W32.Beagle.W@mm

別名： W32/Bagle.z@MM [McAfee], W32/Bagle-W [Sophos], Win32.Bagle.W [Computer Associ, WORM_BAGLE.X [Trend], I-Worm.Bagle.y [Kaspersky], Bagle.Y [F-Secure]

感染長度： Between 35 - 40 KB, or 68 - 71 KB

受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

它會在受感染的計算機上打開後門，以試圖透過文件共享網絡散佈出去。此威脅可能使用 UPX 打包程序進行打包，在病毒代碼結尾附加隨機生成的數據，所以不具有MD5靜態散列值。

蠕蟲開始運行時，會出現對話框和顯示下列消息：

Can't find a viewer associated with the file.

注意：

* 版本 60223g (延伸版本 2/23/2004 rev. 7) 或更新編號的快速發佈定義將把該威脅檢測為 Bloodhound.Packed。

* Symantec 安全響應中心開發了一種殺毒工具，可用來清除 W32.Beagle.W@mm 感染。

* 病毒定義（每週 LiveUpdate™） 2004 年 4 月 26 日

* 病毒定義（智能更新程序） 2004 年 4 月 26 日

* 廣度級別： Low

* 感染數量： More than 1000

* 站點數量： More than 10

* 地理位置分佈： Low

* 威脅抑制： Easy

* 清除： Moderate

* 損壞級別： Medium

* 大規模發送電子郵件： Emails all the addresses found in the files with certain extensions.

* 危及安全設置： Opens a backdoor on the system.

* 分發級別： High

* 電子郵件的主題： Picked from a pre-defined list.

* 附件名稱： Picked from a pre-defined list with a .com, .exe, .hta, .scr, .vbs, or .zip file extension.

* 附件大小： Varies

* 端口： 2535/tcp

W32.Beagle.W@mm 運行時會執行下列操作：

1. 顯示下列消息：

2. 如果系統時鐘的日期為 2005年1月25日，則蠕蟲會從系統中自我刪除後退出。

3. 建立下列文件：

* %System%\drvsys.exe

* %System%\drvsys.exeopen

* %System%\drvsys.exeopenopen

注意：%System% 是一個變量。蠕蟲會找到 System 文件夾，並將自身複製到其中。默認情況下，此文件夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。

4. 新增下列值：

"drvsys.exe" = "%System%\drvsys.exe"

加入註冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

5. 在 TCP 埠號 2535 上開啓後門，允許未授權訪問。

6. 搜索本地磁盤驅動器，在具有以下擴展名的文件中查找電子郵件地址：

* .wab

* .txt

* .msg

* .htm

* .shtm

* .stm

* .xml

* .dbx

* .mbx

* .mdx

* .eml

* .nch

* .mmf

* .ods

* .cfg

* .asp

* .php

* .pl

* .wsh

* .adb

* .tbb

* .sht

* .xls

* .oft

* .uin

* .cgi

* .mht

* .dhtm

* .jsp

7. 將自己傳送至所收集的電子郵件地址。

受感染的電子郵件具有下列特徵：

發件人：<欺騙性地址，可能是以下其中之一>

* lizie@

* annie@

* ann@

* christina@

* secretGurl@

* jessie@

* christy@

主題：包含以下字符串之一 ( 其中 %s 為人名)：

* Hello!

* Hey!

* Let's socialize, my friend!

* Let's talk, my friend!

* I'm bored with this life

* Notify from a known person ;-)

* I like you

* I just need a friend

* I'm a sad girl...

* Re: Msg reply

* Re: Hello

* Re: Yahoo!

* Re: Thank you!

* Re: Thanks :)

* RE: Text message

* Re: Document

* Incoming message

* Re: Incoming Message

* Re: Incoming Fax

* Hidden message

* Fax Message Received

* Protected message

* RE: Protected message

* Forum notify

* Request response

* Site changes

* Re: Hi

* Encrypted document

* Hello %s,

* Dear %s,

* Dear %s, It's me ;-)

* Hi %s,

* Hey %s, It's me ->

* Hi<!--%s-->, It's me

* %s,

* Hey %s,

* Hey<!--%s-->,

* Hello<!--%s-->,

* Hi<!--%s-->,

* I Like You!

