0
W32.Mydoom.A@mm
发现： 2004 年 1 月 26 日
更新： 2007 年 2 月 13 日 12:20:30 PM
别名： W32.Novarg.A@mm, W32/Mydoom@MM [McAfee], WORM_MIMAIL.R [Trend], Win32.Mydoom.A [Computer Assoc, W32/Mydoom-A [Sophos], I-Worm.Novarg [Kaspersky]
类型: Worm
感染长度： 22,528 bytes;variable file size for a .zip attachment
受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
W32.Mydoom.A@mm 是一个通过扩展名为 .bat、.cmd、.exe、.pif、.scr 或 .zip 的附件传播的四级群发邮件蠕虫。
当一台计算机感染时，蠕虫会打开 TCP 的 3127 到 3198 端口作为进入系统的后门，从而使攻击者能够连接该计算机并以其为代理来获取这台计算机所在的整个网络的资源。
此外，蠕虫通过这个后门可以下载和执行任意文件。
这个蠕虫会在 2004 年 2 月 1 日 发动一个拒绝服务(DoS) 攻击。它还有一个在 2004 年 2 月 12 日停止攻击的触发日期。蠕虫的后门组件在这个日期之后还会继续有效。
注意：
* 赛门铁克拥有蠕虫禁止功能的单机版产品可以在这个蠕虫试图传播的时候自动将其探测出来。
* 赛门铁克安全响应已提供了针对 W32.Mydoom.A@mm 的杀毒工具。请单击 这里 获取该工具。
当 W32.Mydoom.A@mm 发送电子邮件时，它避免向含有以下字符串的域名发送：
* avp
* syma
* icrosof
* msn.
* hotmail
* panda
* sopho
* borlan
* inpris
* example
* mydomai
* nodomai
* ruslis
* .gov
* gov.
* .mil
* foo.
* berkeley
* unix
* math
* bsd
* mit.e
* gnu
* fsf.
* ibm.com
* kernel
* linux
* fido
* usenet
* iana
* ietf
* rfc-ed
* sendmail
* arin.
* ripe.
* isi.e
* isc.o
* secur
* acketst
* pgp
* tanford.e
* utgers.ed
* mozilla
或和以下字符串相符的帐户：
* root
* info
* samples
* postmaster
* webmaster
* noone
* nobody
* nothing
* anyone
* someone
* your
* you
* me
* bugs
* rating
* site
* contact
* soft
* no
* somebody
* privacy
* service
* help
* not
* submit
* feste
* ca
* gold-certs
* the.bat
* page
或含有以下任意一个字符串的帐户：
* admin
* icrosoft
* support
* ntivi
* unix
* bsd
* linux
* listserv
* certific
* accoun
防护
* 病毒定义（每周 LiveUpdate&＃8482;） 2004 年 1 月 26 日
* 病毒定义（智能更新程序） 2004 年 1 月 26 日
威胁评估
广度
* 广度级别： Low
* 感染数量： More than 1000
* 站点数量： More than 10
* 地理位置分布： High
* 威胁抑制： Easy
* 清除： Moderate
损坏
* 损坏级别： Medium
* 大规模发送电子邮件： Sends to email addresses found in a specified set of files.
* 降低性能： Performs DoS against www.sco.com.
* 危及安全设置： Allows unauthorized remote access.
分发
* 分发级别： High
* 电子邮件的主题： Varies
* 附件名称： Varies with an extension of .pif, .scr, .exe, .cmd, .bat, or .zip.
* 附件大小： 22,528 bytes (varies if it is
* 端口： TCP 3127-3198
执行 W32.Mydoom.A@mm 时，会执行下列操作：
1. 创建下列文件：
* %System%\Shimgapi.dll. Shimgapi.dll 会打开从 TCP 从 3127 到 3198 的端口监听，作为一个代理服务器运行。这个后门还可以下载和执行任意文件。
* %Temp%\Message. 这个文件含有随机字符，以 Notepad 显示。
* %System%\Taskmon.exe.
注意：
o Taskmon.exe 文件是 Windows 95/98/Me 操作系统的合法文件，但其位于 %Windir% 文件夹，而非 %System% 文件夹。(默认情况下是 C:\Windows 或 C:\Winnt) 请不要删除 %Windir% 文件夹中的合法文件。
o %System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
o %Temp% 是一个变量。蠕虫会找到临时文件夹，并将自身复制到其中。默认情况下，这个文件夹是 C:\Windows\TEMP (Windows 95/98/Me)、C:\WINNT\Temp (Windows NT/2000)、C:\Document and Settings\<用户名>\Local Settings\Temp (Windows XP)。
2. 将值：
"(Default)" = "%System%\shimgapi.dll"
添加到注册表键：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
Explorer.exe 会因此调用 Shimgapi.dll。
3. 将值：
"TaskMon" = "%System%\taskmon.exe"
添加到以下注册表键中：
HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
这样，TaskMon 便可在 Windows 启动时运行。
4. 拒绝服务（Dos）攻击活动在 2004 年 2 月 1 日和 2004 年 2 月 12 日之间有效。通过新创建 63 个会发送 GET 请求、直接连接到 80 端口的线程，尝试对 www.sco.com 发动拒绝服务（Dos）攻击。
注意：
* 攻击活动的发起时间是在格林威治时间 2004 年 2 月 1 日的 16:09:18，即北京时间的 2004 年 2 月 2 日的 00:09:18 。
* 由于蠕虫验证上述日期的逻辑的原因，拒绝服务（Dos）攻击活动发生的概率为 25%.
