)W32.Beagle.AZ@mm
发现： 2005 年 1 月 26 日
更新： 2007 年 2 月 13 日 12:32:49 PM
别名： Win32.Bagle.AU 【Computer Assoc, Email-Worm.Win32.Bagle.ay 【Kas, W32/Bagle.bk@MM 【McAfee】, W32/Bagle-BK 【Sophos】, WORM_BAGLE.AZ 【Trend Micro】
类型:Worm
感染长度： 19,810 bytes
受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
W32.Beagle.AZ@mm 是一种会寄发大量邮件的蠕虫，它会藉由档案共享网络传播. 电子邮件将会有不同主旨与附件名称. 附件会有.com, .cpl, .exe, 或 .scr等扩展名
注意: 病毒定义文件70126ax或更新的版本将可以自动侦测到此威胁.
防护
* 病毒定义（每周 LiveUpdate™） 2005 年 1 月 26 日
* 病毒定义（智能更新程序） 2005 年 1 月 26 日
威胁评估
广度
* 广度级别： Low
* 感染数量： More than 1000
* 站点数量： More than 10
* 地理位置分布： Low
* 威胁抑制： Easy
* 清除： Moderate
损坏
* 损坏级别： Medium
* 有效负载： Downloads a remote file.
* 大规模发送电子邮件： Sends email to addresses collected from the compromised computer.
* 危及安全设置： Lowers security settings by ending security-related processes.
分发
* 分发级别： High
* 电子邮件的主题： Varies
* 附件名称： Varies with .com, .cpl, .exe, or .scr file extension
* 附件大小： Varies
当 W32.Beagle.AZ@mm 执行时,它会执行下列动作:
1. 将值：
"My AV"
"ICQ Net"
由下列注册表键删除：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
这样，该蠕虫的放置程序便可在 Windows启动时运行。
2. 建立档案:
* %System%\sysformat.exe
* %System%\sysformat.exeopen
* %System%\sysformat.exeopenopen
注意：%Windir% 是一个变量。 蠕虫会找到 System 文件夹，并将自身复制到其中。 默认情况下，此文件夹为 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), 或 C:\Windows\System32 (Windows XP).
3. 将值：
"sysformat" = "%System%\sysformat.exe"
添加到注册表键：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
4. 将值：
"riga" = "【Binary data】"
添加到注册表键：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Params
5. 终止下列与安全程序有关的程序:
* APVXDWIN.EXE
* ATUPDATER.EXE
* AUPDATE.EXE
* AUTODOWN.EXE
* AUTOTRACE.EXE
* AUTOUPDATE.EXE
* Avconsol.exe
* AVENGINE.EXE
* AVPUPD.EXE
* Avsynmgr.exe
* AVWUPD32.EXE
* AVXQUAR.EXE
* bawindo.exe
* blackd.exe
* ccApp.exe
* ccEvtMgr.exe
* ccProxy.exe
* ccPxySvc.exe
* CFIAUDIT.EXE
* DefWatch.exe
* DRWEBUPW.EXE
* ESCANH95.EXE
* ESCANHNT.EXE
* FIREWALL.EXE
* FrameworkService.exe
* ICSSUPPNT.EXE
* ICSUPP95.EXE
* LUALL.EXE
* LUCOMS~1.EXE
* mcagent.exe
* mcshield.exe
* MCUPDATE.EXE
* mcvsescn.exe
* mcvsrte.exe
* mcvsshld.exe
* navapsvc.exe
* navapw32.exe
* NISUM.EXE
* nopdb.exe
* NPROTECT.EXE
* NUPGRADE.EXE
* OUTPOST.EXE
* PavFires.exe
* pavProxy.exe
* pavsrv50.exe
* Rtvscan.exe
* RuLaunch.exe
* SAVScan.exe
* SHSTAT.EXE
* SNDSrvc.exe
* symlcsvc.exe
* UPDATE.EXE
* UpdaterUI.exe
* Vshwin32.exe
* VsStat.exe
* VsTskMgr.exe
6. 试图在任何包含字符「shar」的数据夹中建立本身的副本。档案将会有下列文件名称:
* 1.exe
* 2.exe
* 3.exe
* 4.exe
* 5.scr
* 6.exe
* 7.exe
* 8.exe
* 9.exe
* 10.exe
* Ahead Nero 7.exe
* Windown Longhorn Beta Leak.exe
* Opera 8 New!.exe
* XXX hardcore images.exe
* WinAmp 6 New!.exe
* WinAmp 5 Pro Keygen Crack Update.exe
* Adobe Photoshop 9 full.exe
* Matrix 3 Revolution English Subtitles.exe
* ACDSee 9.exe
7. 扫描具有以下扩展名的文件以查找电子邮件地址：
* .adb
* .asp
* .cfg
* .cgi
* .dbx
* .dhtm
* .eml
* .htm
* .jsp
* .mbx
* .mdx
* .mht
* .mmf
* .msg
* .nch
* .ods
* .oft
* .php
* .pl
* .sht
* .shtm
* .stm
* .tbb
* .txt
* .uin
* .wab
* .wsh
* .xls
* .xml
8. 通过使用自己的 SMTP 引擎将自身作为电子邮件发送到在上述步骤收集的电子邮件地址。
电子邮件将具有以下特征：
发件人：<欺骗性>
主旨： <下列之ㄧ>
* Delivery by mail
* Delivery service mail
* Is delivered mail
* Registration is accepted
* You are made active
正文：<下列之ㄧ>
* Before use read the help
* Thanks for use of our software.