* Don't you remember me?

* Kewl :-)

* I need a friend...

* I just want to talk with someone...

* I like reading the books and socializing, let me talk with you...

* It's time to find a friend!

* Ready to accept a new friend? :-)

* Like me, odore me! ;-)

內文：(由以下三部分中各取一字符串的組合)

部分 1：

* I study at school, I like to spend time cheerfully even if not all so well, I hompe and trust, that all bad when nibud will pass and necessarily nastanet there would be a desire.

* I like to feel protected, to understand, that near to me the man, which both in sex, and in life knows what to do. It is possible to fall in love with such the man for ever.

* Cometime I write a poem, play the gitar. I love a traveling, I like a romantice and I want to meet, comeday, my big love!

* I am kind, fair, careful, gentle also want to create family. I love animal (cats, dogs), the literature, theatre, cinema, music, walks in park

* I very much love productive leisure, to prepare for new exotic dishes, at leisure to leave with friends on the nature, to float, I like to go for a drive on mountain skiing, to visit excursions, travel. Very easy going.

* I have recently got demobilize from army and also I am going to act in a higher educational institution

* Searching for the right person,for real man, who will really cares and love me.

* I am a honest, kind,loving,with good sense of humor...etc.,looking for true love... or maybe for pen friend.I like cats

* I am looking for a serious relationship. I am NOT interested in flirt and short-term love adventure.

* I love, as the good company, and I dream about romantic appointment at candles with loved. I still believe in love.

* I like an active life... and interesting people..

* i am honest, responsible, romantic person. iwould like to find my only love,to find my destiny.

* I'm a young lady of 20 years old i'd like to find my second part!!!

* I am simple girl who are looking for serious relation with responsible and confident man. I am ready to give all my love and carering for a right person who is going to love and respect me

* I am a beautiful, sexual girl with very big ambitions and dreams. I can make happy anyone man...

* I am a student. I'm studying international relationships. I would like to find an interesting and active man for serious relations. Sitting at home it is not for me. I like to go out to the theater, cinema, and nightclubs.

* I love productive leisure, to travel, communicate with friends.

* I very much love new acquaintances, I love music, meetings with friends. I go on night clubs, except for parties I sometimes visit theatres and I love cinema. In general I only shall be glad to new acquaintance and class dialogue...

* I'm so bored, let me talk with you...

* You are my prince :-)

* You are cool :-)

部分 2：

* Read the attach.

* Your file is attached.

* More info is in attach

* See attach.

* Please, have a look at the attached file.

* See the attached file for details.

* Message is in attach

* Here is the file.

* For more information see the attached file.

* Attached file will tell you everything.

* For details see the attach.

* Attached file tells everything.

* Further details are in attach.

部分 3：<名稱> 為姓名。

* Sincerely, <名稱>

* Best wishes, <名稱>

* Yours, <名稱>

* Have a good day, <名稱>

* Cheers, <名稱>

* Kind regards, <名稱>

如果附件是使用密碼保護的 .zip文件，則會添加以下字符串之一：

* For security reasons attached file is password protected. The password is [reference to image file]

* For security purposes the attached file is password protected. Password -- [reference to image file]

* Note: Use password [reference to image file] to open archive.

