W32.Netsky.B是一个可以通过群发电子邮件迅速传播的蠕虫病毒。它通过扫描硬盘和映射驱动器搜索扩展名.msg、 .oft、 .sht 、.dbx 、.tbb 、 .asp、.uin、 .rtf 、.vbs 、.txt php、.eml 、 .html、 .htm 、.pl、 .adb、.doc 、.wab的文件来获得邮件地址，并试图使用自己的 SMTP 引擎将自身发送至它在扫描硬盘驱动器和映射驱动器时所发现的邮件地址中。该蠕虫还将搜索从C盘到Z盘驱动器中文件名带有“共享”或包含“共享”信息的文件夹，只要该盘不是光驱它就会将自己复制到这些文件夹中

基本简介

别名

受感染的系统

特征

防护

损坏

分发

注意

建议

手动杀毒

步骤

基本简介

发现： 2004 年 2 月 17 日

更新： 2007 年 2 月 13 日 12:21:38 PM

并会以下列文件形式存在： doom2.doc.pif

sex sex sex sex.doc.exe

rfc compilation.doc.exe

dictionary.doc.exe

win longhorn.doc.exe

e.book.doc.exe

programming basics.doc.exe

how to hack.doc.exe

max payne 2.crack.exe

e-book.archive.doc.exe

virii.scr

nero.7.exe

eminem - lick my pussy.mp3.pif

cool screensaver.scr

serial.txt.exe

office_crack.exe

hardcore porn.jpg.exe

angels.pif

porno.scr

matrix.scr

photoshop 9 crack.exe

strippoker.exe

dolly_buster.jpg.pif

winxp_crack.exe

W32.Netsky.B的病毒特征如下：

别名：W32/Netsky.b@MM [McAfee], W32/Netsky.B.worm [Panda], WORM_NETSKY.B [Trend Micro], Moodown.B [F-Secure], I-Worm.Moodown.b [Kaspersky]

病毒类型：蠕虫

感染长度：22,016字节

受感染系统：Windows 2000, Windows 95, Windows 98, Windows Me, Windows XP

不会受感染系统：Linux, Macintosh, UNIX, Windows 3.x

通过W32.Netsky.B发送的电子邮件具有下列特征：

标题: (为以下其中之一)

hi

hello

read it immediately

something for you

warning

information

stolen

fake

unknown

消息: (为以下其中之一)

anything ok?

what does it mean?

ok

i'm waiting

read the details.

here is the document.

read it immediately!

my hero

here

is that true?

is that your name?

is that your account?

i wait for a reply!

is that from you?

you are a bad writer

I have your password!

something about you!

kill the writer of this document!

i hope it is not true!

your name is wrong

i found this document about you

yes, really?

that is bad

here it is

see you

greetings

stuff about you?

something is going wrong!

information about you

about me

from the chatter

here, the serials

here, the introduction

here, the cheats

that's funny

do you?

reply

take it easy

why?

thats wrong

misc

you earn money

you feel the same

you try to steal

you are bad

something is going wrong

something is fool

附件名称: (为以下其中之一)

document

msg

doc

talk

message

creditcard

details

attachment

me

stuff

posting

textfile

concert

information

note

bill

swimmingpool

product

topseller

ps

shower

aboutyou

nomoney

found

story

mails

website

friend

jokes

location

final

release

dinner

ranking

object

mail2

part2

disco

party

misc

附件扩展 1: (可能将包括其中之一)

.txt

.rtf

.doc

.htm

附件扩展2: (为以下其中之一)

.exe

.scr

.com

.pif

别名

W32.Alua@mm, Win32/Bagle.B.Worm [Computer A, Bagle.B [F-Secure], W32/Bagle.b@MM [McAfee], W32/Bagle.B@mm [Norman], WORM_BAGLE.B [Trend Mirco], W32/Bagle.B.worm [Panda], W32/Tanx-A [Sophos], I-Worm.Bagle.b [Kaspersky]

类型: Worm

感染长度： 11,264 Bytes

受感染的系统

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

W32.Beagle.B@mm 是群发邮件蠕虫，它会在 TCP 端口 8866 上打开后门。该蠕虫利用其自己的 SMTP 引擎进行电子邮件传播，并且能够使用后门正在监听的端口和随机 ID 号与蠕虫的作者联系。

特征

此类电子邮件有以下特征：

发件人：<欺骗性地址>

主题：ID <随机字符>... thanks

附件：<随机字符>.exe

注意：

* 日期为 2 月 17 日 5:20AM PT 的 Beta 版定义 27975 或更高版本可以检测到该威胁。

* 最初的版本可能将该威胁检测为 W32.Alua@mm 或 W32.Aula@mm。

* 赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.B@mm 的工具。单击此处可获取该工具。

可禁止以下域以防止该蠕虫提交任何信息。

防护

* 病毒定义（每周 LiveUpdate™） 2004 年 2 月 17 日

* 病毒定义（智能更新程序） 2004 年 2 月 17 日

威胁评估

广度

* 广度级别： Low

* 感染数量： 50 - 999

* 站点数量： More than 10

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Medium

* 大规模发送电子邮件： Sends itself to email addresses found in files with the following extensions: .wab, .txt, .htm, .html

* 危及安全设置： Allows unauthorized remote access.

