔案名稱： Varies with .pif file extension.

* 附屬檔案大小： 17,424 bytes

W32.Netsky.D@mm 蠕蟲在運行時會執行下列操作：

1. 創建一個名為“[SkyNet.cz]SystemsMutex”的互斥體。此互斥體僅允許該蠕蟲的一個實例在記憶體中執行。

2. 將自身複製為 %Windir%\winlogon.exe。

注意：%Windir% 是一個變數。該蠕蟲會找到 Windows 安裝資料夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。

3. 將值：

"ICQ Net" = "%Windir%\winlogon.exe -stealth"

添加到註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

這樣，此蠕蟲便可在 Windows啟動時運行。

4. 刪除以下值：

* Taskmon

* Explorer

* Windows Services Host

* KasperskyAV

這些值位於註冊表鍵：

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

注意：

o 這些註冊表鍵中的某些值通常與 W32.Mydoom.A@mm 和 W32.Mydoom.B@mm 蠕蟲關聯。

o W32.Mimail.T@mm 蠕蟲可能會添加註冊表鍵值“KasperskyAV”。

5. 刪除以下值：

* System.

* msgsvr32

* DELETE ME

* service

* Sentry

這些值位於註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

6. 刪除以下值：

* d3dupdate.exe

* au.exe

* OLE

這些值位於註冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

7. 刪除值：

System.

該值位於以下註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

8. 刪除註冊表鍵：

* HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32

* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF

* HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WksPatch

注意：該蠕蟲 W32.Mydoom.A@mm 和 W32.Mydoom.B@mm 向第一個鍵中添加值，這樣，explorer.exe 便可以載入它們的後門程式組件。

9. 如果時間介於 2004 年 3 月 2 日（星期二）的 6:00am 到 9:00am，PC 揚聲器將連續不斷地發出蜂鳴聲。 每次蜂鳴都將以隨機頻率、持續一段長度不等的時間。

10. 在驅動器 C 到 Z 上掃描以下檔案類型，查找電子郵件地址：

* .dhtm

* .cgi

* .shtm

* .msg

* .oft

* .sht

* .dbx

* .tbb

* .adb

* .doc

* .wab

* .asp

* .uin

* .rtf

* .vbs

* .html

* .htm

* .pl

* .php

* .txt

* .eml

11. 使用它自己的 SMTP 引擎將其自身傳送到在上述位置找到的電子郵件地址，向每個地址傳送一次。 該蠕蟲使用可用的本地 DNS 伺服器（通過 API 檢索），執行 MX 查找來搜尋收件人地址。 如果本地 DNS 不可用，它將對以下硬編碼的伺服器列表執行查找：

* 145.253.2.171

* 151.189.13.35

* 193.141.40.42

* 193.189.244.205

* 193.193.144.12

* 193.193.158.10

* 194.25.2.129

* 194.25.2.129

* 194.25.2.130

* 194.25.2.131

* 194.25.2.132

* 194.25.2.133

* 194.25.2.134

* 195.185.185.195

* 195.20.224.234

* 212.185.252.136

* 212.185.252.73

* 212.185.253.70

* 212.44.160.8

* 212.7.128.162

* 212.7.128.165

* 213.191.74.19

* 217.5.97.137

* 62.155.255.16

12. 此類電子郵件具有以下特徵：

發件人：<欺騙性地址>

主題：（下列之一）

* Re: Your website

* Re: Your product

* Re: Your letter

* Re: Your archive

* Re: Your text

* Re: Your bill

* Re: Your details

* Re: My details

* Re: Word file

* Re: Excel file

* Re: Details

* Re: Approved

* Re: Your software

* Re: Your music

* Re: Here

* Re: Re: Re: Your document

* Re: Hello

* Re: Hi

* Re: Re: Message

* Re: Your picture

* Re: Here is the document

* Re: Your document

* Re: Thanks!

* Re: Re: Thanks!

* Re: Re: Document

* Re: Document

訊息：（下列之一）

* Your file is attached.

* Please read the attached file.

* Please have a look at the attached file.

* See the attached file for details.

* Here is the file.

* Your document is attached.

附屬檔案：（下列之一）

* your_website.pif

* your_product.pif

* your_letter.pif

* your_archive.pif

* your_text.pif

* your_bill.pif

* your_details.pif

* document_word.pif

* document_excel.pif

* my_details.pif

* all_document.pif

* application.pif

* mp3music.pif

* yours.pif

* document_4351.pif

* your_file.pif

* message_details.pif

* your_picture.pif

* document_full.pif

* message_part2.pif

* document.pif

* your_document.pif

13. 該蠕蟲避免向包含以下字元串的地址傳送電子郵件：

* skynet

* messagelabs

* abuse

* fbi

* orton

* f-pro

* aspersky

* cafee

* orman

* itdefender

* f-secur

* avp

* spam

* ymantec

* antivi

* icrosoft

Symantec Gateway Security 5400 Series 和 Symantec Gateway Security v1.0

* 防病毒組件：面向 Symantec Gateway Security 防病毒引擎、用於防護 W32.Netsky.D 蠕蟲的更新程式現已可用。 建議 Symantec Gateway Security 用戶運行 LiveUpdate。

* IDS/IPS 組件：目前沒有計畫針對該蠕蟲發布更新程式。

* 全面的應用程式檢查防火牆組件：默認情況下，Symantec 的全面應用程式檢查防火牆技術通過阻止受感染的系統直接向 Internet 傳送電子郵件來阻止 W32.Netsky.D@mm 蠕蟲傳播。

Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5

默認情況下，Symantec 的全面應用程式檢查防火牆技術通過阻止受感染的系統直接向 Internet 傳送電子郵件來阻止 W32.Netsky.D@mm 蠕蟲傳播。

建議

賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。

* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。

使用防毒工具防毒

賽門鐵克安全回響中心開發了一種防毒工具，可用來清除 W32.Netsky.D@mm 感染。這是消除此威脅的最簡便方法。

當然，您也可以按照以下指示自己手動防毒。

手動防毒

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

1. 禁用系統還原 (Windows Me/XP)。

2. 更新病毒定義。

3. 將計算機重啟到安全模式或者 VGA 模式。

4. 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.D@mm 的檔案。

5. 刪除添加到註冊表的值。

有關每個步驟的詳細信息，請閱讀以下指導。

1. 禁用系統還原（Windows Me/XP）

如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。

此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：

* 如何禁用或啟用 Windows XP 系統還原

* 如何禁用或啟用 Windows Me 系統還原

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。

有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。

2. 更新病毒定義

賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。

現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。

3. 將計算機重啟到安全模式或者 VGA 模式

請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機 。

* Windows NT 4 用戶：將計算機重啟到 VGA 模式。

4. 掃描和刪除受感染檔案

1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。

* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。

* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。

2. 運行完整的系統掃描。

3. 如果檢測到任何檔案被 W32.Netsky.D@mm 感染，請單擊“刪除”。

5. 從註冊表中刪除值

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。

1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

3. 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"ICQ NET" = "%Windir%\winlogon.exe -stealth"

5. 退出註冊表編輯器。

描述者： Neal Hindocha