附件：(以下其中之一)
* Jol03
* guupd02
* siupd02
* upd02
* viupd02
* wsd01
* zupd02
并有下列之一的扩展名:
* .com
* .cpl
* .exe
* .scr
9. 病虫将不会将本身寄至包含下列字符的电子邮件地址:
* @avp.
* @foo
* @iana
* @messagelab
* @microsoft
* abuse
* admin
* anyone@
* bsd
* bugs@
* cafee
* certific
* contract@
* f-secur
* feste
* free-av
* gold-certs@
* google
* help@
* icrosoft
* info@
* kasp
* linux
* listserv
* local
* news
* nobody@
* noone@
* noreply
* ntivi
* panda
* pgp
* postmaster@
* rating@
* root@
* samples
* sopho
* spam
* support
* unix
* update
* winrar
* winzip
10. 试图由下列网站下载档案至 %System%\re_file.exe, 并执行档案
* www.24-7-transportation.com * www.DarrkSydebaby.com * www.FritoPie.NET * www.adhdtests.com * www.aegee.org * www.aimcenter.net * www.alupass.lu * www.amanit.ru * www.andara.com * www.angelartsanctuary.com * www.anthonyflanagan.com * www.approved1stmortgage.com * www.argontech.net * www.asianfestival.nl * www.atlantisteste.hpg.com.br * www.aviation-center.de * www.bbsh.org * www.bga-gsm.ru * www.boneheadmusic.com * www.bottombouncer.com * www.bradster.com * www.buddyboymusic.com * www.bueroservice-it.de * www.calderwoodinn.com * www.capri-frames.de * www.celula.com.mx * www.ceskyhosting.cz * www.chinasenfa.com * www.cntv.info * www.compsolutionstore.com * www.coolfreepages.com * www.corpsite.com * www.couponcapital.net * www.cpc.adv.br * www.crystalrose.ca * www.cscliberec.cz * www.curtmarsh.com * www.customloyal.com * www.deadrobot.com * www.dontbeaweekendparent.com * www.dragcar.com * www.ecofotos.com.br * www.elenalazar.com * www.ellarouge.com.au * www.esperanzaparalafamilia.com * www.eurostavba.sk * www.everett.wednet.edu * www.fcpages.com * www.featech.com * www.fepese.ufsc.br * www.firstnightoceancounty.org * www.flashcorp.com * www.fleigutaetscher.ch * www.fludir.is * www.freeservers.com * www.gamp.pl * www.gci-bln.de * www.gcnet.ru * www.generationnow.net * www.gfn.org * www.giantrevenue.com * www.glass.la * www.handsforhealth.com * www.hartacorporation.com * www.himpsi.org * www.idb-group.net * www.immonaut.sk * www.ims-i.com * www.innnewport.com * www.irakli.org * www.irinaswelt.de * www.jansenboiler.com * www.jasnet.pl * www.jhaforpresident.7p.com * www.jimvann.com * www.jldr.ca * www.justrepublicans.com * www.kencorbett.com * www.knicks.nl * www.kps4parents.com * www.kradtraining.de * www.kranenberg.de * www.lasermach.com * www.leonhendrix.com * www.magicbottle.com.tw * www.mass-i.kiev.ua * www.mepbisu.de * www.mepmh.de * www.metal.pl * www.mexis.com * www.mongolische-renner.de * www.mtfdesign.com * www.oboe-online.com * www.ohiolimo.com * www.onepositiveplace.org * www.oohlala-kirkland.com * www.orari.net * www.pankration.com * www.pe-sh.com * www.pfadfinder-leobersdorf.com * www.pipni.cz * www.polizeimotorrad.de * www.programmierung2000.de * www.pyrlandia-boogie.pl * www.raecoinc.com * www.realgps.com * www.redlightpictures.com * www.reliance-yachts.com * www.relocationflorida.com * www.rentalstation.com * www.rieraquadros.com.br * www.scanex-medical.fi * www.sea.bz.it * www.selu.edu * www.sigi.lu * www.sljinc.com * www.smacgreetings.com * www.soloconsulting.com * www.spadochron.pl * www.srg-neuburg.de * www.ssmifc.ca * www.sugardas.lt * www.sunassetholdings.com * www.szantomierz.art.pl * www.the-fabulous-lions.de * www.tivogoddess.com * www.tkd2xcell.com * www.topko.sk * www.transportation.gov.bh * www.travelchronic.de * www.traverse.com * www.uhcc.com * www.ulpiano.org * www.uslungiarue.it * www.vandermost.de * www.vbw.info * www.velezcourtesymanagement.com * www.velocityprint.com * www.vikingpc.pl * www.vinirforge.com * www.wecompete.com * www.worest.com.ar * www.woundedshepherds.com * www.wwwebad.com * www.wwwebmaster.com
建议
赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：
* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。
* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。
* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。
* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。
* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。
* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。
* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。
手动杀毒
以下指导适用于最新和最近的所有 Symantec 防病毒产品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品）。
1. 禁用系统还原 (Windows Me/XP)。
2. 更新病毒定义。
3. 以安全模式或 VGA 模式重新启动计算机。
4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.AZ@mm 的文件。
5. 删除添加到注册表的值。
有关每个步骤的详细信息，请参阅以下指导。
1. 禁用系统还原 (Windows Me/XP)
如果正在运行 Windows Me 或 Windows XP，建议您暂时关闭系统还原功能。 此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows Me/XP 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。 因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。 这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。
此外，病毒扫描也可能在 System Restore 文件夹中检测到威胁，即使您已清除该威胁。
有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：
* "如何禁用或启用 Windows Me 系统还原
* "如何关闭或打开 Windows XP 系统还原”
注意：当您完全完成杀毒步骤，并确定威胁已清除后，按照上述文档中的指导重新启用系统还原。
有关其他信息以及禁用 Windows Me 系统还原功能的其他方法，请参阅 Microsoft 知识库文章：Antivirus Tools Cannot Clean Infected Files in the _Restore Folder，文章 ID：Q263455。
2. 更新病毒定义
Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。 可以通过两种方式获得最新的病毒定义：
* 运行 LiveUpdate，这是获得病毒定义最简单的方法：如果未遇重大病毒爆发情况，这些病毒定义会每周在 LiveUpdate 服务器上发布一次（一般为星期三）。 要确定是否可通过 LiveUpdate 获得用于该威胁的定义，请参考病毒定义 (LiveUpdate)。
* 使用智能更新程序下载定义：“智能更新程序”病毒定义在美国工作日发布（周一至周五）。 您应当从 Symantec 安全响应中心网站下载定义并手动安装它们。 要确定是否可通过智能更新程序获得用于该威胁的定义，请参考病毒定义（智能更新程序）。
可以从 http://securityresponse.symantec.com/avcenter/defs.download.html 获得智能更新程序病毒定义。有关详细指导，请阅读文档：如何使用智能更新程序更新病毒定义文件。
3. 以安全模式或 VGA 模式重新启动计算机
关闭计算机，关掉电源。 至少等候 30 秒，然后以安全模式或 VGA 模式重新启动计算机。
* 对于 Windows 95、98、Me、2000 或 XP 用户，请以安全模式重新启动计算机。 有关指导，请参阅文档：如何以安全模式启动计算机。
* 对于 Windows NT 4 用户，请以 VGA 模式重新启动计算机。
4. 扫描和删除受感染文件
1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。
* 对于 Norton AntiVirus 单机版产品：请参阅文档：如何配置 Norton AntiVirus 以扫描所有文件。
* 对于 Symantec AntiVirus 企业版产品：请参阅文档：如何确定 Symantec 企业版防病毒产品是否设置为扫描所有文件。
2. 运行完整的系统扫描。
3. 如果有任何文件被检测为 W32.Beagle.AZ@mm，则单击“删除”。
5. 从注册表删除值
警告：Symantec 强烈建议在进行任何更改前先备份注册表。 错误地更改注册表可能导致数据永久丢失或文件损坏。 应只修改指定的键。 有关指导，请参阅文档：如何备份 Windows 注册表。
1. 单击“开始”>“运行”。
2. 键入 regedit
然后单击“确定”。
3. 导航至键：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，删除值：
"sysformat" = "%System%\sysformat.exe"
5. 导航至键：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Params
6. 在右窗格中，删除值：
"riga" = "【Binary data】"
7. 退出注册表编辑器。
8. 以标准模式重新启动计算机。有关指导，请参阅文档：如何以安全模式启动计算机 中有关返回标准模式的部分。