* Attached file is protected with the password for security reasons. Password is [reference to image file]

* In order to read the attach you have to use the following password: [reference to image file]

* Archive password: [reference to image file]

* Password - [reference to image file]

* Password: [reference to image file]

附件：(下列字符串之一)：

* Information

* Details

* Readme

* Document

* Info

* Details

* MoreInfo

* Message

後面接着以下擴展名之一：

* .exe

* .com

* .scr

如果附件是使用密碼保護的 .zip文件，則擴展名會是 .zip 文件。

8. 藉由將自身安裝到名稱含有 shar 的文件夾中。 蠕蟲會使用下列檔名：

* Microsoft Office 2003 Crack, Working!.exe

* Microsoft Windows XP, WinXP Crack, working Keygen.exe

* Microsoft Office XP working Crack, Keygen.exe

* Porno, sex, oral, anal cool, awesome!!.exe

* Porno Screensaver.scr

* Serials.txt.exe

* KAV 5.0

* Kaspersky Antivirus 5.0

* Porno pics arhive, xxx.exe

* Windows Sourcecode update.doc.exe

* Ahead Nero 7.exe

* Windown Longhorn Beta Leak.exe

* Opera 8 New!.exe

* XXX hardcore images.exe

* WinAmp 6 New!.exe

* WinAmp 5 Pro Keygen Crack Update.exe

* Adobe Photoshop 9 full.exe

* Matrix 3 Revolution English Subtitles.exe

9. 嘗試聯繫下列其中一個網域的 .php 腳本：

10. 嘗試終止以下進程：

* NMAIN.EXE

* NORTON_INTERNET_SECU_3.0_407.EXE

* NPF40_TW_98_NT_ME_2K.EXE

* NPFMESSENGER.EXE

* NPROTECT.EXE

* NSCHED32.EXE

* NTVDM.EXE

* NVARCH16.EXE

* KERIO-WRP-421-EN-WIN.EXE

* KILLPROCESSSETUP161.EXE

* LDPRO.EXE

* LOCALNET.EXE

* LOCKDOWN.EXE

* LOCKDOWN2000.EXE

* LSETUP.EXE

* CLEANPC.EXE

* AVprotect9x.exe

* CMGRDIAN.EXE

* CMON016.EXE

* CPF9X206.EXE

* CPFNT206.EXE

* CV.EXE

* CWNB181.EXE

* CWNTDWMO.EXE

* ICSSUPPNT.EXE

* DEFWATCH.EXE

* DEPUTY.EXE

* DPF.EXE

* DPFSETUP.EXE

* DRWATSON.EXE

* ENT.EXE

* ESCANH95.EXE

* AVXQUAR.EXE

* ESCANHNT.EXE

* ESCANV95.EXE

* AVPUPD.EXE

* EXANTIVIRUS-CNET.EXE

* FAST.EXE

* FIREWALL.EXE

* FLOWPROTECTOR.EXE

* FP-WIN_TRIAL.EXE

* FRW.EXE

* FSAV.EXE

* AUTODOWN.EXE

* FSAV530STBYB.EXE

* FSAV530WTBYB.EXE

* FSAV95.EXE

* GBMENU.EXE

* GBPOLL.EXE

* GUARD.EXE

* GUARDDOG.EXE

* HACKTRACERSETUP.EXE

* HTLOG.EXE

* HWPE.EXE

* IAMAPP.EXE

* IAMAPP.EXE

* IAMSERV.EXE

* ICLOAD95.EXE

* ICLOADNT.EXE

* ICMON.EXE

* ICSUPP95.EXE

* ICSUPPNT.EXE

* IFW2000.EXE

* IPARMOR.EXE

* IRIS.EXE

* JAMMER.EXE

* ATUPDATER.EXE

* AUPDATE.EXE

* KAVLITE40ENG.EXE

* KAVPERS40ENG.EXE

* KERIO-PF-213-EN-WIN.EXE

* KERIO-WRL-421-EN-WIN.EXE

