W32.Beagle.W@mm 是一只会大量传送邮件的蠕虫。它会在受感染的计算机上打开后门，以试图透过文件共享网络散布出去。此威胁可能使用 UPX 打包程序进行打包，在病毒代码结尾附加随机生成的数据，所以不具有 MD5 静态散列值。

病毒信息

防护

威胁评估(广度 损坏 分发)

建议

手动杀毒

病毒信息

发现： 2004 年 4 月 26 日更新： 2007 年 2 月 13 日 12:24:12 PM

别名： W32/Bagle.z@MM [McAfee], W32/Bagle-W [Sophos], Win32.Bagle.W [Computer Associ, WORM_BAGLE.X [Trend], I-Worm.Bagle.y [Kaspersky], Bagle.Y [F-Secure]

类型: Worm

感染长度： Between 35 - 40 KB, or 68 - 71 KB

受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

W32.Beagle.W@mm 是一只会大量传送邮件的蠕虫。它会在受感染的计算机上打开后门，以试图透过文件共享网络散布出去。此威胁可能使用 UPX 打包程序进行打包，在病毒代码结尾附加随机生成的数据，所以不具有 MD5 静态散列值。

蠕虫开始运行时，会出现对话框和显示下列消息：

Can't find a viewer associated with the file.

注意：

* 版本 60223g (延伸版本 2/23/2004 rev. 7) 或更新编号的快速发布定义将把该威胁检测为 Bloodhound.Packed。

* Symantec 安全响应中心开发了一种杀毒工具，可用来清除 W32.Beagle.W@mm 感染。

防护

* 病毒定义（每周 LiveUpdate™） 2004 年 4 月 26 日

* 病毒定义（智能更新程序） 2004 年 4 月 26 日

威胁评估

广度

* 广度级别： Low

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Medium

* 大规模发送电子邮件： Emails all the addresses found in the files with certain extensions.

* 危及安全设置： Opens a backdoor on the system.

分发

* 分发级别： High

* 电子邮件的主题： Picked from a pre-defined list.

* 附件名称： Picked from a pre-defined list with a .com, .exe, .hta, .scr, .vbs, or .zip file extension.

* 附件大小： Varies

* 端口： 2535/tcp

W32.Beagle.W@mm 运行时会执行下列操作：

1. 显示下列消息：

2. 如果系统时钟的日期为 2005年1月25日，则蠕虫会从系统中自我删除后退出。

3. 建立下列文件：

* %System%\\drvsys.exe

* %System%\\drvsys.exeopen

* %System%\\drvsys.exeopenopen

注意：%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\\Windows\\System (Windows 95/98/Me)、C:\\Winnt\\System32 (Windows NT/2000) 或 C:\\Windows\\System32 (Windows XP)。

4. 新增下列值：

"drvsys.exe" = "%System%\\drvsys.exe"

加入注册表键：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

5. 在 TCP 埠号 2535 上开启后门，允许未授权访问。

6. 搜索本地磁盘驱动器，在具有以下扩展名的文件中查找电子邮件地址：

* .wab

* .txt

* .msg

* .htm

* .shtm

* .stm

* .xml

* .dbx

* .mbx

* .mdx

* .eml

* .nch

* .mmf

* .ods

* .cfg

* .asp

* .php

* .pl

* .wsh

* .adb

* .tbb

* .sht

* .xls

* .oft

* .uin

* .cgi

* .mht

* .dhtm

* .jsp

7. 将自己传送至所收集的电子邮件地址。

受感染的电子邮件具有下列特征：

发件人：<欺骗性地址，可能是以下其中之一>

* lizie@

* annie@

* ann@

* christina@

* secretGurl@

* jessie@

* christy@

主题：包含以下字符串之一 ( 其中 %s 为人名)：

* Hello!

* Hey!

* Let's socialize, my friend!

* Let's talk, my friend!

* I'm bored with this life

* Notify from a known person ;-)

* I like you

* I just need a friend

* I'm a sad girl...

* Re: Msg reply

* Re: Hello

* Re: Yahoo!

* Re: Thank you!

* Re: Thanks :)

* RE: Text message

* Re: Document

* Incoming message

* Re: Incoming Message

* Re: Incoming Fax

* Hidden message

* Fax Message Received

* Protected message

* RE: Protected message

* Forum notify

* Request response

* Site changes

* Re: Hi

* Encrypted document

* Hello %s,

* Dear %s,

* Dear %s, It's me ;-)

* Hi %s,

* Hey %s, It's me ->

* Hi<!--%s-->, It's me

* %s,

* Hey %s,

* Hey<!--%s-->,

* Hello<!--%s-->,

* Hi<!--%s-->,

* I Like You!

