W32.Beagle.AG@mm是群发邮件蠕虫，它使用自己的SMTP引擎通过电子邮件传播并在TCP端口1080上打开后门。该电子邮件的主题和文件附件变化多端。附件会使用.com、.cpl、.exe、.hta、.scr、.vbs或.zip文件扩展名。感染Windows 2000、Windows 95、Windows 98、Windows Me、Windows NT、Windows XP等系统。

病毒信息

防护

威胁评估(广度 损坏 分发)

建议

手动杀毒

病毒信息

发现： 2004 年 7 月 19 日

更新： 2007 年 2 月 13 日 12:27:13 PM

别名： WORM_BAGLE.AH [Trend Micro], W32/Bagleai@MM [McAfee], W32/Bagle-AI [Sophos], Win32.BagleAI [Computer Assoc, I-Worm.Bagleai [Kaspersky]

类型: Worm

感染长度： varies

该蠕虫使用 PeX 打包。

赛门铁克安全响应中心已经创建了用来杀除 W32.BeagleAG@mm 的工具。单击此处可获取该工具。

防护

* 病毒定义（每周 LiveUpdate™） 2004 年 7 月 19 日

* 病毒定义（智能更新程序） 2004 年 7 月 19 日

威胁评估

广度

* 广度级别： Low

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Medium

* 大规模发送电子邮件： Sends email to the addresses collected from an infected computer.

* 降低性能： Mass-mailing may clog mail servers or degrade network performance.

* 危及安全设置： Terminates processes associated with various security-related programs. Allows unauthorized remote access to a compromised host.

分发

* 分发级别： High

* 电子邮件的主题： Varies

* 附件名称： Varies with a .com, .cpl, .exe, .scr, or .zip file extension.

* 附件大小： Varies

W32.BeagleAG@mm 运行时会执行下列操作：

1. 从键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

删除包含以下字符串的值:

9XHtProtect

Antivirus

EasyAV

FirewallSvr

HtProtect

ICQ Net

ICQNet

Jammer2nd

KasperskyAVEng

MsInfo

My AV

NetDy

Norton Antivirus AV

PandaAVEngine

service

SkynetsRevenge

Special Firewall Service

SysMonXP

Tiny AV

Zone Labs Client Ex

2. 创建下列文件：

%System%\\winxp.exe

%System%\\winxp.exeopen

%System%\\winxp.exeopenopen

%System%\\winxp.exeopenopenopen

%System%\\winxp.exeopenopenopenopen

注意：%System% 是一个变量。 蠕虫会找到 System 文件夹，并将自身复制到其中。 默认情况下，此文件夹为 C:\\Windows\\System

(Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000), or C:\\Windows\\System32 (Windows XP).

3. 放入文件 %System%\\winxp.exeopenopen。该文件是 .zip 或 .cpl 文件：

* 如果文件是 .zip 文件，它将包含两个随机命名的文件。 一个是 .exe 文件，另一个是扩展名为 .sys、.dat、.idx、.vxd、.vid 或 .dll 的文本文件。

* 如果文件是 .cpl 文件且被执行，则它会将一个名为 cplstub.exe 的文件放入 %Windir% 文件夹。

Note: %Windir% 是一个变量。 蠕虫会找到 Windows installation 文件夹，并将自身复制到其中。 默认情况下，此文件夹为 (by default, this is C:\\Windows or C:\\Winnt) and copies itself to that location.

4. 将值：

"key" = "%System%\\winxp.exe"