* BORG2.EXE

* BS120.EXE

* CDP.EXE

* CFGWIZ.EXE

* CFIADMIN.EXE

* CFIAUDIT.EXE

* AUTOUPDATE.EXE

* CFINET.EXE

* NAVAPW32.EXE

* NAVDX.EXE

* NAVSTUB.EXE

* NAVW32.EXE

* NC2000.EXE

* NCINST4.EXE

* AUTOTRACE.EXE

* NDD32.EXE

* NEOMONITOR.EXE

* NETARMOR.EXE

* NETINFO.EXE

* NETMON.EXE

* NETSCANPRO.EXE

* NETSPYHUNTER-1.2.EXE

* NETSTAT.EXE

* NISSERV.EXE

* NISUM.EXE

* CFIAUDIT.EXE

* LUCOMSERVER.EXE

* AGENTSVR.EXE

* ANTI-TROJAN.EXE

* ANTI-TROJAN.EXE

* ANTIVIRUS.EXE

* ANTS.EXE

* APIMONITOR.EXE

* APLICA32.EXE

* APVXDWIN.EXE

* ATCON.EXE

* ATGUARD.EXE

* ATRO55EN.EXE

* ATWATCH.EXE

* AVCONSOL.EXE

* AVGSERV9.EXE

* AVSYNMGR.EXE

* BD_PROFESSIONAL.EXE

* BIDEF.EXE

* BIDSERVER.EXE

* BIPCP.EXE

* BIPCPEVALSETUP.EXE

* BISP.EXE

* BLACKD.EXE

* BLACKICE.EXE

* BOOTWARN.EXE

* NWINST4.EXE

* NWTOOL16.EXE

* OSTRONET.EXE

* OUTPOSTINSTALL.EXE

* OUTPOSTPROINSTALL.EXE

* PADMIN.EXE

* PANIXK.EXE

* PAVPROXY.EXE

* DRWEBUPW.EXE

* PCC2002S902.EXE

* PCC2K_76_1436.EXE

* PCCIOMON.EXE

* PCDSETUP.EXE

* PCFWALLICON.EXE

* PCFWALLICON.EXE

* PCIP10117_0.EXE

* PDSETUP.EXE

* PERISCOPE.EXE

* PERSFW.EXE

* PF2.EXE

* AVLTMAIN.EXE

* PFWADMIN.EXE

* PINGSCAN.EXE

* PLATIN.EXE

* POPROXY.EXE

* POPSCAN.EXE

* EXE

* TDS2-NT.EXE

* TDS-3.EXE

* TFAK5.EXE

* TGBOB.EXE

* TITANIN.EXE

* TITANINXP.EXE

* TRACERT.EXE

* TRJSCAN.EXE

* TRJSETUP.EXE

* TROJANTRAP3.EXE

* UNDOBOOT.EXE

* VBCMSERV.EXE

* VBCONS.EXE

* VBUST.EXE

* VBWIN9X.EXE

* VBWINNTW.EXE

* VCSETUP.EXE

* VFSETUP.EXE

* VIRUSMDPERSONALFIREWALL.EXE

* VNLAN300.EXE

* VNPC3000.EXE

* VPC42.EXE

* VPFW30S.EXE

* VPTRAY.EXE

* VSCENU6.02D30.EXE

* VSECOMR.EXE

* VSHWIN32.EXE

* VSISETUP.EXE

* VSMAIN.EXE

* VSMON.EXE

* VSSTAT.EXE

* VSWIN9XE.EXE

* VSWINNTSE.EXE

* VSWINPERSE.EXE

* W32DSM89.EXE

* W9X.EXE

* WATCHDOG.EXE

* WEBSCANX.EXE

* CFIAUDIT.EXE

* CFINET.EXE

* ICSUPP95.EXE

* MCUPDATE.EXE

* CFINET32.EXE

* CLEAN.EXE

* CLEANER.EXE

* LUINIT.EXE

* MCAGENT.EXE

* MCUPDATE.EXE

* MFW2EN.EXE

* MFWENG3.02D30.EXE

* MGUI.EXE

* MINILOG.EXE

* MOOLIVE.EXE

* MRFLUX.EXE

* MSCONFIG.EXE

* MSINFO32.EXE

* MSSMMC32.EXE

* MU0311AD.EXE

* NAV80TRY.EXE

* ZAUINST.EXE

* ZONALM2601.EXE

* ZONEALARM.EXE

賽門鐵克安全響應中心建議所有用户和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多操作系統會安裝不必要的輔助服務，如 FTP 服務器、telnet 和 Web 服務器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程序更新即可完成。

