相关资料

解决方案:

相关资料

病毒信息：

病毒名称: Worm.Beagle.z

中文名称: 恶鹰变种Z

威胁级别: 3A

病毒别名: I-Worm.Bagle.z [Kaspersky]

WORM_BAGLE.Z [Trend]

W32/Bagle.aa@MM [McAfee]

W32/Bagle-AA [Sophos]

Win32.Bagle.X [Computer Associates]

病毒类型: 蠕虫、后门

受影响系统:Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT,

Windows Server 2003, Windows XP

破坏方式：

· 利用自带的SMTP发信引擎疯狂发送病毒邮件，堵塞网络，导致邮件服务器不稳定；

· 利用点对点共享软件进行传播；

· 中止大量反病毒软件和个人防火墙，降低系统安全性。

发作现象:

病毒运行时会弹出《如图》对话框：

· 技术特点：

A、通过打开下列互斥体，使内存只有一个病毒进程

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D

\\'D\\'r\\'o\\'p\\'p\\'e\\'d\\'S\\'k\\'y\\'N\\'e\\'t\\'

_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_

[SkyNet，cz]SystemsMutex

AdmSkynetJklS003

____--->>>>U<<<<--____

_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

B、删除下列键值：

HKEY_LOCAL_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run

HKEY_CURRENT_USER\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run

"My AV"

"Zone Labs Client Ex"

"9XHtProtect"

"Antivirus"

"Special Firewall Service"

"service"

"Tiny AV"

"ICQNet"

"HtProtect"

"NetDy"

"Jammer2nd"

"FirewallSvr"

"MsInfo"

"SysMonXP"

"EasyAV"

"PandaAVEngine"

"Norton Antivirus AV"

"KasperskyAVEng"

"SkynetsRevenge"

"ICQ Net"

以上键值为NETSKY病毒添加的

C、拷贝自身到

%System%\\\\Drvddll.exe.

%System%\\\\Drvddll.exeopen

%System%\\\\Drvddll.exeopenopen

D、如果系统时间是2005年2月25以后，蠕虫将会删除自身。

E、添加下列键值：

HKEY_CURRENT_USER\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run

"Drvddll_exe"="%system%\\\\drvddll.exe"

F、在tcp2535端口开设后门，可以让攻击者上传并执行病毒。

G、拷贝自身到局域网共享目录，名字如下：

Microsoft Office 2003 Crack, Working!.exe

Microsoft Windows XP, WinXP Crack, working Keygen.exe

Microsoft Office XP working Crack, Keygen.exe

Porno, sex, oral, anal cool, awesome!!.exe

Porno Screensaver.scr

Serials.txt.exe

KAV 5.0

Kaspersky Antivirus 5.0

Porno pics arhive, xxx.exe

Windows Sourcecode update.doc.exe

Ahead Nero 7.exe

Windown Longhorn Beta Leak.exe

Opera 8 New!.exe

XXX hardcore images.exe

WinAmp 6 New!.exe

WinAmp 5 Pro Keygen Crack Update.exe

Adobe Photoshop 9 full.exe

Matrix 3 Revolution English Subtitles.exe

ACDSee 9.exe

H、中止大量反病毒软件和网络防火墙软件

I、搜索本地扩展名为下列的文件获得邮件地址：

.wab .txt .msg .htm .shtm .stm .xml .dbx .mbx .mdx .eml .nch .mmf .ods .cfg .asp

.php .pl .wsh .adb .tbb .sht .xls .oft .uin .cgi .mht .dhtm .jsp

J、使用自带的SMTP发送引擎发送病毒邮件，以下是邮件特片：

发件人：<欺骗性的>

主题： <以下的字符串之一>

Re: Msg reply

Re: Hello

Re: Yahoo!

Re: Thank you!

Re: Thanks :)

RE: Text message

Re: Document

Incoming message

Re: Incoming Message

RE: Incoming Msg

RE: Message Notify

Notification

Changes..

New changes

Hidden message

Fax Message Received

Protected message

RE: Protected message

Forum notify

Site changes

Re: Hi

Encrypted document

内容：

For security reasons attached file is password protected. The password is

For security purposes the attached file is password protected. Password --

Note: Use password

Attached file is protected with the password for security reasons. Password is

In order to read the attach you have to use the following password:

Archive password:

Password

Password:

followed by a copy of the image file dropped as drvddll.exeopenopen.

If the attachment is not a .zip file, the Body will be blank.

附件名称：

Information

Details

text_document

Readme

Document

Info

the_message

Details

MoreInfo

Message

You_will_answer_to_me

Half_Live

Counter_strike

Loves_money

the_message

Alive_condom

Joke

Toy

Nervous_illnesses

Manufacture

You_are_dismissed

Your_complaint

Your_money

Smoke

I_search_for_you

解决方案:

· 请使用金山毒霸2004年04月30日的病毒库可完全处理该病毒；

· 请不要轻易点击陌生人的邮件及下载运行所带附件，在运行可疑附件前最好先用毒霸扫描；

· 手工解决方案：

首先，若系统为WinMe/WinXP，则请先关闭系统还原功能；

（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

对于系统是Windows9x/WinMe：

步骤一，删除病毒主程序

请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为

C:\\\\windows），分别输入以下命令，以便删除病毒程序：

C:\\\\windows\\\\system\\\\>del Drvddll.exe

C:\\\\windows\\\\system\\\\>del Drvddll.exeopen*

完毕后，取出系统软盘，重新引导到Windows系统。

如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

步骤二，清除病毒在注册表里添加的项

打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；

在左边的面板中, 双击（按箭头顺序分别查找，找到后双击）：

HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run

HKEY_USER>.DEFAULT>Software>Microsoft>Windows>CurrentVersion>Run

在右边的面板中, 找到并删除如下项目：

Drvddll.exe = "%System%\\\\Drvddll.exe"

关闭注册表编辑器.

对于系统是Windows NT, Windows 2000, Windows XP, Windows 2003 Sever：

步骤一，使用进程序管里器结束病毒进程

右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务　管理器中，单击“进程”标签，在例表栏内找到病毒进程“Drvddll.exe”，单击“结束进

程按钮”点击“是”，结束病毒进程，然后关闭“Windows任务管理器” ；

步骤二，查找并删除病毒程序

通过“我的电脑”或“资源管理器”进入系统目录(Winnt或windows)，再进入system32目录，

找到文件“Drvddll.exe”，将它删除。注意清空回收站内的内容；

步骤三，清除病毒在注册表里添加的项

打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；

在左边的面板中, 双击（按箭头顺序查找，找到后双击）：

HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run

HKEY_USER>.DEFAULT>Software>Microsoft>Windows>CurrentVersion>Run

在右边的面板中, 找到并删除如下项目：

Drvddll.exe = "%System%\\\\Drvddll.exe"

关闭注册表编辑器.