添加到注册表键：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

这样，该蠕虫的放置程序便可在 Windows启动时运行。

5. 打开 TCP 端口 1080 上的后门，以使受感染计算机作为电子邮件中继使用。

6. 联系各域的 .php 脚本，有关获各域名，请参考下方域中的各域名。

7. 结束与软件相关的进程。有关获各进程名，请参考下方进程中的各进程名

8. 试图在所有包含“shar”字符的文件夹下创建其自身的副本。 文件将有以下文件名称：

* ACDSee 9.exe

* Adobe Photoshop 9 full.exe

* Ahead Nero 7.exe

* Kaspersky Antivirus 5.0

* KAV 5.0

* Matrix 3 Revolution English Subtitles.exe

* Microsoft Office 2003 Crack, Working!.exe

* Microsoft Office XP working Crack, Keygen.exe

* Microsoft Windows XP, WinXP Crack, working Keygen.exe

* Opera 8 New!.exe

* Porno pics arhive, xxx.exe

* Porno Screensaver.scr

* Porno, sex, oral, anal cool, awesome!!.exe

* Serials.txt.exe

* WinAmp 5 Pro Keygen Crack Update.exe

* WinAmp 6 New!.exe

* Windown Longhorn Beta Leak.exe

* Windows Sourcecode update.doc.exe

* XXX hardcore images.exe

9. 在具有以下扩展名的文件中搜索电子邮件地址：

* .adb

* .asp

* .cfg

* .cgi

* .dbx

* .dhtm

* .eml

* .htm

* .jsp

* .mbx

* .mdx

* .mht

* .mmf

* .msg

* .nch

* .ods

* .oft

* .php

* .pl

* .sht

* .shtm

* .stm

* .tbb

* .txt

* .uin

* .wab

* .wsh

* .xls

* .xml

10. 使用自己的 SMTP 引擎向找到的电子邮件地址发送电子邮件。 所发送的电子邮件具有下列特征：

发件人：<欺骗性>

主题： Re_

正文：

* foto3 and MP3

* fotogalary and Music

* fotoinfo

* Lovely animals

* Animals

* Predators

* The snake

* Screen and Music

附件：（下列之一）

* Cat

* Cool_MP3

* Dog

* Doll

* Fish

* Garry

* MP3

* Music_MP3

* New_MP3_Player

附件扩展名：（下列之一）

* .exe

* .scr

* .com

* .cpl

* .zip

域

进程

W32.BeagleAG@mm 试图终止具有以下名称的进程：

* AGENTSVR.EXE

* ANTI-TROJAN.EXE

* ANTI-TROJAN.EXE

* ANTIVIRUS.EXE

* ANTS.EXE

* APIMONITOR.EXE

* APLICA32.EXE

* APVXDWIN.EXE

* ATCON.EXE

* ATGUARD.EXE

* ATRO55EN.EXE

* ATUPDATER.EXE

* ATWATCH.EXE

* AUPDATE.EXE

* AUTODOWN.EXE

* AUTOTRACE.EXE

* AUTOUPDATE.EXE

* AVCONSOL.EXE

* AVGSERV9.EXE

* AVLTMAIN.EXE

* AVprotect9x.exe

* AVPUPD.EXE

* AVSYNMGR.EXE

* AVWUPD32.EXE

* AVXQUAR.EXE

* BD_PROFESSIONAL.EXE

* BIDEF.EXE

* BIDSERVER.EXE

* BIPCP.EXE

* BIPCPEVALSETUP.EXE

* BISP.EXE

* BLACKD.EXE

* BLACKICE.EXE

* BOOTWARN.EXE

* BORG2.EXE

* BS120.EXE

* CDP.EXE

* CFGWIZ.EXE

* CFGWIZ.EXE

* CFIADMIN.EXE

* CFIADMIN.EXE

* CFIAUDIT.EXE

* CFIAUDIT.EXE

* CFIAUDIT.EXE

* CFINET.EXE

* CFINET.EXE

* CFINET32.EXE

* CFINET32.EXE

* CLEAN.EXE

* CLEAN.EXE

* CLEANER.EXE

* CLEANER.EXE

* CLEANER3.EXE

* CLEANPC.EXE

* CLEANPC.EXE

* CMGRDIAN.EXE

* CMGRDIAN.EXE

* CMON016.EXE

* CMON016.EXE

* CPD.EXE

* CPF9X206.EXE

* CPFNT206.EXE

* CV.EXE

* CWNB181.EXE

* CWNTDWMO.EXE

* DEFWATCH.EXE

* DEPUTY.EXE

* DPF.EXE

* DPFSETUP.EXE

* DRWATSON.EXE

* DRWEBUPW.EXE

* ENT.EXE

* ESCANH95.EXE

* ESCANHNT.EXE

* ESCANV95.EXE

* EXANTIVIRUS-CNET.EXE

* FAST.EXE

* FIREWALL.EXE

* FLOWPROTECTOR.EXE

* FP-WIN_TRIAL.EXE

* FRW.EXE

* FSAV.EXE

* FSAV530STBYB.EXE

* FSAV530WTBYB.EXE

