W32.Netsky.AB@mm

W32/Netsky-AB [Sophos]

W32/Netsky.ab@MM [McAfee]

WORM_NETSKY.AB [Trend]

Win32.Netsky.AB [Computer Asso]

I-Worm.Netsky.ac [Kaspersky]

17,920 bytes

Windows 2000

Windows 95

Windows 98

Windows Me

Windows NT

Windows Server 2003

Windows XP

郵件的主題、正文和附件不固定。附件擴展名為 .pif。

o 支持禁止蠕蟲功能的 Symantec 單機版產品能夠自動檢測此威脅。

o賽門鐵克安全響應已開發出可清除 W32.Netsky.AB@mm 感染的殺毒工具。

* 病毒定義（每週 LiveUpdate™） 2004 年 4 月 28 日

* 病毒定義（智能更新程序） 2004 年 4 月 28 日

威脅評估

* 廣度級別：Low

* 感染數量：50 - 999

* 站點數量：More than 10

* 地理位置分佈：Low

* 威脅抑制：Easy

* 清除：Moderate

* 損壞級別：Low

* 大規模發送電子郵件：Sends itself to email addresses collected from files on the local system.

* 分發級別：High

* 電子郵件的主題：Varies

* 附件名稱：Varies with .pif file extension

* 附件大小：17,920 bytes

W32.Netsky.AB@mm 運行時會執行下列操作：

⒈ 將自身複製為 %Windir%\csrss.exe。

注意：%Windir% 是一個變量。該蠕蟲會找到 Windows 安裝文件夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。

⒉ 將值：

"BagleAV"="%Windir%\csrss.exe"

添加到註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

這樣，此蠕蟲便可在 Windows啓動時運行。

⒊ 創建互斥體 “S-k-y-n-e-t--A-n-t-i-v-i-r-u-s-T-e-a-m”，僅允許該蠕蟲的一個實例執行。

⒋ 刪除以下值：

* "drvsys.exe"="%Windir%\drvsys.exe"

* "ssgrate.exe"="%Windir%\ssgrate.exe"

這些值位於以下注冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

注意：此步驟中列出的第一個值是由W32.Beagle.W@mm蠕蟲放入的。

⒌ 啓動一個枚舉受感染計算機上所有磁盤驅動器的獨立線程，並從具有以下擴展名的文件中檢索電子郵件地址：

* .a

* .ad

* .adb

* .as

* .asp

* .c

* .cf

* .cfg

* .cg

* .cgi

* .d

* .db

* .dbx

* .dh

* .dht

* .dhtm

* .do

* .doc

* .e

* .em

* .eml

* .h

* .ht

* .htm

* .html

* .j

* .js

* .jsp

* .m

* .mb

* .mbx

* .md

* .mdx

* .mh

* .mht

* .mm

* .mmf

* .ms

* .msg

* .n

* .nc

* .nch

* .o

* .od

* .ods

* .of

* .oft

* .p

* .ph

* .php

* .pl

* .pp

* .ppt

* .r

* .rt

* .rtf

* .s

* .sh

* .sht

* .shtm

* .st

* .stm

* .t

* .tb

* .tbb

* .tx

* .txt

* .u

* .ui

* .uin

* .v

* .vb

* .vbs

* .w

* .wa

* .wab

* .ws

* .wsh

* .x

* .xl

* .xls

* .xm

* .xml

該蠕蟲避免向包含以下字符串的地址發送電子郵件：

* iruslis

* antivir

* sophos

* freeav

* andasoftwa

* skynet

* messagelabs

* abuse

* fbi

* orton

* f-pro

* aspersky

* cafee

* orman

* itdefender

* f-secur

* avp

* spam

* ymantec

* antivi

* icrosoft

⒍ 使用自己的 SMTP 引擎將自己發送到找到的電子郵件地址。

⒎ 該電子郵件具有下列特徵：

發件人：（具有欺騙性）

主題：（下列之一）

* Correction

* Hurts

* Privacy

* Password

* Wow

* Criminal

* Pictures

* Text

* Money

* Stolen

* Found

* Numbers

* Funny

* Only love?

* More samples

* Picture

* Letter

* Question

* Illegal

正文：（下列之一）

* Please use the font arial!

* How can I help you?

* Still?

* I've your password. Take it easy!

* Why do you show your body?

* Hey,are you criminal?

* Your pictures are good!

* The text you sent to me is not so good!

* True love letter?

* Do you have no money?

* Do you have asked me?

* I've found your creditcard. Check the data!

* Are your numbers correct?

* You have no chance...

* Wow! Why are you so shy?

* Do you have more samples?

* Do you have more photos about you?

* Do you have written the letter?

* Does it hurt you?

* Please do not sent me your illegal stuff again!!!

附件：（下列之一）

* corrected_doc.pif

* hurts.pif

* document1.pif

* passwords02.pif

* image034.pif

* myabuselist.pif

* your_picture01.pif

* your_text01.pif

* your_letter.pif

* your_bill.pif

* my_stolen_document.pif

* visa_data.pif

* pin_tel.pif

* your_text.pif

* loveletter02.pif

* all_pictures.pif

* your_letter_03.pif

* your_picture.pif

* abuses.pif

該蠕蟲試圖使用受感染計算機的默認 DNS 服務器獲得電子郵件服務器的 IP 地址。

例如，如果電子郵件地址是 someone@hostname.com，則它會試圖檢索服務器hostname.com的 IP 地址。如果失敗，它會試圖使用以下 DNS 服務器之一：

