W32.Beagle.AO@mm是一种群发邮件蠕虫病毒，它会在受感染电脑的硬盘中搜集电邮地址，然后用自己的SMTP引擎向这些电邮地址发放有毒邮件.W32.Beagle.AO@mm蠕虫病毒可经由对等档案共享网络传播。 此种蠕虫病毒一旦被激活执行后，它会试着从互联网上特定的网址下载档案到受害者的电脑中.

发现

别名

受感染的系统

威胁评估

损坏

状况

被执行时

建议

手动杀毒

指导

警告

发现

： 2004 年 8 月 9 日

更新： 2007 年 2 月 13 日 12:27:50 PM

别名

： W32/Bagle.aq@MM [McAfee], WORM_BAGLE.AC [Trend Micro], Win32.Bagle.AG [Computer Assoc, W32/Bagle-AQ [Sophos], I-Worm.Bagle.al [Kaspersky]

类型: Worm

受感染的系统

： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP

W32.Beagle.AO@mm 是一种会寄发大量邮件的蠕虫,它会使用自身的 SMTP 引擎透过电子邮件传播。

蠕虫并会在 UDP与TCP 埠号80 上开启后门

赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。单击此处可获取该工具。

防护

* 病毒定义（每周 LiveUpdate™） 2004 年 8 月 9 日

* 病毒定义（智能更新程序） 2004 年 8 月 9 日

威胁评估

广度

* 广度级别： Low

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Medium

* 威胁抑制： Moderate

* 清除： Moderate

损坏

* 损坏级别： Medium

* 大规模发送电子邮件： Yes

* 降低性能： Mass-mailing may impact system performance.

分发

* 分发级别： High

* 电子邮件的主题：

* 附件名称： Varies with .zip file extension

* 附件大小： Varies

* 端口： TCP port 80 and UDP port 80

状况

当 W32.Beagle.AO@mm 执行时,它会执行下列动作:

1

. 建立档案 %System%\\WINdirect.exe.

注意:%System% 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000), or C:\\Windows\\System32 (Windows XP).

2

. 新增下列值:

"win_upd.exe"="%System%\\WINdirect.exe"

至注册表键:

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

在启动 Windows 时蠕虫会被执行

3

. 建立档案, %System%\\_dll.exe.

4

. 将%System%\\_dll.exe作为主执行绪注入Window类别程序 "Shell_TrayWnd." 如果成功, 此执行绪将在感染程序中持续被执行。 感染程序将执行下列步骤所列动作,而Windows工作管理员相将不会列出执行中的木马程序。

5

. 终止下列名称的程序:

* ATUPDATER.EXE

* ATUPDATER.EXE

* AUPDATE.EXE

* AUTODOWN.EXE

* AUTOTRACE.EXE

* AUTOUPDATE.EXE

* AVPUPD.EXE

* AVWUPD32.EXE

* AVXQUAR.EXE

* AVXQUAR.EXE

* CFIAUDIT.EXE

* DRWEBUPW.EXE

* ESCANH95.EXE

* ESCANHNT.EXE

* FIREWALL.EXE

* ICSSUPPNT.EXE

* ICSUPP95.EXE

* LUALL.EXE

* MCUPDATE.EXE

* NUPGRADE.EXE

* NUPGRADE.EXE

* OUTPOST.EXE

* UPDATE.EXE

* sys_xp.exe

* sysxp.exe

* winxp.exe

6

. 试图由下列网站下载档案至%Windir%\\~.exe,并执行档案

* 134.102.228.45

* 196.12.49.27

* 213.188.129.72

* 64.62.172.118

* abi-2004.org

* advm1.gm.fh-koeln.de

* alexey.pioneers.com.ru

* alfinternational.ru

* aus-Zeit.com

* binn.ru

* burn2k.ipupdater.com

* carabi.ru

* catalog.zelnet.ru

* cavalierland.5u.com

* celine.artics.ru

* change.east.ru

* colleen.ai.net

* controltechniques.ru

* dev.tikls.net

* diablo.homelinux.com

* dodgetheatre.com

* dozenten.f1.fhtw-berlin.de

* emnesty.w.interia.pl

* emnezz.e-mania.pl

* euroviolence.com

* evadia.ru

* fairy.dataforce.net

* financial.washingtonpost.com

* free.bestialityhost.com

* gutemine.wu-wien.ac.at

* herzog.cs.uni-magdeburg.de

* home.profootball.ru

* host.businessweek.com

* host.wallstreetcity.com

* host23.ipowerweb.com

* hsr.zhp.org.pl

* infokom.pl

* kafka.punkt.pl

* kooltokyo.ru

* kypexin.ru

* lars-s.privat.t-online.de

* lottery.h11.ru

* matzlinger.com

* megion.ru

* mmag.ru

* molinero-berlin.de

* momentum.ru

* niebo.net

* nominal.kaliningrad.ru

* omegat.ru

* ourcj.com

* packages.debian.or.jp

* pb195.slupsk.sdi.tpnet.pl

* photo.gornet.ru

* pixel.co.il

* pocono.ru

* polobeer.de

* porno-mania.net

* protek.ru

* przeglad-tygodnik.pl

* przeglad-tygodnik.pl

* quotes.barchart.com

* r2626r.de

* rausis.latnet.lv

* relay.great.ru

* republika.pl

* sacred.ru

* sbuilder.ru

* sec.polbox.pl

* shadkhan.ru

* silesianet.pl

* silesianet.pl

* slavarik.ru

* sovea.de

* spbbook.ru

* strony.wp.pl

* szm.sk

* tarkosale.net

* tdi-router.opola.pl

* terramail.pl

* thorpedo.us

* traveldeals.sidestep.com

* ultimate-best-hgh.0my.net

* vip.pnet.pl

* werel1.web-gratis.net

* www.5100.ru

* www.PlayGround.ru

* www.aannemers-nederland.nl

* www.abcdesign.ru

* www.airnav.com

* www.aktor.ru

* www.ankil.ru

* www.antykoncepcja.net

* www.aphel.de

* www.artics.ru

* www.astoria-stuttgart.de

* www.avant.ru

* www.baltmatours.com

* www.baltnet.ru

* www.biratnagarmun.org.np

* www.biysk.ru

* www.boglen.com

* www.bridesinrussia.com

* www.busheron.ru

* www.ccbootcamp.com

* www.chat4adult.com

* www.chelny.ru

* www.ciachoo.pl

* www.dami.com.pl

* www.ddosers.net

* www.dicto.ru

* www.dilver.ru

* www.dsmedia.ru

* www.dynex.ru

* www.elemental.ru

* www.elit-line.ru

* www.epski.gr

* www.forbes.com

* www.free-time.ru

* www.gamma.vyborg.ru

* www.gantke-net.com

* www.gin.ru

* www.glass-master.ru

* www.glavriba.ru

* www.gradinter.ru

* www.hack-gegen-rechts.com

* www.hbz-nrw.de

* www.hgr.de

* www.hgrstrailer.com

* www.ifa-guide.co.uk

* www.iluminati.kicks-ass.net

* www.infognt.com

* www.intellect.lvc

* www.interfoodtd.ru

* www.interrybflot.ru

* www.inversorlatino.com

* www.jewishgen.org

* www.k2kapital.com

* www.kefaloniaresorts.com

* www.lamatec.com

* www.landofcash.net

* www.laserbuild.ru

* www.math.kobe-u.ac.jp

* www.mcschnaeppchen.com

* www.mdmedia.org

* www.met.pl

* www.metacenter.ru

* www.milm.ru

* www.myrtoscorp.com

* www.nefkom.net

* www.neostrada.pl

* www.neprifan.ru

* www.netradar.com

* www.no-abi2003.de

* www.oldtownradio.com

* www.omnicom.ru

* www.oshweb.com

* www.pakwerk.ru

* www.perfectgirls.net

* www.perfectjewel.com

* www.peterstar.ru

* www.pgipearls.com

* www.phg.pl

* www.porsa.ru

* www.porta.de

* www.rafani.cz

* www.rastt.ru

* www.republika.pl

* www.republika.pl

* www.rollenspielzirkel.de

* www.rubikon.pl

* www.rumbgeo.ru

* www.rweb.ru

* www.scli.ru

* www.sdsauto.ru

* www.sensi.com

* www.silesianet.pl

* www.sjgreatdeals.com

* www.sposob.ru

* www.strefa.pl

* www.tanzen-in-sh.de

* www.taom-clan.de

* www.tayles.com

* www.teatr-estrada.ru

* www.teleline.ru

* www.thepositivesideofsports.com

* www.timelessimages.com

* www.tuhart.net

* www.vconsole.net

* www.vendex.ru

* www.virtmemb.com

* www.vivamedia.ru

* www.vrack.net

* www.wapf.com

* www.webpark.pl

* www.webronet.com

* www.webzdarma.cz

* www.yarcity.ru

* www.youbuynow.com

* www.zeiss.ru

* www.zelnet.ru

* www.zhp.gdynia.pl

* wynnsjammer.proboards18.com

* yaguark.h10.ru

Note: %Windir%代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\\Windows or C:\\Winnt.