* FSAV95.EXE

* GBMENU.EXE

* GBPOLL.EXE

* GUARD.EXE

* GUARDDOG.EXE

* HACKTRACERSETUP.EXE

* HTLOG.EXE

* HWPE.EXE

* IAMAPP.EXE

* IAMAPP.EXE

* IAMSERV.EXE

* ICLOAD95.EXE

* ICLOADNT.EXE

* ICMON.EXE

* ICSSUPPNT.EXE

* ICSUPP95.EXE

* ICSUPP95.EXE

* ICSUPPNT.EXE

* IFW2000.EXE

* IPARMOR.EXE

* IRIS.EXE

* JAMMER.EXE

* KAVLITE40ENG.EXE

* KAVPERS40ENG.EXE

* KERIO-PF-213-EN-WIN.EXE

* KERIO-WRL-421-EN-WIN.EXE

* KERIO-WRP-421-EN-WIN.EXE

* KILLPROCESSSETUP161.EXE

* LDPRO.EXE

* LOCALNET.EXE

* LOCKDOWN.EXE

* LOCKDOWN2000.EXE

* LSETUP.EXE

* LUALL.EXE

* LUCOMSERVER.EXE

* LUINIT.EXE

* MCAGENT.EXE

* MCUPDATE.EXE

* MCUPDATE.EXE

* MFW2EN.EXE

* MFWENG3.02D30.EXE

* MGUI.EXE

* MINILOG.EXE

* MOOLIVE.EXE

* MRFLUX.EXE

* MSCONFIG.EXE

* MSINFO32.EXE

* MSSMMC32.EXE

* MU0311AD.EXE

* NAV80TRY.EXE

* NAVAPW32.EXE

* NAVDX.EXE

* NAVSTUB.EXE

* NAVW32.EXE

* NC2000.EXE

* NCINST4.EXE

* NDD32.EXE

* NEOMONITOR.EXE

* NETARMOR.EXE

* NETINFO.EXE

* NETMON.EXE

* NETSCANPRO.EXE

* NETSPYHUNTER-1.2.EXE

* NETSTAT.EXE

* NISSERV.EXE

* NISUM.EXE

* NMAIN.EXE

* NORTON_INTERNET_SECU_3.0_407.EXE

* NPF40_TW_98_NT_ME_2K.EXE

* NPFMESSENGER.EXE

* NPROTECT.EXE

* NSCHED32.EXE

* NTVDM.EXE

* NUPGRADE.EXE

* NVARCH16.EXE

* NWINST4.EXE

* NWTOOL16.EXE

* OSTRONET.EXE

* OUTPOST.EXE

* OUTPOSTINSTALL.EXE

* OUTPOSTPROINSTALL.EXE

* PADMIN.EXE

* PANIXK.EXE

* PAVPROXY.EXE

* PCC2002S902.EXE

* PCC2K_76_1436.EXE

* PCCIOMON.EXE

* PCDSETUP.EXE

* PCFWALLICON.EXE

* PCFWALLICON.EXE

* PCIP10117_0.EXE

* PDSETUP.EXE

* PERISCOPE.EXE

* PERSFW.EXE

* PF2.EXE

* PFWADMIN.EXE

* PINGSCAN.EXE

* PLATIN.EXE

* POPROXY.EXE

* POPSCAN.EXE

* PORTDETECTIVE.EXE

* PPINUPDT.EXE

* PPTBC.EXE

* PPVSTOP.EXE

* PROCEXPLORERV1.0.EXE

* PROPORT.EXE

* PROTECTX.EXE

* PSPF.EXE

* PURGE.EXE

* PVIEW95.EXE

* QCONSOLE.EXE

* QSERVER.EXE

* RAV8WIN32ENG.EXE

* REGEDIT.EXE

* REGEDT32.EXE

* RESCUE.EXE

* RESCUE32.EXE

* RRGUARD.EXE

* RSHELL.EXE

* RTVSCN95.EXE

* RULAUNCH.EXE

* SAFEWEB.EXE

* SBSERV.EXE

* SD.EXE

* SETUP_FLOWPROTECTOR_US.EXE

* SETUPVAMEEVAL.EXE

* SFC.EXE

* SGSSFW32.EXE

* SH.EXE

* SHELLSPYINSTALL.EXE

* SHN.EXE

* SMC.EXE

* SOFI.EXE

* SPF.EXE

* SPHINX.EXE

* SPYXX.EXE

* SS3EDIT.EXE

* ST2.EXE

* SUPFTRL.EXE

* SUPPORTER5.EXE

* SYMPROXYSVC.EXE

* SYSEDIT.EXE

* TASKMON.EXE

* TAUMON.EXE

* TAUSCAN.EXE

* TC.EXE

* TCA.EXE

* TCM.EXE

* TDS2-98.EXE

* TDS2-NT.EXE

* TDS-3.EXE

* TFAK5.EXE

* TGBOB.EXE

* TITANIN.EXE

* TITANINXP.EXE

* TRACERT.EXE

* TRJSCAN.EXE

* TRJSETUP.EXE

* TROJANTRAP3.EXE

* UNDOBOOT.EXE

* UPDATE.EXE

* VBCMSERV.EXE

* VBCONS.EXE

* VBUST.EXE

* VBWIN9X.EXE

* VBWINNTW.EXE

* VCSETUP.EXE

* VFSETUP.EXE

* VIRUSMDPERSONALFIREWALL.EXE

* VNLAN300.EXE

* VNPC3000.EXE

* VPC42.EXE

* VPFW30S.EXE

* VPTRAY.EXE

* VSCENU6.02D30.EXE

* VSECOMR.EXE