* 212.44.160.8

* 195.185.185.195

* 151.189.13.35

* 213.191.74.19

* 193.189.244.205

* 145.253.2.171

* 193.141.40.42

* 193.193.144.12

* 217.5.97.137

* 195.20.224.234

* 194.25.2.130

* 194.25.2.129

* 212.185.252.136

* 212.185.253.70

* 212.185.252.73

* 62.155.255.16

* 194.25.2.134

* 194.25.2.133

* 194.25.2.132

* 194.25.2.131

* 193.193.158.10

* 212.7.128.165

* 212.7.128.162

Symantec Gateway Security 5400 系列設備和 Symantec Gateway Security v1.0

*防病毒組件：針對 Symantec Gateway Security防病毒引擎、用於防護 W32.Netsky.AB蠕蟲的更新程序現已可用。建議 Symantec Gateway Security 5000系列用户運行 LiveUpdate。

* IDS/IPS 組件：沒有針對該蠕蟲發佈更新程序的計劃。

* 全面的應用程序檢查防火牆組件：默認情況下，Symantec 的全面應用程序檢查防火牆技術通過阻止受感染的系統直接向 Internet 發送電子郵件來阻止 W32.Netsky.AB@mm蠕蟲傳播。

Symantec Enterprise Firewall 8.0

Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5

Symantec Clientless VPN Gateway 4400 系列

Symantec Clientless VPN Gateway v5.0 不會受此威脅的感染。為了降低進一步傳播的風險，還應該設置規則，僅允許經過授權的遠程用户訪問您的內部郵件服務器。

Symantec Gateway Security 300 系列

為了降低進一步傳播的風險，請使用 SGS 300 系列，以確保所有 AV 客户有最新病毒定義。

Symantec Firewall/VPN 100/200 系列

為了降低進一步傳播的風險，請確保設置了規則，僅允許入站/出站郵件進出您的郵件服務器。

建議所有用户和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。默認情況下，許多操作系統會安裝不必要的輔助服務，如 FTP 服務器、telnet 和 Web 服務器。這些服務可能會成為攻擊所利用的途徑。如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程序更新即可完成。

* 如果混合型威脅攻擊了一個或多個網絡服務，則在應用補丁程序之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程序，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）.. 另外，對於本文中、可靠的安全公告或供應商網站上公佈的安全更新，也要及時應用。

* 強制執行密碼策略。複雜的密碼使得受感染計算機上的密碼文件難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件服務器以禁止或刪除帶有.vbs、.bat、.exe、.pif 和 .scr 等附件的郵件，這些文件常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附件。並且只在進行病毒掃描後才執行從互聯網下載的軟件。如果未對某些瀏覽器漏洞應用補丁程序，那麼訪問受感染的網站也會造成病毒感染。

使用W32.Netsky.AB@mm 殺毒工具殺毒

賽門鐵克安全響應中心開發了一種殺毒工具，可用來清除 W32.Netsky.AB@mm 感染。這是消除此威脅最簡易的方法，請先使用此方法殺毒。

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

⒈ 禁用系統還原 （Windows Me/XP）。

⒉ 更新病毒定義。

⒊ 將計算機重啓到安全模式或者 VGA 模式。

⒋ 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.AB@mm 的文件。

⒌ 刪除添加到註冊表的值。

有關每個步驟的詳細信息，請閲讀以下指導。

如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啓用的，一旦計算機中的文件被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程序在內的外部程序修改系統還原。因此，防病毒程序或工具無法刪除 System Restore 文件夾中的威脅。這樣，系統還原就可能將受感染文件還原到計算機上，即使您已經清除了所有其他位置的受感染文件。

此外，病毒掃描可能還會檢測到 System Restore 文件夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閲 Windows 文檔或下列文章之一：

* 如何禁用或啓用 Windows XP 系統還原

* 如何禁用或啓用 Windows Me 系統還原

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設置。

有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閲 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 文件夾中受感染的文件，文章 ID：CH263455。

賽門鐵克安全響應中心在我們的服務器上發佈任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每週一次（通常在星期三）發佈到 LiveUpdate 服務器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 （LiveUpdate）。

* 使用智能更新程序下載病毒定義：智能更新程序病毒定義會在工作日（美國時間，星期一至星期五）發佈。應該從賽門鐵克安全響應中心網站下載病毒定義並手動進行安裝。要確定是否可通過智能更新程序獲取此威脅的定義，請參考病毒定義（智能更新程序）。

提供智能更新程序病毒定義：有關詳細説明，請參閲如何使用智能更新程序更新病毒定義文件。

請關閉計算機，等待至少 30 秒鐘後重新啓動到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用户：將計算機重啓到安全模式。所有 Windows 32-bit 操作系統，除了Windows NT，可以被重啓到安全模式。更多信息請參閲文檔 如何以安全模式啓動計算機。

* Windows NT 4 用户：將計算機重啓到 VGA 模式。

⒈ 啓動 Symantec防病毒程序，並確保已將其配置為掃描所有文件。

* Norton AntiVirus 單機版產品：請閲讀文檔：如何配置 Norton AntiVirus 以掃描所有文件。

* 賽門鐵克企業版防病毒產品：請閲讀 如何確定 Symantec 企業版防病毒產品被設置為掃描所有文件。

⒉ 運行完整的系統掃描。

⒊ 如果檢測到任何文件被 W32.Netsky.AB@mm 感染，請單擊“刪除”。

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閲讀「如何備份 Windows 註冊表」文件。

⒈ 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

⒉ 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

⒊ 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

⒋ 在右窗格中，刪除值：

"BagleAV"="%Windir%\csrss.exe"

⒌ 退出註冊表編輯器。

⒍ 以正常模式重新啓動計算機。更多信息請參閲文檔 如何以安全模式啓動計算機 內如何以正常模式重新啓動計算機一節。

描述者：Ying Lin