* 如果混合型威脅攻擊了一個或多個網絡服務，則在應用補丁程序之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程序，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公佈的安全更新，也要及時應用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼文件難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件服務器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附件的郵件，這些文件常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附件。 並且只在進行病毒掃描後才執行從互聯網下載的軟件。如果未對某些瀏覽器漏洞應用補丁程序，那麼訪問受感染的網站也會造成病毒感染。

使用 W32.Bealge@mm 殺毒工具殺毒

賽門鐵克安全響應中心已經創建了用來殺除 W32.Beagle.W@mm 的殺毒工具。這是消除此威脅的最簡便方法。

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

1. 關閉「系統還原」(Windows Me/XP)。

2. 更新病毒定義。

3. 將計算機重啓到安全模式或者 VGA 模式。

4. 運行完整的系統掃描，並刪除所有檢測為 W32.Beagle.W@mm 的文件。

5. 恢復註冊表的值。

有關每個步驟的詳細信息，請閲讀以下指導。

1. 禁用系統還原（Windows Me/XP）

如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啓用的，一旦計算機中的文件被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程序在內的外部程序修改系統還原。因此，防病毒程序或工具無法刪除 System Restore 文件夾中的威脅。這樣，系統還原就可能將受感染文件還原到計算機上，即使您已經清除了所有其他位置的受感染文件。此外，病毒掃描可能還會檢測到 System Restore 文件夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閲 Windows 文檔或下列文章之一：

* 如何禁用或啓用 Windows XP 系統還原

* 如何禁用或啓用 Windows Me 系統還原

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設置。

有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閲 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 文件夾中受感染的文件，文章 ID：CH263455。

2. 更新病毒定義

賽門鐵克安全響應中心在我們的服務器上發佈任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每週一次（通常在星期三）發佈到 LiveUpdate 服務器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智能更新程序下載病毒定義：智能更新程序病毒定義會在工作日（美國時間，星期一至星期五）發佈。應該從賽門鐵克安全響應中心網站下載病毒定義並手動進行安裝。要確定是否可通過智能更新程序獲取此威脅的定義，請參考病毒定義（智能更新程序）。

現在提供智能更新程序病毒定義：有關詳細説明，請參閲如何使用智能更新程序更新病毒定義文件。

3. 將計算機重啓到安全模式或者 VGA 模式

請關閉計算機，等待至少 30 秒鐘後重新啓動到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用户：將計算機重啓到安全模式。所有 Windows 32-bit 操作系統，除了Windows NT，可以被重啓到安全模式。更多信息請參閲文檔 如何以安全模式啓動計算機 。

* Windows NT 4 用户：將計算機重啓到 VGA 模式。

4. 掃描和刪除受感染文件

1. 啓動 Symantec 防病毒程序，並確保已將其配置為掃描所有文件。

* Norton AntiVirus 單機版產品：請閲讀文檔：如何配置 Norton AntiVirus 以掃描所有文件。

* 賽門鐵克企業版防病毒產品：請閲讀 如何確定 Symantec 企業版防病毒產品被設置為掃描所有文件。

2. 運行完整的系統掃描。

3. 如果檢測到任何文件被 W32.Beagle.W@mm 感染，請單擊“刪除”。

5. 恢復註冊表中的值

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閲讀「如何備份 Windows 註冊表」文件。

1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

3. 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"drvsys.exe" = "%System%\drvsys.exe"

5. 退出註冊表編輯器。

6. 以正常模式重新啓動計算機。更多信息請參閲文檔 如何以安全模式啓動計算機 內如何以正常模式重新啓動計算機一節。

描述者： Neal Hindocha