Win32.Troj.Beagle.at，电脑病毒，中文名称，恶鹰AT下载木马，该病毒影响系统主要是Win9x和WinNT，该文件的Worm.Beagle.at 将会从网上下载的病毒文件，用户关闭感染机器上程序自动更新进程，并从网上再下载一系列后门文件。

简介

自身复制

在注册表

远程注入

更新进程

下载后门

下载文件

简介

【病毒名称】：Win32.Troj.Beagle.at

【威胁级别】：★★

【病毒类型】：木马

自身复制

1、将自身复制为：

%System%\\widshost.exe

在注册表

2、在注册表

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

添加如下键值

"widshost"="%System%\\widshost.exe"

远程注入

3、远程注入Explorer.exe，如果成功则在进程管理器中消失

更新进程

4、尝试关闭以下程序更新进程：

AVXQUAR.EXE

ESCANHNT.EXE

UPGRADER.EXE

AVXQUAR.EXE

AVWUPD32.EXE

AVPUPD.EXE

CFIAUDIT.EXE

UPDATE.EXE

NUPGRADE.EXE

MCUPDATE.EXE

ATUPDATER.EXE

AUPDATE.EXE

AUTOTRACE.EXE

AUTOUPDATE.EXE

FIREWALL.EXE

ATUPDATER.EXE

LUALL.EXE

DRWEBUPW.EXE

AUTODOWN.EXE

NUPGRADE.EXE

OUTPOST.EXE

ICSSUPPNT.EXE

ICSUPP95.EXE

ESCANH95.EXE

下载后门

5、尝试从以下网站下载后门：

http://www.amanit.ru/***.jpg

http://www.anthonyflanagan.com/***.jpg

http://www.approved1stmortgage.com/***.jpg

http://www.argument.h12.ru/***.jpg

http://www.arkebek.de/***.jpg

http://www.artek.org/***.jpg

http://www.asianfestival.nl/***.jpg

http://www.astergut.at/***.jpg

http://www.aviation-center.de/***.jpg

http://www.bbsh.org/***.jpg

http://www.besino.com/***.jpg

http://www.bestbuy.de/***.jpg

http://www.beta.mtw.ru/***.jpg

http://www.bga-gsm.ru/***.jpg

http://www.blessino.com/***.jpg

http://www.blueeyeinc.com/***.jpg

http://www.breaklight.be/***.jpg

http://www.brzesko.net.pl/***.jpg

http://www.catsystem.com.kg/***.jpg

http://www.cdnpartner.com.pl/***.jpg

http://www.ceskyhosting.cz/***.jpg

http://www.channeland.com/***.jpg

http://www.compsolutionstore.com/***.jpg

http://www.concept.kg/***.jpg

http://www.corpsite.com/***.jpg

http://www.couponcapital.net/***.jpg

http://www.DarrkSydebaby.com/***.jpg

http://www.dehut-westerhoven.nl/***.jpg

http://www.dhl.kg/***.jpg

http://www.dierollendedisco.de/***.jpg

http://www.discobaradventure.be/***.jpg

http://www.e-nfo.com/***.jpg

http://www.e-power.com.cn/***.jpg

http://www.ecobank.kg/***.jpg

http://www.elenalazar.com/***.jpg

http://www.epicbiz.com/***.jpg

http://www.europa.kg/***.jpg

http://www.everett.wednet.edu/***.jpg

http://www.externet.hu/***.jpg

http://www.forester.kg/***.jpg

http://www.fotocliparts.de/***.jpg

http://www.fotonw.org/***.jpg

http://www.freesites.com.br/***.jpg

http://www.funbunker.de/***.jpg

http://www.funworld.tv/***.jpg

http://www.gameser.com@share.gameser.com/***.jpg

http://www.gci-bln.de/***.jpg

http://www.gcnet.ru/***.jpg

http://www.giantrevenue.com/***.jpg

http://www.himpsi.org/***.jpg

http://www.i3dvr.com/***.jpg

http://www.ibigmart.net/***.jpg

http://www.idb-group.net/***.jpg

http://www.illusionoflife.net/***.jpg

http://www.infocuspromo.com/***.jpg

http://www.irinaswelt.de/***.jpg

http://www.jansenboiler.com/***.jpg

http://www.jasnet.pl/***.jpg

http://www.jcribeiro.com/***.jpg

http://www.jewelleryamberproducts.com/***.jpg

http://www.jimvann.com/***.jpg

http://www.jldr.ca/***.jpg

http://www.jordanramey.net/***.jpg

http://www.joy-musik-sound.de/***.jpg

http://www.justrepublicans.com/***.jpg

http://www.katel.kg/***.jpg

http://www.knicks.nl/***.jpg

