| 词条 | Worm.Beagle.H |
| 释义 | § 名称 Worm.Beagle.H § 相关资料 病毒信息： 病毒名称:Worm.Beagle.H 中文名称: “恶鹰”变种H 威胁级别: 3B 病毒别名: 贝革热、雏鹰 W32/Bagle.h@MM 【McAfee】 W32/Bagle-H 【Sophos】 I-Worm.Bagle.Gen 【Kaspersky】 WORM_BAGLE.H 【Trend】 病毒类型: 蠕虫、木马 受影响系统:Win9x/WinMe/WinNT/Win2000/WinXP/Win2003 --------------------------------------------------------- 技术特点： · 传染条件：利用电子邮件高速传播； · 发作条件： A、2004.03.25 前发作, 2004.03.25号以后将自动卸载； B、如果病毒发现自己的文件名不是%System%\\\\i11r54n4.exe，它将启动Windows的记事本程序； · 系统修改： A、将病毒自身拷贝到 %System%\\\\i11r54n4.exe； B、创建以下文件 %System%\\\\go154o.exe, 19968字节, DLL文件，病毒用于发信的模块 %System%\\\\i1i5n1j4.exe, 1536字节，DLL文件，调用godo.exe的模块 %System%\\\\i11r54n4.exeopen，这是一个密码保护的.zip文件； C、在注册表的主键: HKEY_CURRENT_USER\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run 中添加如下键值: "rate.exe"="%System%\\\\i11r54n4.exe" 以便该病毒在每次重启 Windows 时运行 在注册表的主键: HKEY_CURRENT_USER\\\\SOFTWARE\\\\winword 中添加如下键值: "frun"="1" D、创建一个名为 imain_mutex 的互斥量，保证每次只运行一个蠕虫实例； E、将 go54o.exe 作为一个 DLL 注入到 explorer.exe 的地址空间； F、打开TCP端口，以便黑客连接，端口号为 2745 · 发作现象： A、向以下站点的80端口发送Get请求 http://postertog.de/scr.php http://www.gfotxt.net/scr.php http://www.maiklibis.de/scr.php 传送病毒在系统内收集的信息，比如：受感染系统的IP等信息； B、尝试关闭以下反病毒软件的程序进程，阻止反病毒程序升级： Atupdater.exe Aupdate.exe Autodown.exe Autotrace.exe Autoupdate.exe Avltmain.exe Avpupd.exe Avwupd32.exe Avxquar.exe Cfiaudit.exe Drwebupw.exe Icssuppnt.exe Icsupp95.exe Luall.exe Mcupdate.exe Nupgrade.exe Outpost.exe Update.exe C、在本地磁盘扫描具有以下扩展名的文件，以收集邮件地址。 .wab .txt .htm .html .dbx .mdx .eml .nch .mmf .ods .cfg .asp .php .pl .adb .sht D、用自带的smtp引擎发送邮件。 邮件主题从以下字符串中选择一个： Hokki =) Weah, hello! :-) Weeeeee! ;))) Hi! :-) ello! =)) Hey, ya! =)) ^_^ meay-meay! ^_^ meay-meay! ^_^ mew-mew (-: 邮件内容从以下段落中选择一个： Hey, dude, it\\'s me ^_^ :P Argh, i don\\'t like the plaintext :) I don\\'t bite, weah! Looking forward for a response :P 如果该邮件带有密码保护的附件，那么正文中还会有如下的字符串： btw <随机字符串> is a password for archive 邮件附件名从以下字符串中选择一个: TextDocument Readme Msg Msginfo Document Info Attachedfile Attacheddocument TextDocument Text TextFile Letter MoreInfo Message 邮件附件后缀为： .zip E、该蠕虫将不会往含以下字段的邮件地址发送邮件： .gr @hotmail.com @msn.com @microsoft @avp. noreply local root@ postmaster@ F、该病毒将使用以文件夹的图标： （如附图） 以迷惑用户将他误认为文件夹而点击感染. G、该病毒为了可以在文件共享网络传播，如：KaZaA 和 iMesh, 它查找含有字符串"shar"的共 享文件夹将其自己拷贝进去，文件名在以下字符串中选择一个： ACDSee 9.exe Adobe Photoshop 9 full.exe Ahead Nero 7.exe Matrix 3 Revolution English Subtitles.exe Microsoft Office 2003 Crack, Working!.exe Microsoft Office XP working Crack, Keygen.exe Microsoft Windows XP, WinXP Crack, working Keygen.exe Opera 8 New!.exe Porno pics arhive, xxx.exe Porno Screensaver.scr Porno, sex, oral, anal cool, awesome!!.exe Serials.txt.exe WinAmp 5 Pro Keygen Crack Update.exe WinAmp 6 New!.exe Windown Longhorn Beta Leak.exe Windows Sourcecode update.doc.exe XXX hardcore images.exe 解决方案: ·金山毒霸已经于3月2日对该病毒进行了应急处理，请升级最新版可完全查该病毒； · 请一定留意收到的邮件，如果有附件，请不要打开附件，更不要执行附件中的可执行程序，注 意病毒程序伪装的图标，不要轻信图标为“电子表格、文本文件、文件夹”的附件； |
| 随便看 |
百科全书收录594082条中文百科知识，基本涵盖了大多数领域的百科知识，是一部内容开放、自由的电子版百科全书。