W32.Lirva.C@mm 是2003年1月8日发现的一个病毒。它是一个群发邮件蠕虫，也通过 IRC、ICQ、KaZaA 和开放的网络共享进行传播，是 W32.Lirva.A@mm 的变种。该蠕虫试图终止防病毒和防火墙产品，还将缓存的 Windows 95/98/Me 拨号网络密码通过电子邮件发送给病毒的编写者......

基本信息

病毒描述

防护

威胁评估(广度 损坏 分发)

行为分析

建议

杀毒工具

手动杀毒

详细步骤

基本信息

发现： 2003 年 1 月 8 日

更新： 2007 年 2 月 13 日 11:42:39 AM

别名： Win32.Lirva.B [CA], W32/Avril-B [Sophos], WORM_LIRVA.C [Trend], I-Worm.Avron.b [KAV], W32/Lirva.c@MM [McAfee]

类型: Worm

感染长度： 34,815 bytes

受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP

CVE 参考： CVE-2001-0154

由于提交次数的增加，Symantec 安全响应中心自 2003 年 1 月 10 日起，将此威胁的级别从 2 类提升为 3 类。

病毒描述

该蠕虫连接到 web.host.kz/ 网站，然后下载并执行 BackOrifice。此外，W32.Lirva.C@mm 还尝试下载另一个目前该网站上已不存在的文件。

Microsoft Outlook 收到该蠕虫后，该蠕虫就会利用您在读取或预览电子邮件时允许自动执行附件这一漏洞进行破坏。有关此漏洞的信息和修补程序，请访问：http://www.microsoft.com/technet/security/bulletin/MS01-020.asp。

每月的 7、11 或 24 号，该蠕虫会启动您的 Web 浏览器并访问 www.avril-lavigne.com，同时在 Windows 桌面上显示图形动画。

与许多其他蠕虫一样，该蠕虫利用您在读取或预览电子邮件时允许自动执行附件这一漏洞进行破坏。有关此漏洞的信息和修补程序，请访问：http://www.microsoft.com/technet/security/bulletin/MS01-020.asp。

防护

* 病毒定义（每周 LiveUpdate™） 2003 年 1 月 9 日

* 病毒定义（智能更新程序） 2003 年 1 月 8 日

威胁评估

广度

* 广度级别： Medium

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： High

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Medium

* 有效负载触发器： If the day of the month is the 7th, 11th, or 24th

* 有效负载： Opens a website and displays an image on the Windows desktop.

* 大规模发送电子邮件： Sends email to addresses found by searching the Windows Address Book and files that have the extensions .dbx, .mbx, .wab, .html, .eml, .htm, .tbb, .shtml, .nch, and .idx.

* 泄露机密信息： Emails cached Windows 95/98/Me dial-up networking passwords to the virus writer. Emails random TXT and DOC files to various email addresses.

* 危及安全设置： Attempts to terminate antivirus and firewall products.

