发表于：2004/4/3 0:28:00
#0楼
最近"凸"然對WIN 2003及OFFICE 2003發生一點點興趣...
.
還五合一哩!!
發現了變種「培果病毒」W32.Beagle.J@mm
以下為轉貼,使用驢子下載軟體,自己要小心啦!
[轉貼]
一、簡介:
這個蠕蟲最早是美國 2004/03/02出現，在
2004/03/03，賽門鐵克將它提升為3等級警戒，趨勢科技將列為低度風險。
W32.Beagle.J@mm是大量郵寄蠕蟲，它會開啟TCP port
2745，使用SMTP引擎寄發郵件。它會將後門使用的port和IP位址傳送給駭客，也會使用Kazaa和iMesh等檔案分享網路進行散佈，將自己放入名稱包含shar的資料夾中。
Email有下面特性：
寄件者：收件者網域的下面使用者
· management
· administration
· staff
· noreply
· support
附件： zip檔案（隨機的exe檔案名稱）或pif檔案，zip檔案有密碼保護。
別名：W32/Bagle.j@MM [McAfee], WORM_BAGLE.J [Trend],
Win32.Bagle.J [Computer Associates], W32/Bagle-J [Sophos]
類別：蠕蟲
感染長度：12,288 bytes
受影響系統：Windows 2000, Windows 95, Windows 98, Windows Me,
Windows NT, Windows Server 2003, Windows XP
不受影響系統： DOS, Linux, Macintosh, OS/2, UNIX, Windows 3.x
二、技術細節：
When W32.Beagle.J@mm 被執行時，它會做下面動作：
1. 將自己拷貝為%System%\irun4.exe
2. 建立
%System%\irun4.exe檔案，它原本是在有密碼保護的zip檔案中，密碼則是隨機設定的，會出現在郵件的本文中。
3.
在登錄機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
中增加下面值：
"srate.exe"="%System%\irun4.exe"
讓蠕蟲可以隨Windows啟動而執行。
4. 在TCP port 2745開啟後門。
如果駭客送出特定格式的訊息到此port，蠕蟲可以讓任意檔案下載到 %Windir%
資料夾，儲存為%Windir%\iuplda.exe檔案，其中是隨機字串。
5. 送出HTTP GET 要求到下面網站的TCP port 80：
· postertog.de
· www.gfotxt.net
· www.maiklibis.de
GET要求會送出受感染電腦傾聽的port和IP位址。
6. 嘗試停止防毒程式。
7. 掃描特定附檔名的檔案，搜尋Email。
8. 透過Kazaa和iMesh等檔案分享網路，將自己放入名稱包含shar的資料夾中。蠕蟲使用的檔案名稱包括：
· ACDSee 9.exe
· Adobe Photoshop 9 full.exe
· Ahead Nero 7.exe
· Matrix 3 Revolution English Subtitles.exe
· Microsoft Office 2003 Crack, Working!.exe
· Microsoft Office XP working Crack, Keygen.exe
· Microsoft Windows XP, WinXP Crack, working Keygen.exe
· Opera 8 New!.exe
· Porno pics arhive, xxx.exe
· Porno Screensaver.scr
· Porno, sex, oral, anal cool, awesome!!.exe
· Serials.txt.exe
· WinAmp 5 Pro Keygen Crack Update.exe
· WinAmp 6 New!.exe
· Windown Longhorn Beta Leak.exe
· Windows Sourcecode update.doc.exe
· XXX hardcore images.exe
9. 使用SMTP引擎將自己放入郵件中寄給搜尋到的Email。
10. 蠕蟲會避免寄信到包含下面字串的Email：
· @hotmail.com
· @msn.com
· @microsoft
· @avp.
· noreply
· local
· root@
· postmaster@
三、移除方法：
1、關閉系統還原功能(Windows Me/XP)
"How to disable or enable Windows Me System Restore"
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239?OpenDocument&src=sec_doc_nam
"How to turn off or turn on Windows XP System Restore"
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039?OpenDocument&src=sec_doc_nam
2、更新病毒定義檔。
3、刪除登錄中下面資訊：
a. 按下 [開始] 按鈕，選擇 [執行]
b. 輸入regedit，按下 [確定] 鈕，[登錄編輯程式]會出現。
c. 找到登錄機碼：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
d. 在右邊面板，刪除下面值：
"srate.exe"="%System%\irun4.exe"
e. 跳出登錄編輯程式
f. 重新啟動電腦
4、掃描並刪除受感染的檔案。
四、參考資料：
http://securityresponse.symantec.com/avcenter/venc/data/w32.beagle.j@mm.html
http://www.trendmicro.com/vinfo/zh-tw/virusencyclo/default5.asp?VName=WORM_BAGLE.J
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_BAGLE.J
.還五合一哩!!