* Don't you remember me?

* Kewl :-)

* I need a friend...

* I just want to talk with someone...

* I like reading the books and socializing, let me talk with you...

* It's time to find a friend!

* Ready to accept a new friend? :-)

* Like me, odore me! ;-)

内文：(由以下三部分中各取一字符串的组合)

部分 1：

* I study at school, I like to spend time cheerfully even if not all so well, I hompe and trust, that all bad when nibud will pass and necessarily nastanet there would be a desire.

* I like to feel protected, to understand, that near to me the man, which both in sex, and in life knows what to do. It is possible to fall in love with such the man for ever.

* Cometime I write a poem, play the gitar. I love a traveling, I like a romantice and I want to meet, comeday, my big love!

* I am kind, fair, careful, gentle also want to create family. I love animal (cats, dogs), the literature, theatre, cinema, music, walks in park

* I very much love productive leisure, to prepare for new exotic dishes, at leisure to leave with friends on the nature, to float, I like to go for a drive on mountain skiing, to visit excursions, travel. Very easy going.

* I have recently got demobilize from army and also I am going to act in a higher educational institution

* Searching for the right person,for real man, who will really cares and love me.

* I am a honest, kind,loving,with good sense of humor...etc.,looking for true love... or maybe for pen friend.I like cats

* I am looking for a serious relationship. I am NOT interested in flirt and short-term love adventure.

* I love, as the good company, and I dream about romantic appointment at candles with loved. I still believe in love.

* I like an active life... and interesting people..

* i am honest, responsible, romantic person. iwould like to find my only love,to find my destiny.

* I'm a young lady of 20 years old i'd like to find my second part!!!

* I am simple girl who are looking for serious relation with responsible and confident man. I am ready to give all my love and carering for a right person who is going to love and respect me

* I am a beautiful, sexual girl with very big ambitions and dreams. I can make happy anyone man...

* I am a student. I'm studying international relationships. I would like to find an interesting and active man for serious relations. Sitting at home it is not for me. I like to go out to the theater, cinema, and nightclubs.

* I love productive leisure, to travel, communicate with friends.

* I very much love new acquaintances, I love music, meetings with friends. I go on night clubs, except for parties I sometimes visit theatres and I love cinema. In general I only shall be glad to new acquaintance and class dialogue...

* I'm so bored, let me talk with you...

* You are my prince :-)

* You are cool :-)

部分 2：

* Read the attach.

* Your file is attached.

* More info is in attach

* See attach.

* Please, have a look at the attached file.

* See the attached file for details.

* Message is in attach

* Here is the file.

* For more information see the attached file.

* Attached file will tell you everything.

* For details see the attach.

* Attached file tells everything.

* Further details are in attach.

部分 3：<名称> 为姓名。

* Sincerely, <名称>

* Best wishes, <名称>

* Yours, <名称>

* Have a good day, <名称>

* Cheers, <名称>

* Kind regards, <名称>

如果附件是使用密码保护的 .zip文件，则会添加以下字符串之一：

* For security reasons attached file is password protected. The password is [reference to image file]

* For security purposes the attached file is password protected. Password -- [reference to image file]

* Note: Use password [reference to image file] to open archive.

* Attached file is protected with the password for security reasons. Password is [reference to image file]

* In order to read the attach you have to use the following password: [reference to image file]

* Archive password: [reference to image file]

* Password - [reference to image file]

* Password: [reference to image file]