分发

* 分发级别： High

* 电子邮件的主题： ID [random characters]... thanks

* 附件名称： [random characters].exe

* 附件大小： 11,264 bytes

* 端口： TCP 80, 8866

W32.Beagle.B@mm运行时会执行下列操作：

1. 检查当地时间。如果当地时间晚于 2004 年 2 月 25 日结束时，则该蠕虫退出。

2. 如果该蠕虫不是从 %system%\\au.exe 执行，则会启动 Windows 声音记录程序 sndrec32.exe。

注意

%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\\Windows\\System (Windows 95/98/Me)、C:\\Winnt\\System32 (Windows NT/2000) 或 C:\\Windows\\System32 (Windows XP)。

3. 如果文件 %System%\\au.exe 不存在，则蠕虫会将其自身复制到该位置。如果该蠕虫将其自身复制到 %System%\\au.exe，它将会启动新建的副本，而终止自身。

4. 将值：

"au.exe"="%System%\\au.exe"

添加到注册表键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

该修改造成该蠕虫在 Windows 启动时执行。

5. 将下列两个值：

"frn" = "0x00000001" or "frn" = "0x00000000"

和

"gid" = "<random value>"

添加到注册表键：HKEY_CURRENT_USER\\SOFTWARE\\Windows2000

作者将插入“gid”键的随机值用作唯一标识符。

6. 在 TCP 端口 8866 上打开后门，使攻击者能够向受感染计算机上载文件。所有上载的文件将保存在 %System% 文件夹中，然后执行。

7. 每 10,000 秒向以下 TCP 端口 80 上的网站发送 HTTP GET 请求：

GET 请求包括受感染计算机在监听的端口号和保存在 Windows 注册表的“gid”键中的 ID 号。而且将通过连接 web 服务器发送该 IP 地址。

8. 扫描本地驱动器上具有以下扩展名的文件以查找电子邮件地址：

* .wab

* .txt

* .htm

* .html

9. 使用它自己的 SMTP 引擎将其自身发送到在上述位置找到的电子邮件地址。该蠕虫包含其自己的 MIME 编码例程，并在内存中编写电子邮件，然后将其发送给找到的所有电子邮件地址。

此类电子邮件有以下特征：

发件人：<欺骗性地址>

主题：ID <随机字符>... thanks

正文：

Yours ID <random characters>

- -

Thank

附件：<随机字符>.exe

该蠕虫将不向包含以下任何字符串的地址发送电子邮件：

* @microsoft

* @avp.

注意：W32.Beagle.B@mm 编写为在 2004 年 2 月25 日结束时停止。

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

使用杀毒工具杀毒

赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.B@mm 的工具。这是消除此威胁的最简便方法。单击此处可获取该工具。

当然，您也可以按照以下指示自己手动杀毒。

手动杀毒

以下指导适用于所有当前和最新的赛门铁克防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。

1. 禁用系统还原 (Windows Me/XP)。

2. 更新病毒定义。

3. 删除添加到注册表的值，重启系统。

4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.B@mm 的文件。

步骤

有关每个步骤的详细信息，请阅读以下指导。

1. 禁用系统还原（Windows Me/XP）

如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

* 如何禁用或启用 Windows XP 系统还原

* 如何禁用或启用 Windows Me 系统还原

注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。

有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。

2. 更新病毒定义

赛门铁克安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：

* 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。

* 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从赛门铁克安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。

现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。

3. 从注册表中删除值

注意：对系统注册表进行任何修改之前，赛门铁克强烈建议您最好先替注册表进行一次备份。对注册表的修改如果有任何差错，严重时将会导致数据遗失或档案受损。只修改指定的注册表键。如需详细指示，请阅读「如何备份 Windows 注册表」文件。

1. 单击“开始”，然后单击“运行”。（将出现“运行”对话框。）

2. 键入 regedit，然后单击“确定”。（将打开注册表编辑器。）

3. 导航至以下键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除值：

"au.exe"="%System%\\au.exe"

5. 导航至以下键：

HKEY_CURRENT_USER\\SOFTWARE

6. 删除以下子键

Windows2000

7. 退出注册表编辑器。

8. 关闭计算机，等待三十秒后重新启动。

4. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

* Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

* 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果检测到任何文件被 W32.Beagle.B@mm 感染，请单击“删除”。