W32.Netsky.Y@mm發現於2004年4月20日，感染長度為19kb。
基本介紹
- 中文名：W32.Netsky.Y@mm
- 發現：2004 年 4 月 20 日
- 類型：Worm
- 感染長度：19kb
概述,注意,防護,威脅評估,廣度,損壞,分發,建議,工具防毒,手動防毒,
概述
更新：2007 年 2 月 13 日 12:57:31 PM
別名：W32/Netsky.y@MM [McAfee],WORM_NETSKY.Y [Trend Micro],Win32.Netsky.Y [Computer Assoc,W32/Netsky-X [Sophos],I-Worm.NetSky.z [Kaspersky]
受感染的系統：Windows 2000,Windows 95,Windows 98,Windows Me,Windows NT,Windows Server 2003,Windows XP
由於提交率的提高，自 2004 年 4 月 20 日起，將W32.Netsky.Y@mm 病毒的威脅級別已從 2 級升級為 3 級。
W32.Netsky.Y@mm 是 W32.Netsky.X@mm 的變種。它使用自己的 SMTP 引擎，將自己傳送到在掃描已受感染的計算機的非 CD-ROM 驅動器時找到的電子郵件地址。
該電子郵件具有下列格式：
主題：Delivery failure notice (ID-<；隨機數字>)
附屬檔案：www.<；隨機主機域名>.<；隨機用戶名>.session-<；隨機數字>.com
此威脅使用 PE-Pack 壓縮。
注意
* 支持禁止蠕蟲功能的 Symantec 單機版產品能夠自動檢測此威脅。
* 該蠕蟲的執行檔具有靜態 MD5 散列值 0xbd9d6e41791e0703baf7ec8e61ee631e。
* 病毒定義修訂版 60420ah（擴展版本 4/20/2004 rev.34）或更高版本可以檢測到此威脅。
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 4 月 20 日
* 病毒定義（智慧型更新程式） 2004 年 4 月 20 日
威脅評估
廣度
* 廣度級別：Medium
* 感染數量：More than 1000
* 站點數量：More than 10
* 地理位置分布：Low
* 威脅抑制：Easy
* 清除：Moderate
損壞
* 損壞級別：Medium
* 大規模傳送電子郵件：Sends itself to email addresses found on an infected computer.
* 危及安全設定：Opens a backdoor on port 82.
分發
* 分發級別：High
* 電子郵件的主題：Delivery failure notice (ID-########)
* 附屬檔案名稱：www..session-########.com
* 附屬檔案大小：18944 bytes
* 連線埠：Listens on TCP port 82.
W32.Netsky.Y@mm 運行時會執行下列操作：
⒈ 將自身複製為 %Windir%\FirewallSvr.exe。
注意：%Windir% 是一個變數。該蠕蟲會找到 Windows 安裝資料夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。
⒉ 將值：
"FirewallSvr"="%Windir%\FirewallSvr.exe"
添加到註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
這樣，此蠕蟲便可在 Windows啟動時運行。
⒊ 創建互斥體 “____--->>>>U<<<<--____”，僅允許該蠕蟲的一個實例執行。
⒋ 將自身的 MIME 編碼副本以 %Windir%\fuck_you_bagle.txt 放入。
⒌ 通過監聽TCP 連線埠 82 查找攻擊者。並利用攻擊者傳送執行檔，然後執行該檔案。
⒍ 如果系統時鐘介於 2004 年 4 月 28 日 到 2004 年 4 月 30 日之間，則該蠕蟲將嘗試執行針對以下站點的拒絕服務（DoS）攻擊：
⒎ 掃描驅動器 C 到 Z （不含 CD-ROM 驅動器） 上具有以下任意擴展名的的檔案中檢索電子郵件地址 ：
* .eml
* .txt
* .php
* .cfg
* .mbx
* .mdx
* .asp
* .wab
* .doc
* .vbs
* .rtf
* .uin
* .shtm
* .cgi
* .dhtm
* .abd
* .tbb
* .dbx
* .pl
* .htm
* .html
* .sht
* .oft
* .msg
* .ods
* .stm
* .xls
* .jsp
* .wsh
* .xml
* .mht
* .mmf
* .nch
* .ppt
⒏ 使用自己的 SMTP 引擎將自己傳送到 所有找到的電子郵件地址。
該電子郵件具有下列特徵：
發件人：（具有欺騙性）
主題：Delivery failure notice (ID-<；隨機數字>)
正文：
--- Mail Part Delivered ---
220 Welcome to <；隨機>
Mail type: multipart/related
--- text/html RFC 2504
MX [Mail Exchanger] mx.mt2.kl.<；隨機>
Exim Status OK.
<；隨機字元串> message is available.
<；隨機字元串> 為下列之一：
New
Partial
External
Delivered
附屬檔案：www.<；隨機主機域名>.<；隨機用戶名>.session-<；隨機數字>.com
使用默認的 DNS 驅動器來獲取電子郵件伺服器的 IP 地址。
如果蠕蟲無法使用默認的 DNS 驅動器，則會使用以下 DNS 驅動器之一：
o 212.185.252.73
o 212.185.253.70
o 212.185.252.136
o 194.25.2.129
o 194.25.2.130
o 195.20.224.234
o 217.5.97.137
o 194.25.2.129
o 193.193.144.12
o 212.7.128.162
o 212.7.128.165
o 193.193.158.10
o 194.25.2.131
o 194.25.2.132
o 194.25.2.133
o 194.25.2.134
o 193.141.40.42
o 145.253.2.171
o 193.189.244.205
o 213.191.74.19
o 151.189.13.35
o 195.185.185.195
o 212.44.160.8
建議
建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）.. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
工具防毒
使用 W32.Netsky.Y@mm 防毒。
手動防毒
⒈ 禁用系統還原 (Windows Me/XP）。
⒉ 更新病毒定義。
⒊ 將計算機重啟到安全模式或者 VGA 模式。
⒋ 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.Y@mm 的檔案。
⒌ 刪除添加到註冊表的值。
有關每個步驟的詳細信息，請閱讀以下指導。
⒈ 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
⒉ 更新病毒定義
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate）。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
⒊ 將計算機重啟到安全模式或者 VGA 模式
請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機。
* Windows NT 4 用戶：將計算機重啟到 VGA 模式。
⒋ 掃描和刪除受感染檔案
⒈ 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
⒉ 運行完整的系統掃描。
⒊ 如果檢測到任何檔案被 W32.Netsky.Y@mm 感染，請單擊“刪除”。
⒌ 從註冊表中刪除值
注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
⒈ 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
⒉ 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）
⒊ 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
⒋ 在右窗格中，刪除值：
"FirewallSvr"="%Windir%\FirewallSvr.exe"
⒌ 退出註冊表編輯器。
描述者：Heather Shannon