附件：(下列字符串之一)：

* Information

* Details

* Readme

* Document

* Info

* Details

* MoreInfo

* Message

后面接着以下扩展名之一：

* .exe

* .com

* .scr

如果附件是使用密码保护的 .zip文件，则扩展名会是 .zip 文件。

8. 藉由将自身安装到名称含有 shar 的文件夹中。 蠕虫会使用下列档名：

* Microsoft Office 2003 Crack, Working!.exe

* Microsoft Windows XP, WinXP Crack, working Keygen.exe

* Microsoft Office XP working Crack, Keygen.exe

* Porno, sex, oral, anal cool, awesome!!.exe

* Porno Screensaver.scr

* Serials.txt.exe

* KAV 5.0

* Kaspersky Antivirus 5.0

* Porno pics arhive, xxx.exe

* Windows Sourcecode update.doc.exe

* Ahead Nero 7.exe

* Windown Longhorn Beta Leak.exe

* Opera 8 New!.exe

* XXX hardcore images.exe

* WinAmp 6 New!.exe

* WinAmp 5 Pro Keygen Crack Update.exe

* Adobe Photoshop 9 full.exe

* Matrix 3 Revolution English Subtitles.exe

9. 尝试联系下列其中一个网域的 .php 脚本：

* http:/ /www.spiegel.de

* http:/ /www.leipziger-messe.de

* http:/ /www.mobile.de

* http:/ /www.neformal.de

* http:/ /www.avh.de

* http:/ /www.goethe.de

* http:/ /www.degruyter.de

* http:/ /www.heise.de

* http:/ /www.autoscout24.de

* http:/ /www.russische-botschaft.de

* http:/ /www.bmbf.de

* http:/ /www.berlinale.de

* http:/ /www.hamann-motorsport.de

* http:/ /Spaceclub.de

* http:/ /www.fracht-24.de

* http:/ /www.loveparade.de

* http:/ /www.dalnoboyshik.de

* http:/ /www.deutschland.de

* http:/ /www.ac-schnitzer.de

* http:/ /abakan.strana.de

* http:/ /www.emis.de

* http:/ /www.dwd.de

* http:/ /www.ifdesign.de

* http:/ /www.beckers-systems.de

* http:/ /www.pri-wo-hamburg.de

* http:/ /virtualzone.de

* http:/ /www.mitsumi.de

* http:/ /www.fu-berlin.de

* http:/ /www.nabu.de

* http:/ /www.tekeli.de

* http:/ /www.welt.de

* http:/ /www.gospel-nations.de

* http:/ /www.neznakomez.de

* http:/ /www.tecchannel.de

* http:/ /www.php-resource.de

* http:/ /www.windac.de

* http:/ /www.gsi.de

* http:/ /www.turism.de

* http:/ /jakimov.golos.de

* http:/ /www.www.mirko-becker.gmxhome.de

* http:/ /vg.xtonne.de

* http:/ /www.go-amman.de

* http:/ /3treepoint.com

* http:/ /www.restarted-alliance.de

* http:/ /2udar.ligakvn.de

* http:/ /www.sprach-zertifikat.de

* http:/ /www.dfg.de

* http:/ /www.kliniken.de

* http:/ /www.winfuture.de

* http:/ /www.hamburg.de

* http:/ /www.auma.de

* http:/ /www.teac.de

* http:/ /www.eumetsat.de

* http:/ /www.documenta.de

* http:/ /hardvision.ru

* http:/ /www.bruecke-osteuropa.de

* http:/ /www.mk-motorsport.de

* http:/ /www.bundesregierung.de

* http:/ /ditec.um.es

* http:/ /www.insel-ruegen-hotel.de

* http:/ /www.tib.uni-hannover.de

* http:/ /www.chugai.de

* http:/ /www.blauer-engel.de

* http:/ /www.partner-inform.de

* http:/ /250x.com

* http:/ /villakinderbunt.de

* http:/ /s318.evanzo-server.de

* http:/ /andimeisslein.de

* http:/ /tobimayer.de

* http:/ /markusgimenez.de

* http:/ /www.fiz-karlsruhe.de

* http:/ /www.gdch.de

* http:/ /www.intermatgmbh.de

* http:/ /www.hotel-pension-spree.de

