BAT.Mumu.A.Worm 是由批处理文件和实用程序以及名为 Hacktool.Hacline 的入侵工具组成的集合。这些文件的名称和功能可能会改变。 本文中讨论的信息以经过安全响应中心检查的样本为基础。

基本信息

病毒介绍

防护

威胁评估

行为描述

建议

清除(使用专门杀毒工具 手动杀毒)

手动杀毒详细步骤

基本信息

发现： 2003 年 6 月 2 日

更新： 2007 年 2 月 13 日 12:06:51 PM

别名： BAT/Mumu.worm [McAfee], Bat/Mumu-A [Sophos], BAT.Mumu [CA], Worm.Win32.Muma [KAV], BAT_SPYBOT.A [Trend]

类型: Worm

感染长度： various

受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP

BAT.Mumu.A.Worm 是由批处理文件和实用程序以及名为 Hacktool.Hacline 的入侵工具组成的集合。这些文件的名称和功能可能会改变。 本文中讨论的信息以经过安全响应中心检查的样本为基础。

病毒介绍

这种蠕虫将利用 Windows NT、2000 和 XP 系统上的管理共享进行传播。 蠕虫将在 Windows 95/98/Me 系统上执行，但不会破坏这些系统。

注意：BAT.Mumu.A.Worm 检测使用 2003 年 6 月 18 日发布的病毒定义进行了更新，以便检测到与最初发现的文件存在轻微差异的某些样本。

防护

* 病毒定义（每周 LiveUpdate™） 2003 年 6 月 3 日

* 病毒定义（智能更新程序） 2003 年 6 月 3 日

威胁评估

广度

* 广度级别： Low

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Low

* 降低性能： Network copying may cause performance degradation.

分发

* 分发级别： Medium

* 共享驱动器： Copies across administrative shares for which it can determine the password.

BAT.Mumu.A.Worm 是一个大型文件集，这些文件利用彼此通过 Windows NT、2000 和 XP 系统上的管理共享进行传播。所用文件如下所示：

* 10.bat：恶意批处理文件。

* hack.bat：恶意批处理文件。

* hfind.exe：将被检测为 Hacktool.Hacline 的入侵工具。

* ipc.bat：恶意批处理文件。

* muma.bat：恶意批处理文件。

* near.bat：恶意批处理文件。

* ntservice.bat：恶意批处理文件，它将停止“应用程序”服务，使用 -install 参数运行 ntservice.exe，然后启动“应用程序”服务。

* ntservice.exe：用 UPX 打包的可执行文件，它将创建 NTService.ini 中描述的服务。

* NTService.ini：名为“应用程序”的服务的信息，它将运行 cmd.exe /c ss.bat。

* nwiz.exe：来自 nVidia 的合法程序。

* nwiz.in_：配置文件。

* nwiz.ini：配置文件。

* ipcpass.txt：文本文件。

* tihuan.txt：文本文件。

* rep.exe：用于替换字符串的合法实用程序。

* psexec.exe：来自 Sysinternals 的合法实用程序，可以远程启动进程。

* random.bat：恶意批处理文件。

* replace.bat：恶意批处理文件。

* ss.bat：批处理文件，它将创建 admin 用户，并在远程计算机上运行 psexec。

* start.bat：恶意批处理文件。

* pcmsg.dll：来自 pcGhost 实用程序的合法文件（不要与 Symantec 克隆软件 Ghost 混淆）。

行为描述

执行此蠕虫时，将会执行下列操作：

首先执行 Start.bat。 此文件将调用其他几个文件在系统上执行下列操作：

1. 查找驱动器 C: 到 H: 中位于文件夹 \\MU（包括子文件夹）中的所有文件，然后将它们保存到 LAN.LOG 文件中。如果所列出的任何文件中包含字符串“MU”，都将启动 nwiz.exe。 此过程完成后，将删除 LAN.LOG。

2. 删除文件 ipcfind.txt 并调用入侵工具 Hfind.exe，Norton AntiVirus 将该工具检测为 Hacktool.Hacline。传递给此文件的命令行参数将是一个 IP 地址范围。 该范围将以 IP 地址的前两个八位字节（随机排列）开头，后跟 .0.1，结尾同样为 IP 地址的前两个八位字节，但后跟.255.255。

