W32.Netsky.D@mm

由於提交率的提高，Symantec 安全響應中心自 2004 年 3 月 1 日起，將 W32.Netsky.D@mm 的威脅級別從 3 類升級為 4 類。

W32.Netsky.D@mm 蠕蟲是一個羣發郵件蠕蟲，是 W32.Netsky.C@mm 的變種。 該蠕蟲掃描驅動器 C 到 Z 來查找電子郵件地址，然後將自身發送到找到的那些地址。

主題、正文和附件名稱無一定之規。附件的文件擴展名為 .pif。

* Symantec 安全響應中心開發了一種殺毒工具，可用來清除 W32.Netsky.D@mm 感染。

* 該蠕蟲的 MD5 值為0x6f49434d7e4532520372a4721a7a9aec。

防護

* 病毒定義（每週 LiveUpdate™） 2004 年 3 月 1 日

* 病毒定義（智能更新程序） 2004 年 3 月 1 日

廣度

* ：

：

：

：

：

： Moderate

損壞

* 損壞級別： Low

* 大規模發送電子郵件： Sends itself to email addresses retrieved from file system.

分發

* 分發級別： High

* 電子郵件的主題： Varies

* 附件名稱： Varies with .pif file extension.

* 附件大小： 17,424 bytes

W32.Netsky.D@mm 蠕蟲在運行時會執行下列操作：

1. 創建一個名為“[SkyNet.cz]SystemsMutex”的互斥體。此互斥體僅允許該蠕蟲的一個實例在內存中執行。

2. 將自身複製為 %Windir%\winlogon.exe。

注意：%Windir% 是一個變量。該蠕蟲會找到 Windows 安裝文件夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。

3. 將值：

"ICQ Net" = "%Windir%\winlogon.exe -stealth"

添加到註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

這樣，此蠕蟲便可在 Windows啓動時運行。

4. 刪除以下值：

* Taskmon

* Explorer

* Windows Services Host

* KasperskyAV

這些值位於註冊表鍵：

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

注意：

o 這些註冊表鍵中的某些值通常與 W32.Mydoom.A@mm 和 W32.Mydoom.B@mm 蠕蟲關聯。

o W32.Mimail.T@mm 蠕蟲可能會添加註冊表鍵值“KasperskyAV”。

5. 刪除以下值：

* System.

* msgsvr32

* DELETE ME

* service

* Sentry

這些值位於註冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

6. 刪除以下值：

* d3dupdate.exe

* au.exe

* OLE

這些值位於註冊表鍵：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

7. 刪除值：

System.

該值位於以下注冊表鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

8. 刪除註冊表鍵：

* HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32

* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\PINF

* HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WksPatch

注意：該蠕蟲 W32.Mydoom.A@mm 和 W32.Mydoom.B@mm 向第一個鍵中添加值，這樣，explorer.exe 便可以加載它們的後門程序組件。

9. 如果時間介於 2004 年 3 月 2 日（星期二）的 6:00am 到 9:00am，PC 揚聲器將連續不斷地發出蜂鳴聲。 每次蜂鳴都將以隨機頻率、持續一段長度不等的時間。

10. 在驅動器 C 到 Z 上掃描以下文件類型，查找電子郵件地址：

* .dhtm

* .cgi

* .shtm

* .msg

* .oft

* .sht

* .dbx

* .tbb

* .adb

* .doc

* .wab

* .asp

* .uin

* .rtf

* .vbs

* .html

* .htm

* .pl

* .php

* .txt

* .eml

11. 使用它自己的 SMTP 引擎將其自身發送到在上述位置找到的電子郵件地址，向每個地址發送一次。 該蠕蟲使用可用的本地 DNS 服務器（通過 API 檢索），執行 MX 查找來搜索收件人地址。 如果本地 DNS 不可用，它將對以下硬編碼的服務器列表執行查找：

* 145.253.2.171

* 151.189.13.35

* 193.141.40.42

* 193.189.244.205

* 193.193.144.12

* 193.193.158.10

* 194.25.2.129

* 194.25.2.129

* 194.25.2.130

* 194.25.2.131

* 194.25.2.132

* 194.25.2.133

* 194.25.2.134

* 195.185.185.195

* 195.20.224.234

* 212.185.252.136

* 212.185.252.73

* 212.185.253.70

* 212.44.160.8

* 212.7.128.162

* 212.7.128.165

* 213.191.74.19

* 217.5.97.137

* 62.155.255.16

12. 此類電子郵件具有以下特徵：

發件人：<欺騙性地址>

主題：（下列之一）

* Re: Your website

* Re: Your product

* Re: Your letter

* Re: Your archive

* Re: Your text

* Re: Your bill

* Re: Your details

* Re: My details

* Re: Word file

* Re: Excel file

* Re: Details

* Re: Approved

* Re: Your software

* Re: Your music

* Re: Here

* Re: Re: Re: Your document

* Re: Hello

* Re: Hi

* Re: Re: Message

* Re: Your picture

* Re: Here is the document

* Re: Your document

* Re: Thanks!

* Re: Re: Thanks!

* Re: Re: Document

* Re: Document

消息：（下列之一）

* Your file is attached.

* Please read the attached file.

* Please have a look at the attached file.

* See the attached file for details.

* Here is the file.

