|
| w32.beagle.cd@mm病毒详解 |
| 来源：网络 时间：2006-5-31 |
|
w32.beagle.cd@mm是一个乱发email的蠕虫，再受感染的电脑上打开tcp 80端口作为后门。
受感染系统:windows 2000, windows 95, windows 98, windows me, windows nt, windows server 2003, windows xp
当该病毒运行时：
复制自身为 %system%\windll.exe.
注：%system%为指向system文件夹的变量。默认为：
c:\windows\system (windows 95/98/me),
c:\winnt\system32 (windows nt/2000),
或 c:\windows\system32 (windows xp).
添加值：
"erthgdr" = "%system%\windll.exe"
到注册表键：
hkey_current_user\software\microsoft\windows\currentversion\ru1n
创建一个互斥体，用来防止w32.netsky的变量运行：
muxxxxtenyksdesignedasthefollowerofskynet-d
_-oo]xx|-s-k-y-n-e-t-|xx[oo-_
尝试着去删除以下注册表值：
hkey_local_machine\software\microsoft\windows\currentversion\ru1n\"my av"
hkey_current_user\software\microsoft\windows\currentversion\ru1n\"my av"
hkey_local_machine\software\microsoft\windows\currentversion\ru1n\"icqnet"
hkey_current_user\software\microsoft\windows\currentversion\ru1n\"icq net"
如果日期为2007/8/10以后，则尝试着去删除以下注册表值然后退出：
hkey_current_user\software\ert
hkey_current_user\software\microsoft\windows\currentversion\ru1n\"erthgdr"
尝试着从以下地址下载文件然后保存在%system%\re_file.exe:
[http://]loca2/[removed]/s1.php （因安全原因，在此隐藏了网址）
[http://]loca2/[removed]/s3.php
然后蠕虫运行%system%\re_file.exe文件
打开tcp 80端口作为后门，允许该电脑作为一个代理服务器。
尝试着去结束以下进程：
no1t1epad.exe
t1es1t.exe
尝试着去访问以下站点，下载%windir%\eml.exe文件:
[http://]carnwoodcontracting.com/[removed]/web.php （因安全原因，在此隐藏了网址）
[http://]fpcoc.org/images/[removed]/web.php
[http://]clickhare.com/[removed]/web.php
注：当写入的时候，该文件不存在，但是据反映，该文件里有各种各样的字符用来产生email
尝试用自己的smtp引擎来发送以上文件里可能存在的email地址。email有以下特征：
from: [spoofed]（发信人): 伪装的
subject: [blank] （主题）：空白
message: (内容)
以下任何一个：
1.the password is
2.password:
附件：
可能发送下载过的文件，后缀为.txt
避免自身发送还有以下字串的地址：
@avp.
@derewrdgrs
@eerswqe
@foo
@iana
@messagelab
@microsoft
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
行了，说了这么多，下面说说建议：
１．关闭一些没有用的服务
２．随时更新自己的系统。不要嫌麻烦
３．加强自己的密码，不要用弱口令
４．如果你在局域网内，有机器中毒，尽快对中毒机器进行隔离
５．没了．．．．．．
清除步骤：
１．禁用系统还原(windows me/xp).
２．用杀毒软件进行系统杀毒，并删除所有发现的病毒文件。
３．删除恢复以上提到的注册表值。
|
|
|
|
|
