基本信息

建议

基本信息

发现： 2000 年 11 月 17 日

更新： 2007 年 2 月 13 日 11:35:53 AM

别名： W95.Hybris.Plugin, W32/Hybris@MM [McAfee], I-Worm.Hybris.dropper [Kaspers, WORM_HYBRIS.DR1 [Trend], Win32.Hybris.dr [Computer Asso

类型: Worm

受感染的系统： Windows 95, Windows 98, Windows Me

W95.HybrisF 是 W95.Hybris.gen 蠕虫下载的加密插件之一。

什么是可移植的可执行(PE) 文件？

PE 文件是能在所有 Microsoft 32 位操作系统间进行移植的文件。同一 PE 格式的文件可以在 Windows 95、98、Me、NT 和 2000 任一版本上执行。因此，所有 PE 文件都是可执行文件，但并非所有可执行文件都是可移植的。

屏幕保护程序 (.scr) 文件就是可移植的可执行文件的一个很好示例。

防护

* 病毒定义（每周 LiveUpdate™） 2000 年 11 月 17 日

* 病毒定义（智能更新程序） 2000 年 11 月 17 日

威胁评估

广度

* 广度级别： Low

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Medium

* 威胁抑制： Moderate

* 清除： Moderate

损坏

* 损坏级别： Low

分发

* 分发级别： High

该插件感染可移植的可执行 (PE) 文件（请参阅下面的“其他信息”）。只有代码部分足够长的 PE 文件才会受到感染。病毒感染插件会挤满源代码区，如果位置合适，还会覆盖该代码区。这种复杂的非启发式感染技术很难修复，但也不是不可能修复。目前 SARC 将该插件检测为 W95.HybrisF。已创建了杀除该插件的杀毒工具。

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

杀除蠕虫：

1. 运行 LiveUpdate，确保您的病毒定义是最新的。

2. 确保 Norton AntiVirus 设置为扫描所有文件。

3. 以安全模式重新启动计算机 (Windows 95/98/Me)。

* Windows 95

1. 退出所有程序，然后关闭计算机。

2. 关闭计算机并等待 30 秒。必须关闭电源才能将病毒从内存中删除。请不要按重置按钮。

3. 打开计算机。出现消息“正在启动 Windows 95”时，按 F8 键。

4. 键入安全模式对应的数字，然后按 Enter 键。

* Windows 98/Me

1. 单击“开始”，然后单击“运行”。

2. 键入 msconfig，然后单击“确定”。出现“系统配置实用程序”对话框。

3. 单击“常规”选项卡，然后单击“高级”。

4. 选中“启用‘启动’菜单”，单击“确定”，然后再次单击“确定”。

5. 退出所有程序，然后关闭计算机。

6. 关闭计算机并等待 30 秒。必须关闭电源才能将病毒从内存中删除。请不要按重置按钮。

7. 打开计算机，然后等待菜单出现。

8. 键入安全模式对应的数字，然后按 Enter 键。

注意：当您完成本文档中的所有步骤后，可以重复步骤 1 至步骤 4。在步骤 4 中，取消选中“启用启动菜单”。当您下次重新启动计算机时，将看不见启动菜单。

4. 运行完整的系统扫描。

o 如果 Norton AntiVirus 检测到 W95.HybrisF，请重新启动进入正常模式，下载并运行 W95.HybrisF 修复工具。此工具将修复被 W95.HybrisF 感染的所有 Windows 可执行文件。

o 如果 Norton AntiVirus 检测到 W95.HybrisF 以外的病毒，请选择修复所有受感染文件。如果 Norton AntiVirus 不能修复这些文件，请选择将其删除。

5. 扫描完成后，重新启动计算机进入正常模式。

描述者： SARC Engineer