* http:/ /vg.xtonne.de

* http:/ /www.low-spirit.de

* http:/ /www.red-dot.de

* http:/ /www.fernuni-hagen.de

* http:/ /www.ruletka.de

* http:/ /www.deutsch-als-fremdsprache.de

* http:/ /www.uni-oldenburg.de

* http:/ /fotos.schneider.bards.de

* http:/ /www.deutsches-museum.de

* http:/ /www.de-bug.de

* http:/ /www.uni-stuttgart.de

* http:/ /www.embl-heidelberg.de

* http:/ /www.mdz-moskau.de

* http:/ /www.mitsubishi-evs.de

* http:/ /www.siegenia-aubi.com

* http:/ /www.cicv.fr

* http:/ /www.paromi.de

* http:/ /www.jura.uni-sb.de

* http:/ /www.exactaudiocopy.de

10. 尝试终止以下进程：

* NMAIN.EXE

* NORTON_INTERNET_SECU_3.0_407.EXE

* NPF40_TW_98_NT_ME_2K.EXE

* NPFMESSENGER.EXE

* NPROTECT.EXE

* NSCHED32.EXE

* NTVDM.EXE

* NVARCH16.EXE

* KERIO-WRP-421-EN-WIN.EXE

* KILLPROCESSSETUP161.EXE

* LDPRO.EXE

* LOCALNET.EXE

* LOCKDOWN.EXE

* LOCKDOWN2000.EXE

* LSETUP.EXE

* CLEANPC.EXE

* AVprotect9x.exe

* CMGRDIAN.EXE

* CMON016.EXE

* CPF9X206.EXE

* CPFNT206.EXE

* CV.EXE

* CWNB181.EXE

* CWNTDWMO.EXE

* ICSSUPPNT.EXE

* DEFWATCH.EXE

* DEPUTY.EXE

* DPF.EXE

* DPFSETUP.EXE

* DRWATSON.EXE

* ENT.EXE

* ESCANH95.EXE

* AVXQUAR.EXE

* ESCANHNT.EXE

* ESCANV95.EXE

* AVPUPD.EXE

* EXANTIVIRUS-CNET.EXE

* FAST.EXE

* FIREWALL.EXE

* FLOWPROTECTOR.EXE

* FP-WIN_TRIAL.EXE

* FRW.EXE

* FSAV.EXE

* AUTODOWN.EXE

* FSAV530STBYB.EXE

* FSAV530WTBYB.EXE

* FSAV95.EXE

* GBMENU.EXE

* GBPOLL.EXE

* GUARD.EXE

* GUARDDOG.EXE

* HACKTRACERSETUP.EXE

* HTLOG.EXE

* HWPE.EXE

* IAMAPP.EXE

* IAMAPP.EXE

* IAMSERV.EXE

* ICLOAD95.EXE

* ICLOADNT.EXE

* ICMON.EXE

* ICSUPP95.EXE

* ICSUPPNT.EXE

* IFW2000.EXE

* IPARMOR.EXE

* IRIS.EXE

* JAMMER.EXE

* ATUPDATER.EXE

* AUPDATE.EXE

* KAVLITE40ENG.EXE

* KAVPERS40ENG.EXE

* KERIO-PF-213-EN-WIN.EXE

* KERIO-WRL-421-EN-WIN.EXE

* BORG2.EXE

* BS120.EXE

* CDP.EXE

* CFGWIZ.EXE

* CFIADMIN.EXE

* CFIAUDIT.EXE

* AUTOUPDATE.EXE

* CFINET.EXE

* NAVAPW32.EXE

* NAVDX.EXE

* NAVSTUB.EXE

* NAVW32.EXE

* NC2000.EXE

* NCINST4.EXE

* AUTOTRACE.EXE

* NDD32.EXE

* NEOMONITOR.EXE

* NETARMOR.EXE

* NETINFO.EXE

* NETMON.EXE

* NETSCANPRO.EXE

* NETSPYHUNTER-1.2.EXE

* NETSTAT.EXE

* NISSERV.EXE

* NISUM.EXE

* CFIAUDIT.EXE

* LUCOMSERVER.EXE

* AGENTSVR.EXE

* ANTI-TROJAN.EXE

* ANTI-TROJAN.EXE

* ANTIVIRUS.EXE

* ANTS.EXE

* APIMONITOR.EXE

* APLICA32.EXE

* APVXDWIN.EXE

* ATCON.EXE

* ATGUARD.EXE

* ATRO55EN.EXE

* ATWATCH.EXE

* AVCONSOL.EXE

* AVGSERV9.EXE

* AVSYNMGR.EXE

* BD_PROFESSIONAL.EXE

* BIDEF.EXE

* BIDSERVER.EXE

* BIPCP.EXE

* BIPCPEVALSETUP.EXE

* BISP.EXE

* BLACKD.EXE

* BLACKICE.EXE

* BOOTWARN.EXE

* NWINST4.EXE

* NWTOOL16.EXE

* OSTRONET.EXE

* OUTPOSTINSTALL.EXE

* OUTPOSTPROINSTALL.EXE

* PADMIN.EXE

* PANIXK.EXE

* PAVPROXY.EXE

* DRWEBUPW.EXE

* PCC2002S902.EXE

* PCC2K_76_1436.EXE

* PCCIOMON.EXE

* PCDSETUP.EXE

* PCFWALLICON.EXE

* PCFWALLICON.EXE

* PCIP10117_0.EXE

* PDSETUP.EXE

* PERISCOPE.EXE