分发

* 分发级别： High

* 电子邮件的主题： Various subject lines

* 附件名称： Various attachment names

* 附件大小： 34,815 bytes

* 共享驱动器： Spreads by IRC, ICQ, KaZaA, and open network shares

行为分析

执行 W32.Lirva.C 时，该蠕虫会执行下列操作：

1. 终止具有以下名称的所有进程（单击左边箭头打开程序列表）：

2. 清点所有窗口并终止窗口标题栏包含以下字符串的任何进程：

o virus

o anti

o McAfee

o Virus

o Anti

o AVP

o Norton

3. 将其自身作为隐藏的系统文件复制到：

o %Temporary%\\<随机字符串>

o %Temporary%\\<随机字符串>.tft

o %System%\\<随机字符串>.exe

o %All Drives%\\Recycled\\<随机字符串>.exe

o %Kazaa Downloads%\\<随机字符串>.exe

4. 使用随机文件名将其自身复制到各种不同的文件夹中。

5. 在其自身所在的文件夹中创建以下 HTML 文件：

o Index.html

o Default.html

o Index.htm

o Default.htm

并使用这些文件执行其先前创建的自身的副本。

6. 将值：

Avril Lavigne - Muse

添加到注册表键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

这样，此蠕虫便可在 Windows 启动时运行。

如果操作系统为 Windows NT/2000/XP，则此蠕虫会将其自身注册为服务。

7. 创建注册表键：

HKEY_LOCAL_MACHINE\\Software\\OvG\\Avril Lavigne

及蠕虫用于跟踪其感染过程的各种子键。

8. 在 Windows Temporary 文件夹中创建无恶意的文本文件%Temporary%\\Avril-ii.inf 及其他临时文件。

9. 检查计算机当前是否连接到网络。如果未连接，将尝试使用默认的拨号连接配置文件进行 拨号。

10. 搜索 Windows 地址簿及具有下列扩展名的文件以查找电子邮件地址：.dbx、.mbx、.wab、.html、.eml、.htm、.tbb、.shtml、.nch 和 .idx。然后，发送具有以下特征的电子邮件：

o 主题：主题为下列任意一个：

+ Fw: Redirection error notification

+ Re: Brigada Ocho Free membership

+ Re: According to Purge's Statement

+ Fw: Avril Lavigne - CHART ATTACK!

+ Re: Reply on account for IIS-Security Breach (TFTP)

+ Re: ACTR/ACCELS Transcriptions

+ Re: IREX admits you to take in FSAU 2003

+ Fwd: Re: Have U requested Avril Lavigne bio?

+ Re: Reply on account for IFRAME-Security breach

+ Fwd: Re: Reply on account for Incorrect MIME-header

+ Re: Vote seniors masters - don't miss it!

+ Fwd: RFC-0245 Specification requested...

+ Fwd: RFC-0841 Specification requested...

+ Fw: F. M. Dostoyevsky "Crime and Punishment"

+ Re: Junior Achievement

+ Re: Ha perduto qualque cosa signora?

o 正文：邮件正文为以下任意一个：

+ Network Associates weekly report: Microsoft has identified a security vulnerability in Microsoft IIS 4.0 and 5.0 that is eliminated by a previously-released patch.Customers who have applied that patch are already protected against the vulnerability and do not need to take additional action. to apply the patch immediately.Microsoft strongly urges all customers using IIS 4.0 and 5.0 who have not already done so Patch is also provided to subscribed list of Microsoft Tech Support: Patch: Date

+ Restricted area response team (RART) Attachment you sent to %s is intended to overwrite start address at 0000:HH4F To prevent from the further buffer overflow attacks apply the MSO-patch

+ Avril fans subscription FanList admits you to take in Avril Lavigne 2003 Billboard awards ceremony Vote for I'm with you!Admission form attached below

+ Chart attack active list: Vote fo4r I'm with you!Vote fo4r Sk8er Boi!Vote fo4r Complicated!AVRIL LAVIGNE - THE CHART ATTACK!

+ AVRIL LAVIGNE - THE BEST Avril Lavigne's popularity increases:> SO: First, Vote on TRL for I'm With U!Next, Update your pics database!Chart attack active list .>.>

+ Orginal Message:

o 附件：附件为下列文件之一：

+ Resume.exe

+ ADialer.exe

+ MSO-Patch-0071.exe

+ MSO-Patch-0035.exe

+ Two-Up-Secretly.exe

+ Transcripts.exe

+ Readme.exe

+ AvrilSmiles.exe

+ AvrilLavigne.exe

+ Complicated.exe

+ TrickerTape.exe

+ Singles.exe

+ Sophos.exe

+ Cogito_Ergo_Sum.exe

+ CERT-Vuln-Info.exe

+ Sk8erBoi.exe

+ IAmWiThYoU.exe

+ Phantom.exe

+ EntradoDePer.exe

+ SiamoDiTe.exe

+ BioData.exe

+ ALavigne.exe

+ <random>.TXT

+ <random>.DOC

o 发件人：蠕虫使用受感染计算机的默认 SMTP 服务器，然后将发件人地址或随机选择的电子邮件地址添加到电子邮件的“发件人：”字段中。

11. 搜索 %My Documents% 目录，查找 .TXT 或 .DOC 文件扩展名，并在发送的邮件中附加一个具有该扩展名的文件。

12. 作为电子邮件例程的一部分，该蠕虫以前会创建临时文件%Temporary%\ewBoot.sys，但现在通常会删除该文件。

13. 通过确定 ICQ 程序文件的路径来搜索文件 Icqmapi.dll。如果找到此文件，则将其复制到 \\Windows\\System 文件夹，并将其自身发送给ICQ 联系人列表中的所有联系人。