發現了變種「培果病毒」W32.Beagle.J@mm
以下為轉貼,使用驢子下載軟體,自己要小心啦!
[轉貼]
一、簡介:
這個蠕蟲最早是美國 2004/03/02出現，在
2004/03/03，賽門鐵克將它提升為3等級警戒，趨勢科技將列為低度風險。
W32.Beagle.J@mm是大量郵寄蠕蟲，它會開啟TCP port
2745，使用SMTP引擎寄發郵件。它會將後門使用的port和IP位址傳送給駭客，也會使用Kazaa和iMesh等檔案分享網路進行散佈，將自己放入名稱包含shar的資料夾中。
Email有下面特性：
寄件者：收件者網域的下面使用者
· management
· administration
· staff
· noreply
· support
附件： zip檔案（隨機的exe檔案名稱）或pif檔案，zip檔案有密碼保護。
別名：W32/Bagle.j@MM [McAfee], WORM_BAGLE.J [Trend],
Win32.Bagle.J [Computer Associates], W32/Bagle-J [Sophos]
類別：蠕蟲
感染長度：12,288 bytes
受影響系統：Windows 2000, Windows 95, Windows 98, Windows Me,
Windows NT, Windows Server 2003, Windows XP
不受影響系統： DOS, Linux, Macintosh, OS/2, UNIX, Windows 3.x
二、技術細節：
When W32.Beagle.J@mm 被執行時，它會做下面動作：
1. 將自己拷貝為%System%\irun4.exe
2. 建立
%System%\irun4.exe檔案，它原本是在有密碼保護的zip檔案中，密碼則是隨機設定的，會出現在郵件的本文中。
3.
在登錄機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
中增加下面值：
"srate.exe"="%System%\irun4.exe"
讓蠕蟲可以隨Windows啟動而執行。
4. 在TCP port 2745開啟後門。
如果駭客送出特定格式的訊息到此port，蠕蟲可以讓任意檔案下載到 %Windir%
資料夾，儲存為%Windir%\iuplda.exe檔案，其中是隨機字串。
5. 送出HTTP GET 要求到下面網站的TCP port 80：
· postertog.de
· www.gfotxt.net
· www.maiklibis.de
GET要求會送出受感染電腦傾聽的port和IP位址。
6. 嘗試停止防毒程式。
7. 掃描特定附檔名的檔案，搜尋Email。
8. 透過Kazaa和iMesh等檔案分享網路，將自己放入名稱包含shar的資料夾中。蠕蟲使用的檔案名稱包括：
· ACDSee 9.exe
· Adobe Photoshop 9 full.exe
· Ahead Nero 7.exe
· Matrix 3 Revolution English Subtitles.exe
· Microsoft Office 2003 Crack, Working!.exe
· Microsoft Office XP working Crack, Keygen.exe
· Microsoft Windows XP, WinXP Crack, working Keygen.exe
· Opera 8 New!.exe
· Porno pics arhive, xxx.exe
· Porno Screensaver.scr
· Porno, sex, oral, anal cool, awesome!!.exe
· Serials.txt.exe
· WinAmp 5 Pro Keygen Crack Update.exe
· WinAmp 6 New!.exe
· Windown Longhorn Beta Leak.exe
· Windows Sourcecode update.doc.exe
· XXX hardcore images.exe
9. 使用SMTP引擎將自己放入郵件中寄給搜尋到的Email。
10. 蠕蟲會避免寄信到包含下面字串的Email：
· @hotmail.com
· @msn.com
· @microsoft
· @avp.
· noreply
· local
· root@
· postmaster@
三、移除方法：
1、關閉系統還原功能(Windows Me/XP)
"How to disable or enable Windows Me System Restore"
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239?OpenDocument&src=sec_doc_nam
"How to turn off or turn on Windows XP System Restore"
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039?OpenDocument&src=sec_doc_nam
2、更新病毒定義檔。
3、刪除登錄中下面資訊：
a. 按下 [開始] 按鈕，選擇 [執行]
b. 輸入regedit，按下 [確定] 鈕，[登錄編輯程式]會出現。
c. 找到登錄機碼：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
d. 在右邊面板，刪除下面值：
"srate.exe"="%System%\irun4.exe"
e. 跳出登錄編輯程式
f. 重新啟動電腦
4、掃描並刪除受感染的檔案。
四、參考資料：
http://securityresponse.symantec.com/avcenter/venc/data/w32.beagle.j@mm.html
http://www.trendmicro.com/vinfo/zh-tw/virusencyclo/default5.asp?VName=WORM_BAGLE.J
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_BAGLE.J