被执行时

当档案被执行时,会进行下列动作:

1

. 以下列名称建立七个 Mutex,这样可以预防 W32.Netsky@mm 的一些变异体执行:

* MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D

* 'D'r'o'p'p'e'd'S'k'y'N'e't'

* _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_

* [SkyNet.cz]SystemsMutex

* AdmSkynetJklS003

* ____--->>>>U<<<<--____

* _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

2

. 建立下列档案:

* %System%\\windll.exe.

* %System%\\windll.exeopen, which is a copy of the worm with randomly appended data.

* %System%\\windll.exeopenopen, which is a copy of the worm with randomly appended data.

* %System%\\re_file.exe

注意: 代表变量。蠕虫会找到 System 数据夹并将自己复制过去。预设的位置是 C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000), or C:\\Windows\\System32 (Windows XP).

3

. 新增下列值:

"erthgdr"="%System%\\windll.exe"

至注册表键:

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4

. 由注册表键:

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run|

删除所有包含下列字符的值:

* "9XHtProtect"

* "Antivirus"

* "EasyAV"

* "FirewallSvr"

* "HtProtect"

* "ICQ Net"

* "ICQNet"

* "Jammer2nd"

* "KasperskyAVEng"

* "MsInfo"

* "My AV"

* "NetDy"

* "Norton Antivirus AV"

* "PandaAVEngine"

* "SkynetsRevenge"

* "Special Firewall Service"

* "SysMonXP"

* "Tiny AV"

* "Zone Labs Client Ex"

* "service"

5

. 试图在任何包含字符「shar」的数据夹中建立本身的副本。档案将会有下列文件名称:

* Microsoft Office 2003 Crack, Working!.exe

* Microsoft Windows XP, WinXP Crack, working Keygen.exe

* Microsoft Office XP working Crack, Keygen.exe

* Porno, sex, oral, anal cool, awesome!!.exe

* Porno Screensaver.scr

* Serials.txt.exe

* KAV 5.0

* Kaspersky Antivirus 5.0

* Porno pics arhive, xxx.exe

* Windows Sourcecode update.doc.exe

* Ahead Nero 7.exe

* Windown Longhorn Beta Leak.exe

* Opera 8 New!.exe

* XXX hardcore images.exe

* WinAmp 6 New!.exe

* WinAmp 5 Pro Keygen Crack Update.exe

* Adobe Photoshop 9 full.exe

* Matrix 3 Revolution English Subtitles.exe

* ACDSee 9.exe

6

. 在有下列扩展名的电子邮件中搜寻电子邮件地址:

* .adb

* .asp

* .cfg

* .cgi

* .dbx

* .dhtm

* .eml

* .htm

* .jsp

* .mbx

* .mdx

* .mht

* .mmf

* .msg

* .nch

* .ods

* .oft

* .php

* .pl

* .sht

* .shtm

* .stm

* .tbb

* .txt

* .uin

* .wab

* .wsh

* .xls

* .xml

7

. 使用自身的 SMTP 引擎传送电子邮件到任何找到的地址。

受感染的电子邮件可能具有下列特征:

寄件者:<已伪装>

主旨: <无>

内文: New price

附件:(以下其中之一)

* 08_price.zip

* new__price.zip

* new_price.zip

* newprice.zip

* price.zip

* price2.zip

* price_08.zip

* price_new.zip

8. 并虫将不会将本身寄至包含下列字符的电子邮件地址:

* @avp.

* @foo

* @iana

* @messagelab

* @microsoft

* abuse

* admin

* anyone@

* bsd

* bugs@

* cafee

* certific

* contract@

* feste

* free-av

* f-secur

* gold-certs@

* google

* help@

* icrosoft

* info@

* kasp

* linux

* listserv

* local

* news

* nobody@

* noone@

* noreply

* ntivi

* panda

* pgp

* postmaster@

* rating@

* root@

* samples

* sopho

* spam

* support

* unix

* update

* winrar

* winzip

9.