http://www.koebers.pl/***.jpg

http://www.kogaionon.com/***.jpg

http://www.kplus.kg/***.jpg

http://www.kradtraining.de/***.jpg

http://www.kranenberg.de/***.jpg

http://www.kranenberg.de:113547@/***.jpg

http://www.kstrus.com.pl/***.jpg

http://www.ktsonline.de/***.jpg

http://www.lahelaino.com/***.jpg

http://www.lawform.com.au/***.jpg

http://www.leetexgroup.com/***.jpg

http://www.leshrak.de/***.jpg

http://www.leshrak.de:prophets@/***.jpg

http://www.logoseiten.de/***.jpg

http://www.magicbottle.com.tw/***.jpg

http://www.mcuserver.cz/***.jpg

http://www.mega-spass.com/***.jpg

http://www.mega.kg/***.jpg

http://www.mepbisu.de/***.jpg

http://www.mepmh.de/***.jpg

http://www.mtfdesign.com/***.jpg

http://www.mtransit.kg/***.jpg

http://www.neotech.kg/***.jpg

http://www.nikonfotoshare.com/***.jpg

http://www.novosti.kg/***.jpg

http://www.ok.kg/***.jpg

http://www.onepositiveplace.org/***.jpg

http://www.online.kg/***.jpg

http://www.orangesuburban.5u.com/***.jpg

http://www.otv.ch/***.jpg

http://www.pageantpage.com/***.jpg

http://www.pankration.com/***.jpg

http://www.para-agility.com/***.jpg

http://www.pdxracing.net/***.jpg

http://www.pfadfinder-leobersdorf.com/***.jpg

http://www.pipni.cz/***.jpg

http://www.pjwstk.edu.pl/***.jpg

http://www.polizeimotorrad.de/***.jpg

http://www.proway-consulting.com/***.jpg

http://www.pugetsoundyc.org/***.jpg

http://www.pyrlandia-boogie.pl/***.jpg

http://www.qphoto.co.za/***.jpg

http://www.raecoinc.com/***.jpg

http://www.realgps.com/***.jpg

http://www.realty.kg/***.jpg

http://www.redlightpictures.com/***.jpg

http://www.reliance-yachts.com/***.jpg

http://www.relocationflorida.com/***.jpg

http://www.rentalstation.com/***.jpg

http://www.rieraquadros.com.br/***.jpg

http://www.roaming.kg/***.jpg

http://www.sacohalle.be/***.jpg

http://www.scanex-medical.fi/***.jpg

http://www.scoping4success.com/***.jpg

http://www.sert.ru/***.jpg

http://www.sigi.lu/***.jpg

http://www.spadochron.pl/***.jpg

http://www.ssc.kg/***.jpg

http://www.ssmifc.ca/***.jpg

http://www.stadtmeyers.de/***.jpg

http://www.stadtmeyers.de:R2D2c3po@/***.jpg

http://www.sterlingirb.com/***.jpg

http://www.sunassetholdings.com/***.jpg

http://www.szantomierz.art.pl/***.jpg

http://www.szosa.pl/***.jpg

http://www.tambourenvereine.ch/***.jpg

http://www.tarnow.opoka.org.pl/***.jpg

http://www.tc-muraene.com/***.jpg

http://www.tc-muraene.com:hunter@/***.jpg

http://www.theroyalregistry.com/***.jpg

http://www.transportation.gov.bh/***.jpg

http://www.tumar.kg/***.jpg

http://www.tunguska.hu/***.jpg

http://www.turkeyhomes.com/***.jpg

http://www.turkeyhomes.com@/***.jpg

http://www.ulpiano.org/***.jpg

http://www.unicity.pl/***.jpg

http://www.vbw.info/***.jpg

http://www.velezcourtesymanagement.com/***.jpg

http://www.vorrix.com/***.jpg

http://www.webpark.pl/***.jpg

http://www.wecompete.com/***.jpg

http://www.wp.pl/***.jpg

http://www.wwwebad.com/***.jpg

http://www.xpager321.wz.cz/***.jpg

http://www.yamdiamonds.com/***.jpg

http://www.zander-yachting.com/***.jpg

下载文件

6、下载文件保存在

%SystemRoot%\\File.exe

并执行该文件。