* PERSFW.EXE

* PF2.EXE

* AVLTMAIN.EXE

* PFWADMIN.EXE

* PINGSCAN.EXE

* PLATIN.EXE

* POPROXY.EXE

* POPSCAN.EXE

* EXE

* TDS2-NT.EXE

* TDS-3.EXE

* TFAK5.EXE

* TGBOB.EXE

* TITANIN.EXE

* TITANINXP.EXE

* TRACERT.EXE

* TRJSCAN.EXE

* TRJSETUP.EXE

* TROJANTRAP3.EXE

* UNDOBOOT.EXE

* VBCMSERV.EXE

* VBCONS.EXE

* VBUST.EXE

* VBWIN9X.EXE

* VBWINNTW.EXE

* VCSETUP.EXE

* VFSETUP.EXE

* VIRUSMDPERSONALFIREWALL.EXE

* VNLAN300.EXE

* VNPC3000.EXE

* VPC42.EXE

* VPFW30S.EXE

* VPTRAY.EXE

* VSCENU6.02D30.EXE

* VSECOMR.EXE

* VSHWIN32.EXE

* VSISETUP.EXE

* VSMAIN.EXE

* VSMON.EXE

* VSSTAT.EXE

* VSWIN9XE.EXE

* VSWINNTSE.EXE

* VSWINPERSE.EXE

* W32DSM89.EXE

* W9X.EXE

* WATCHDOG.EXE

* WEBSCANX.EXE

* CFIAUDIT.EXE

* CFINET.EXE

* ICSUPP95.EXE

* MCUPDATE.EXE

* CFINET32.EXE

* CLEAN.EXE

* CLEANER.EXE

* LUINIT.EXE

* MCAGENT.EXE

* MCUPDATE.EXE

* MFW2EN.EXE

* MFWENG3.02D30.EXE

* MGUI.EXE

* MINILOG.EXE

* MOOLIVE.EXE

* MRFLUX.EXE

* MSCONFIG.EXE

* MSINFO32.EXE

* MSSMMC32.EXE

* MU0311AD.EXE

* NAV80TRY.EXE

* ZAUINST.EXE

* ZONALM2601.EXE

* ZONEALARM.EXE

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

使用 W32.Bealge@mm 杀毒工具杀毒

赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.W@mm 的杀毒工具。这是消除此威胁的最简便方法。

手动杀毒

以下指导适用于所有当前和最新的赛门铁克防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。

1. 关闭「系统还原」(Windows Me/XP)。

2. 更新病毒定义。

3. 将计算机重启到安全模式或者 VGA 模式。

4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.W@mm 的文件。

5. 恢复注册表的值。

有关每个步骤的详细信息，请阅读以下指导。

1. 禁用系统还原（Windows Me/XP）

如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

* 如何禁用或启用 Windows XP 系统还原

* 如何禁用或启用 Windows Me 系统还原

注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。

有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。

2. 更新病毒定义

赛门铁克安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：

* 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。

* 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从赛门铁克安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。

现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。

3. 将计算机重启到安全模式或者 VGA 模式

请关闭计算机，等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式

* Windows 95/98/Me/2000/XP 用户：将计算机重启到安全模式。所有 Windows 32-bit 操作系统，除了Windows NT，可以被重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。

* Windows NT 4 用户：将计算机重启到 VGA 模式。

4. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

* Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

* 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果检测到任何文件被 W32.Beagle.W@mm 感染，请单击“删除”。

5. 恢复注册表中的值

注意：对系统注册表进行任何修改之前，赛门铁克强烈建议您最好先替注册表进行一次备份。对注册表的修改如果有任何差错，严重时将会导致数据遗失或档案受损。只修改指定的注册表键。如需详细指示，请阅读「如何备份 Windows 注册表」文件。

1. 单击“开始”，然后单击“运行”。（将出现“运行”对话框。）

2. 键入 regedit 然后单击“确定”。（将打开注册表编辑器。）

3. 导航至以下键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除值：

"drvsys.exe" = "%System%\\drvsys.exe"

5. 退出注册表编辑器。

6. 以正常模式重新启动计算机。更多信息请参阅文档 如何以安全模式启动计算机 内如何以正常模式重新启动计算机一节。

描述者： Neal Hindocha