在 UDP与TCP 埠号 80 上开启后门,这使得受感染的计算机成为电子邮件的转信主机。

10. 建立下列注册表键:

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Ru1n

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

使用杀毒工具杀毒

赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.AO@mm 的工具。这是消除此威胁的最简便方法。单击此处可获取该工具。

当然，您也可以按照以下指示自己手动杀毒。

手动杀毒

以下指导适用于最新和最近的所有 Symantec 防病毒产品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品）。

1. 禁用系统还原 (Windows Me/XP)。

2. 更新病毒定义。

3. 以安全模式或 VGA 模式重新启动计算机。

4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.AB@mm 的文件。

5. 删除添加到注册表的值。

6. 手动删除下列文件：

o %system%\\sysxp.exeopenopenopen

o %system%\\sysxp.exeopenopenopen

指导

有关每个步骤的详细信息，请参阅以下指导。

1. 禁用系统还原 (Windows Me/XP)

如果正在运行 Windows Me 或 Windows XP，建议您暂时关闭系统还原功能。 此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows Me/XP 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。 因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。 这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描也可能在 System Restore 文件夹中检测到威胁，即使您已清除该威胁。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

* "如何禁用或启用 Windows Me 系统还原

* "如何关闭或打开 Windows XP 系统还原”

注意：当您完全完成杀毒步骤，并确定威胁已清除后，按照上述文档中的指导重新启用系统还原。

有关其他信息以及禁用 Windows Me 系统还原功能的其他方法，请参阅 Microsoft 知识库文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。

2. 更新病毒定义

Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。 可以通过两种方式获得最新的病毒定义：

* 运行 LiveUpdate，这是获得病毒定义最简单的方法：如果未遇重大病毒爆发情况，这些病毒定义会每周在 LiveUpdate 服务器上发布一次（一般为星期三）。 要确定是否可通过 LiveUpdate 获得用于该威胁的定义，请参考病毒定义 (LiveUpdate)。

* 使用智能更新程序下载定义：“智能更新程序”病毒定义在美国工作日发布（周一至周五）。 您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。 要确定是否可通过智能更新程序获得用于该威胁的定义，请参考病毒定义（智能更新程序）。

可以从 http://securityresponse.symantec.com/avcenter/defs.download.html 获得智能更新程序病毒定义。有关详细指导，请阅读文档：如何使用智能更新程序更新病毒定义文件。

3. 以安全模式或 VGA 模式重新启动计算机

关闭计算机，关掉电源。 至少等候 30 秒，然后以安全模式或 VGA 模式重新启动计算机。

* 对于 Windows 95、98、Me、2000 或 XP 用户，请以安全模式重新启动计算机。 有关指导，请参阅文档：如何以安全模式启动计算机。

* 对于 Windows NT 4 用户，请以 VGA 模式重新启动计算机。

4. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

* 对于 Norton AntiVirus 单机版产品：请参阅文档：如何配置 Norton AntiVirus 以扫描所有文件。

* 对于 Symantec AntiVirus 企业版产品：请参阅文档：如何确定 Symantec 企业版防病毒产品是否设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果有任何文件被检测为 W32.Beagle.AB@mm，则单击“删除”。

4. 导航到%System%文件夹并删除sysxp.exeopenopenopen。

注意：如果您的 Symantec 防病毒产品报告无法删除受感染文件，Windows 可能在使用该文件。 要解决该问题，请在安全模式下运行扫描。 有关指导，请参阅文档：如何以安全模式启动计算机。以安全模式重启后，在此运行扫描。

（在文件被删除后，可以不离开安全模式并继续执行部分4。完成后，在将以正常模式重新启动计算机。）

5. 从注册表删除值

警告

：Symantec 强烈建议在进行任何更改前先备份注册表。 错误地更改注册表可能导致数据永久丢失或文件损坏。 应只修改指定的键。 有关指导，请参阅文档：如何备份 Windows 注册表。

1. 单击“开始”>“运行”。

2. 键入 regedit

然后单击“确定”。

3. 导航至键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除值：

"win_upd2.exe" = "%System%\\WINdirect.exe"

"erthgdr" = "%System%\\windll.exe"

5. 导航至键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion

6. 删除右边窗格中的子键Ru1n

7. 退出注册表编辑器。