* Your document is attached.

附件：（下列之一）

* your_website.pif

* your_product.pif

* your_letter.pif

* your_archive.pif

* your_text.pif

* your_bill.pif

* your_details.pif

* document_word.pif

* document_excel.pif

* my_details.pif

* all_document.pif

* application.pif

* mp3music.pif

* yours.pif

* document_4351.pif

* your_file.pif

* message_details.pif

* your_picture.pif

* document_full.pif

* message_part2.pif

* document.pif

* your_document.pif

13. 該蠕蟲避免向包含以下字符串的地址發送電子郵件：

* skynet

* messagelabs

* abuse

* fbi

* orton

* f-pro

* aspersky

* cafee

* orman

* itdefender

* f-secur

* avp

* spam

* ymantec

* antivi

* icrosoft

Symantec Gateway Security 5400 Series 和 Symantec Gateway Security v1.0

* 防病毒組件：面向 Symantec Gateway Security 防病毒引擎、用於防護 W32.Netsky.D 蠕蟲的更新程序現已可用。 建議 Symantec Gateway Security 用户運行 LiveUpdate。

* IDS/IPS 組件：目前沒有計劃針對該蠕蟲發佈更新程序。

* 全面的應用程序檢查防火牆組件：默認情況下，Symantec 的全面應用程序檢查防火牆技術通過阻止受感染的系統直接向 Internet 發送電子郵件來阻止 W32.Netsky.D@mm 蠕蟲傳播。

Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5

默認情況下，Symantec 的全面應用程序檢查防火牆技術通過阻止受感染的系統直接向 Internet 發送電子郵件來阻止 W32.Netsky.D@mm 蠕蟲傳播。

建議

賽門鐵克安全響應中心建議所有用户和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多操作系統會安裝不必要的輔助服務，如 FTP 服務器、telnet 和 Web 服務器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程序更新即可完成。

* 如果混合型威脅攻擊了一個或多個網絡服務，則在應用補丁程序之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程序，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公佈的安全更新，也要及時應用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼文件難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件服務器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附件的郵件，這些文件常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附件。 並且只在進行病毒掃描後才執行從互聯網下載的軟件。如果未對某些瀏覽器漏洞應用補丁程序，那麼訪問受感染的網站也會造成病毒感染。

賽門鐵克安全響應中心開發了一種殺毒工具，可用來清除 W32.Netsky.D@mm 感染。這是消除此威脅的最簡便方法。

當然，您也可以按照以下指示自己手動殺毒。

手動殺毒

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

1. 禁用系統還原 (Windows Me/XP)。

2. 更新病毒定義。

3. 將計算機重啓到安全模式或者 VGA 模式。

4. 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.D@mm 的文件。

5. 刪除添加到註冊表的值。

有關每個步驟的詳細信息，請閲讀以下指導。

1. 禁用系統還原（Windows Me/XP）

如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啓用的，一旦計算機中的文件被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程序在內的外部程序修改系統還原。因此，防病毒程序或工具無法刪除 System Restore 文件夾中的威脅。這樣，系統還原就可能將受感染文件還原到計算機上，即使您已經清除了所有其他位置的受感染文件。

此外，病毒掃描可能還會檢測到 System Restore 文件夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閲 Windows 文檔或下列文章之一：

* 如何禁用或啓用 Windows XP 系統還原

* 如何禁用或啓用 Windows Me 系統還原

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設置。

有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閲 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 文件夾中受感染的文件，文章 ID：CH263455。

2. 更新病毒定義

賽門鐵克安全響應中心在我們的服務器上發佈任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每週一次（通常在星期三）發佈到 LiveUpdate 服務器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智能更新程序下載病毒定義：智能更新程序病毒定義會在工作日（美國時間，星期一至星期五）發佈。應該從賽門鐵克安全響應中心網站下載病毒定義並手動進行安裝。要確定是否可通過智能更新程序獲取此威脅的定義，請參考病毒定義（智能更新程序）。

現在提供智能更新程序病毒定義：有關詳細説明，請參閲如何使用智能更新程序更新病毒定義文件。

3. 將計算機重啓到安全模式或者 VGA 模式

請關閉計算機，等待至少 30 秒鐘後重新啓動到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用户：將計算機重啓到安全模式。所有 Windows 32-bit 操作系統，除了Windows NT，可以被重啓到安全模式。更多信息請參閲文檔 如何以安全模式啓動計算機 。

* Windows NT 4 用户：將計算機重啓到 VGA 模式。

4. 掃描和刪除受感染文件

1. 啓動 Symantec 防病毒程序，並確保已將其配置為掃描所有文件。

* Norton AntiVirus 單機版產品：請閲讀文檔：如何配置 Norton AntiVirus 以掃描所有文件。

* 賽門鐵克企業版防病毒產品：請閲讀 如何確定 Symantec 企業版防病毒產品被設置為掃描所有文件。

2. 運行完整的系統掃描。

3. 如果檢測到任何文件被 W32.Netsky.D@mm 感染，請單擊“刪除”。

5. 從註冊表中刪除值

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閲讀「如何備份 Windows 註冊表」文件。

1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

3. 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"ICQ NET" = "%Windir%\winlogon.exe -stealth"

5. 退出註冊表編輯器。

描述者： Neal Hindocha