减小字体
增大字体- ·上一篇文章：狙击波病毒专题(图)
- ·下一篇文章：介绍最全面的冲击波/RPC
W32.Beagle.CD@mm病毒详解
别人看帖子，我再看病毒
别人玩游戏，我再写东西。
为什么？不是吃饱了撑的没事干，而是为了能让大家对病毒有更深一步地了解，在中毒情况下，可以从容面对。
废话不多说，我们切入正题:
W32.Beagle.CD@mm---这是什么啊？
刚才我说的话你没看懂？ 我说了，我在找病毒，这当然是病毒名了。
着病毒啥时候被发现的？
自己看！
发现时间：2005/8/10
W32.Beagle.CD@mm是一个乱发email的蠕虫，再受感染的电脑上打开TCP 80端口作为后门。
受感染系统:Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
当该病毒运行时：
复制自身为 %System%\windll.exe.
注：%System%为指向system文件夹的变量。默认为：
C:\Windows\System (Windows 95/98/Me),
C:\Winnt\System32 (Windows NT/2000),
或 C:\Windows\System32 (Windows XP).
添加值：
"erthgdr" = "%System%\windll.exe"
到注册表键：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
创建一个互斥体，用来防止W32.Netsky的变量运行：
MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
尝试着去删除以下注册表值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQNet"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQ Net"
如果日期为2007/8/10以后，则尝试着去删除以下注册表值然后退出：
HKEY_CURRENT_USER\Software\ert
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"erthgdr"
尝试着从以下地址下载文件然后保存在%System%\re_file.exe:
[http://]loca2/[REMOVED]/s1.php （因安全原因，在此隐藏了网址）
[http://]loca2/[REMOVED]/s3.php
然后蠕虫运行%System%\re_file.exe文件
打开TCP 80端口作为后门，允许该电脑作为一个代理服务器。
尝试着去结束以下进程：
no1t1epad.exe
t1es1t.exe
尝试着去访问以下站点，下载%Windir%\eml.exe文件:
[http://]carnwoodcontracting.com/[REMOVED]/web.php （因安全原因，在此隐藏了网址）
[http://]fpcoc.org/images/[REMOVED]/web.php
[http://]clickhare.com/[REMOVED]/web.php
注：当写入的时候，该文件不存在，但是据反映，该文件里有各种各样的字符用来产生email
尝试用自己的SMTP引擎来发送以上文件里可能存在的email地址。email有以下特征：
From: [SPOOFED]（发信人): 伪装的
Subject: [BLANK] （主题）：空白
Message: (内容)
以下任何一个：
1.The password is
2.Password:
附件：
可能发送下载过的文件，后缀为.txt
避免自身发送还有以下字串的地址：
@avp.
@derewrdgrs
@eerswqe
@foo
@iana
@messagelab
@microsoft
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
行了，说了这么多，下面说说建议：
１．关闭一些没有用的服务
２．随时更新自己的系统。不要嫌麻烦
３．加强自己的密码，不要用弱口令
４．如果你在局域网内，有机器中毒，尽快对中毒机器进行隔离
５．没了．．．．．．
清除步骤：
１．禁用系统还原(Windows Me/XP).
２．用杀毒软件进行系统杀毒，并删除所有发现的病毒文件。
３．删除恢复以上提到的注册表值。
ＯＫ该说的，我都说完了，就到这里，最后做下广告。
我！ 对，就是我－－－冷血＊无情
别人玩游戏，我再写东西。
为什么？不是吃饱了撑的没事干，而是为了能让大家对病毒有更深一步地了解，在中毒情况下，可以从容面对。
废话不多说，我们切入正题:
W32.Beagle.CD@mm---这是什么啊？
刚才我说的话你没看懂？ 我说了，我在找病毒，这当然是病毒名了。
着病毒啥时候被发现的？
自己看！
发现时间：2005/8/10
W32.Beagle.CD@mm是一个乱发email的蠕虫，再受感染的电脑上打开TCP 80端口作为后门。
受感染系统:Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
当该病毒运行时：
复制自身为 %System%\windll.exe.
注：%System%为指向system文件夹的变量。默认为：
C:\Windows\System (Windows 95/98/Me),
C:\Winnt\System32 (Windows NT/2000),
或 C:\Windows\System32 (Windows XP).
添加值：
"erthgdr" = "%System%\windll.exe"
到注册表键：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
创建一个互斥体，用来防止W32.Netsky的变量运行：
MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
尝试着去删除以下注册表值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"My AV"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQNet"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n\"ICQ Net"
如果日期为2007/8/10以后，则尝试着去删除以下注册表值然后退出：
HKEY_CURRENT_USER\Software\ert
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"erthgdr"
尝试着从以下地址下载文件然后保存在%System%\re_file.exe:
[http://]loca2/[REMOVED]/s1.php （因安全原因，在此隐藏了网址）
[http://]loca2/[REMOVED]/s3.php
然后蠕虫运行%System%\re_file.exe文件
打开TCP 80端口作为后门，允许该电脑作为一个代理服务器。
尝试着去结束以下进程：
no1t1epad.exe
t1es1t.exe
尝试着去访问以下站点，下载%Windir%\eml.exe文件:
[http://]carnwoodcontracting.com/[REMOVED]/web.php （因安全原因，在此隐藏了网址）
[http://]fpcoc.org/images/[REMOVED]/web.php
[http://]clickhare.com/[REMOVED]/web.php
注：当写入的时候，该文件不存在，但是据反映，该文件里有各种各样的字符用来产生email
尝试用自己的SMTP引擎来发送以上文件里可能存在的email地址。email有以下特征：
From: [SPOOFED]（发信人): 伪装的
Subject: [BLANK] （主题）：空白
Message: (内容)
以下任何一个：
1.The password is
2.Password:
附件：
可能发送下载过的文件，后缀为.txt
避免自身发送还有以下字串的地址：
@avp.
@derewrdgrs
@eerswqe
@foo
@iana
@messagelab
@microsoft
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
行了，说了这么多，下面说说建议：
１．关闭一些没有用的服务
２．随时更新自己的系统。不要嫌麻烦
３．加强自己的密码，不要用弱口令
４．如果你在局域网内，有机器中毒，尽快对中毒机器进行隔离
５．没了．．．．．．
清除步骤：
１．禁用系统还原(Windows Me/XP).
２．用杀毒软件进行系统杀毒，并删除所有发现的病毒文件。
３．删除恢复以上提到的注册表值。
ＯＫ该说的，我都说完了，就到这里，最后做下广告。
我！ 对，就是我－－－冷血＊无情