14. 在 mIRC 程序文件文件夹中创建 Script.ini 文件。该文件将连接到 IRC信道 #avrillavigne，并将其自身发送给其他加入您所加入的信道的用户。

15. 清点所有网络资源，搜索开放的 C 共享。如果找到开放的 C 共享，则将其自身复制到远程系统的 \\Recycled\\<随机字符串>.exe ，并通过添加以下命令行修改该远程系统的 Autoexec.bat 文件以在启动时加载蠕虫：

@win <random string>.exe

16. 将其自身复制到每个本地硬盘驱动器的 \\Recycled\\<随机字符串>.exe，并修改 Autoexec.bat 文件（添加上述行），使蠕虫在 Windows 启动时运行（仅在 Windows 95/98/Me 计算机上）。

17. 使用随机文件名将其自身复制到 KaZaA 下载文件夹中。

18. 连接到 http:/ /web.host.kz/，下载 BackOrifice（被检测为BO.Trojan 的变种），将其保存为 %System%\\Bo2k.exe，然后在注册表键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

下创建注册表值：

SocketListner

19. 连接到 http:/ /web.host.kz/，下载目前不可用的未知可执行文件，然后将该文件保存为 %Temporary%\\uploaded.tft

20. 每月的 7、11 或 24 号，该蠕虫会启动您的 Web 浏览器并访问 www.avril-lavigne.com，同时在 Windows 桌面上显示图形动画。

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

杀毒工具

Symantec 提供了杀除 W32.Lirva.C@mm 的工具。单击此处可获得该工具。这是消除此威胁最简便的方法，应首先尝试此方法。

手动杀毒

以下指导适用于所有当前和最新的 Symantec 防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。

1. 以安全模式重新启动计算机。

2. 删除蠕虫添加到注册表中的值，然后以正常模式重新启动。

3. 更新病毒定义。

4. 运行完整的系统扫描，并删除所有检测为 W32.Lirva.C@mm 的文件。

详细步骤

有关每个步骤的详细信息，请阅读以下指导。

1. 以安全模式重新启动

以安全模式重新启动计算机。除 Windows NT 外，所有的 Windows32 位操作系统均可以安全模式重新启动。有关指导，请参阅文档：

如何以安全模式启动计算机。

2. 从注册表删除值

Symantec 强烈建议在更改注册表之前先进行备份。错误地更改注册表可能导致数据永久丢失或文件损坏。应只修改指定的键。有关指导，请参阅文档：如何备份 Windows 注册表。

1. 单击“开始”，然后单击“运行”。（将出现“运行”对话框。）

2. 键入 regedit，然后单击“确定”。（将打开注册表编辑器。）

3. 导航至以下键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除值：

Avril Lavigne - Muse

5. 退出注册表编辑器。

6. 重新启动计算机并让它以正常模式启动。

3. 更新病毒定义

Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：

* 运行 LiveUpdate，这是获得病毒定义最简便的方法。如果未出现重大的病毒爆发情况，这些病毒定义会在 LiveUpdate 服务器上每周发布一次（一般为星期三）。要确定是否可以通过 LiveUpdate 获得解决该威胁的病毒定义，请见本说明顶部的病毒定义 (LiveUpdate) 部分。

* 使用“智能更新程序”下载病毒定义。“智能更新程序”病毒定义会在美国工作日（周一至周五）发布。您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。要确定是否可以通过智能更新程序获得解决该威胁的病毒定义，请见本说明顶部“防护”部分的病毒定义（智能更新程序）。

智能更新程序病毒定义可从这里获得。若要了解如何从赛门铁克安全响应中心下载和安装智能更新程序病毒定义，请单击这里。

4. 扫描和删除受感染文件

a. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

o Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

o 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

b. 运行完整的系统扫描。

c. 如果有任何文件被检测为感染了 W32.Lirva.C@mm，请单击“删除”。