Hfind.exe 将尝试找到管理共享的密码，并将此信息保存到 ipcfind.txt 文件中。该工具将使用下列密码：

password

passwd

admin

pass

123

1234

12345

123456

<blank>

3. 使用 ipcfind.txt 替换 Tihuan.txt 文件。

4. 对于 Hfind.exe 所发现的任何帐户，尝试使用管理共享将所有上述文件复制到 %System% 文件夹中。

注意：%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\\Windows\\System (Windows 95/98/Me)、C:\\Winnt\\System32 (Windows NT/2000) 或 C:\\Windows\\System32 (Windows XP)。

5. 如果文件被成功复制，蠕虫将尝试使用工具 psexec.exe 启动 start.bat。这将有效启动远程计算机上的蠕虫。

6. 蠕虫将在系统上运行 netstat 命令。 然后，它将尝试调用批处理文件 Near.bat，并为其提供 IP 地址。

7. 在 Windows NT/2000/XP 下，蠕虫将创建一个默认名称为“应用程序”的服务。 此服务将使得在每次启动 Windows 时运行 ss.bat 文件。

8. Ss.bat 创建或修改 admin 帐户，并为其分配密码 KKKKKKK，然后将该帐户添加到 Administrators 组中。

Nwiz.ini 和 Nwiz.in_ 文件相同。 它们应该是 nwiz.exe 的配置文件。但是，这两个文件包含几个被普通加密的字符串。

解密后的文件中包含登录到电子邮件服务器以及发送电子邮件所需的信息。 由此可以推断，作者可能打算使用这些字符串从受感染系统发送私人信息。 但是，该作者显然是犯了某些逻辑错误，因为此功能未能如愿实现。

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

清除

使用专门杀毒工具

使用 BAT.Mumu.A.Worm 杀毒工具杀毒

Symantec 安全响应中心已经创建了用于杀除 BAT.Mumu.A.Worm 的工具，这是消除此类威胁的最简便方法。

手动杀毒

除了使用杀毒工具，还可以手动消除该威胁。

以下指导适用于所有当前和最新的 Symantec 防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。

1. 禁用系统还原（Windows Me/XP）。

2. 找到并停止进程（如果适用）。

3. 找到并停止服务。

4. 恢复对 admin 帐户的修改。

5. 更新病毒定义。

6. 运行完整的系统扫描，并删除被检测为 BAT.Mumu.A.Worm 或 Hacktool.Hacline 的所有文件。删除上述未被检测出以及不需要的所有其他文件。

手动杀毒详细步骤

有关每个步骤的详细信息，请阅读以下指导。

1. 禁用系统还原（Windows Me/XP）

如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

o 如何禁用或启用 Windows XP 系统还原

o 如何禁用或启用 Windows Me 系统还原

有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。

2. 找到并停止进程（如果适用）

1. 按一次 Ctrl+Alt+Delete。

2. 单击“任务管理器”。

3. 单击“进程”选项卡。

4. 双击“映像名称”列标题，按字母顺序对进程排序。

5. 滚动列表并查找 ntservice.exe。

6. 如果找到该文件，则单击此文件，然后单击“结束进程”。

7. 退出“任务管理器”。

3. 找到并停止服务

1. 单击“开始”，然后单击“运行”。

2. 键入 services.msc，然后单击“确定”。

3. 找到并选择服务“应用程序”。

4. 单击“操作”，然后单击“属性”。

5. 单击“停止”。

6. 将“启动类型”更改为“手动”。

7. 单击“确定”，然后关闭“服务”窗口。

8. 重新启动计算机。

4. 恢复对 admin 帐户的修改

5. 更新病毒定义

Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：

o 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。

o 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从 Symantec 安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。

现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。

6. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

o Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

o 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果检测到任何文件被 BAT.Mumu.A.Worm 或 Hacktool.Hacline 感染，请单击“删除”。

4. 请参阅“详细技术说明”一节，然后使用 Windows Explorer 删除您所找到的所有无恶意的文件。

描述者： Neal Hindocha