* VSHWIN32.EXE

* VSISETUP.EXE

* VSMAIN.EXE

* VSMON.EXE

* VSSTAT.EXE

* VSWIN9XE.EXE

* VSWINNTSE.EXE

* VSWINPERSE.EXE

* W32DSM89.EXE

* W9X.EXE

* WATCHDOG.EXE

* WEBSCANX.EXE

* WGFE95.EXE

* WHOSWATCHINGME.EXE

* WHOSWATCHINGME.EXE

* WINRECON.EXE

* WNT.EXE

* WRADMIN.EXE

* WRCTRL.EXE

* WSBGATE.EXE

* WYVERNWORKSFIREWALL.EXE

* XPF202EN.EXE

* ZAPRO.EXE

* ZAPSETUP3001.EXE

* ZATUTOR.EXE

* ZAUINST.EXE

* ZONALM2601.EXE

* ZONEALARM.EXE

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

使用杀毒工具杀毒

赛门铁克安全响应中心已经创建了用来杀除 W32.BeagleAG@mm 的工具。这是消除此威胁的最简便方法。单击此处可获取该工具。

当然，您也可以按照以下指示自己手动杀毒。

手动杀毒

以下指导适用于最新和最近的所有 Symantec 防病毒产品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品）

1. 禁用系统还原 (Windows Me/XP)。

2. 更新病毒定义。

3. 以安全模式或 VGA 模式重新启动计算机。

4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.AB@mm 的文件。

5. 删除添加到注册表的值。

有关每个步骤的详细信息，请参阅以下指导。

1. 禁用系统还原 (Windows Me/XP)

如果正在运行 Windows Me 或 Windows XP，建议您暂时关闭系统还原功能。 此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows Me/XP 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。 因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。 这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描也可能在 System Restore 文件夹中检测到威胁，即使您已清除该威胁。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

* "如何禁用或启用 Windows Me 系统还原

* "如何关闭或打开 Windows XP 系统还原”

注意：当您完全完成杀毒步骤，并确定威胁已清除后，按照上述文档中的指导重新启用系统还原。

有关其他信息以及禁用 Windows Me 系统还原功能的其他方法，请参阅 Microsoft 知识库文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，

2. 更新病毒定义

Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。 可以通过两种方式获得最新的病毒定义：

* 运行 LiveUpdate，这是获得病毒定义最简单的方法：如果未遇重大病毒爆发情况，这些病毒定义会每周在 LiveUpdate 服务器上发布一次（一般为星期三）。 要确定是否可通过 LiveUpdate 获得用于该威胁的定义，请参考病毒定义 (LiveUpdate)。

* 使用智能更新程序下载定义：“智能更新程序”病毒定义在美国工作日发布（周一至周五）。 您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。 要确定是否可通过智能更新程序获得用于该威胁的定义，请参考病毒定义（智能更新程序）。

获得智能更新程序病毒定义。有关详细指导，请阅读文档：如何使用智能更新程序更新病毒定义文件。

3. 以安全模式或 VGA 模式重新启动计算机

关闭计算机，关掉电源。 至少等候 30 秒，然后以安全模式或 VGA 模式重新启动计算机。

* 对于 Windows 95、98、Me、2000 或 XP 用户，请以安全模式重新启动计算机。 有关指导，请参阅文档：如何以安全模式启动计算机。

* 对于 Windows NT 4 用户，请以 VGA 模式重新启动计算机。

4. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

* 对于 Norton AntiVirus 单机版产品：请参阅文档：如何配置 Norton AntiVirus 以扫描所有文件。

* 对于 Symantec AntiVirus 企业版产品：请参阅文档：如何确定 Symantec 企业版防病毒产品是否设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果有任何文件被检测为 W32.Beagle.AB@mm，则单击“删除”。

4. 导航到%System%文件夹并删除sysxp.exeopenopenopen。

注意：如果您的 Symantec 防病毒产品报告无法删除受感染文件，Windows 可能在使用该文件。 要解决该问题，请在安全模式下运行扫描。 有关指导，请参阅文档：如何以安全模式启动计算机。以安全模式重启后，在此运行扫描。

（在文件被删除后，可以不离开安全模式并继续执行部分4。完成后，在将以正常模式重新启动计算机。）

5. 从注册表删除值

警告：Symantec 强烈建议在进行任何更改前先备份注册表。 错误地更改注册表可能导致数据永久丢失或文件损坏。 应只修改指定的键。 有关指导，请参阅文档：如何备份 Windows 注册表。

1. 单击“开始”>“运行”。

2. 键入 regedit

然后单击“确定”。

3. 导航至键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除值：

"key" = "%System%\\winxp.exe"

5. 退出注册表编辑器。