* 蠕虫会利用本地的 DNS 设定来解释拒绝服务（Dos）攻击遇到的域名。
5. 导出下列注册表键：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
6. 在具有下列扩展名的文件中搜索电子邮件地址。
* .htm
* .sht
* .php
* .asp
* .dbx
* .tbb
* .adb
* .pl
* .wab
* .txt
注意：它会忽略以 .edu 结尾的地址。
7. 蠕虫会试图使用自己的 SMTP 引擎发送电子邮件。蠕虫会在发送出电子邮件之前查询收件人的邮件服务器。如果查不到，它就会使用本地的邮件服务器。
8. 此类电子邮件有以下特征：
发件人：可能是经过伪装的发件人地址
主题：
下列之一：
test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
正文：
下列之一：
Mail transaction failed.Partial message is available.
The message contains Unicode characters and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
附件：
下列之一：
document
readme
doc
text
file
data
test
message
body
注意：
附件可能有两个后缀。其中一个后缀可能下列之一：
.htm
.txt
.doc
蠕虫总是会使用下面后缀中的一个：
.pif
.scr
.exe
.cmd
.bat
.zip（这是一个实际上含有蠕虫程序的 .zip 文件。该蠕虫程序的名字和这个 .zip 的文件名一致。）
如果蠕虫使用.exe 或 .scr 作为扩展名，显示的图标如下：
9. 将自身作为下列文件之一复制到 Kazaa 下载文件夹：
* winamp5
* icq2004-final
* activation_crack
* strip-girl-2.0bdcom_patches
* rootkitXP
* office_crack
* nuke2004
使用下列之一作为扩展名：
* .pif
* .scr
* .bat
* .exe
Intruder Alert
赛门铁克已经发布了 Intruder Alert 3.6 W32_Novarg_Worm Policy。
Symantec ManHunt
已经发布了 Security Update 16，以提供针对于 W32.Mydoom.A@mm 后门活动的签名。
此外，赛门铁克 ManHunt 2.2/3.0/3.01 客户可以使用下列签名来探测对 www.sco.com 的拒绝服务攻击。 这个签名可以帮助确定请求发出的计算机。
*******************start file********************
alert tcp any any -> any 80 (msg:"W32_Novarg_SCO_DOS"; content:"GET / HTTP/1.1|0d0a|Host: www.sco.com|0d0a0d0a|"; offset:0; dsize:37;)
*************EOF*********************
更多关于如何创建时间用户签名的帮助，请参照 ManHunt Administrative Guide :Appendix A Custom Signatures for HYBRID Mode。 Appendix A Custom Signatures for HYBRID Mode."
建议
赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：
* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。
* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。
* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。
* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。
* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。
* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。
* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。
使用 W32.Mydoom.A@mm 杀毒工具
这是最简单快速的方法。赛门铁克安全响应已提供了针对 W32.Mydoom.A@mm 的杀毒工具。请单击 这里 获取该工具。
手动删除
作为杀毒工具的替代，您也可以依照下列说明手动删除。
以下指导适用于所有当前和最新的 Symantec 防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。
1. 禁用系统还原 (Windows Me/XP)。
2. 更新病毒定义。
3. 将计算机重启到安全模式或者 VGA 模式。
4. 运行完整的系统扫描，并删除所有检测为 W32.Mydoom.A@mm 的文件。
5. 删除添加到注册表的值。
有关每个步骤的详细信息，请阅读以下指导。
1. 禁用系统还原（Windows Me/XP）
如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。
此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。
有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：
* 如何禁用或启用 Windows XP 系统还原
* 如何禁用或启用 Windows Me 系统还原
注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。
有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。
2. 更新病毒定义
Symantec 安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：
* 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。
* 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从 Symantec 安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。
现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。
3. 将计算机重启到安全模式或者 VGA 模式
请关闭计算机，等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用户：将计算机重启到安全模式。所有 Windows 32-bit 操作系统，除了Windows NT，可以被重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。
* Windows NT 4 用户：将计算机重启到 VGA 模式。
4. 扫描和删除受感染文件
1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。
* Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。
* 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。
2. 运行完整的系统扫描。
3. 如果检测到任何文件被 W32.Mydoom.A@mm 感染，请单击“删除”。
5. 从注册表中删除值
警告：对系统注册表进行任何修改之前，赛门铁克强烈建议您最好先替注册表进行一次备份。对注册表的修改如果有任何差错，严重时将会导致数据遗失或档案受损。只修改指定的注册表键。如需详细指示，请阅读「如何备份 Windows 注册表」文件。
1. 单击“开始”，然后单击“运行”。（将出现“运行”对话框。）
2. 键入 regedit
然后单击“确定”。（将打开注册表编辑器。）
3. 导航至以下键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，删除值：
"Taskmon"="%System%\taskmon.exe"
5. 删除键：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
6. 删除键：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
7. 导航至以下键：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
8. 根据你的操作系统，执行系列操作之一：
* Windows NT/2000/XP
1. 在右窗格中，双击 (默认)
2. 在“数值数据”栏中，将值改为以下
%SystemRoot%\System32\webcheck.dll
3. 单击“确定”。
* Windows 95/98/Me
1. 在右窗格中，双击 (默认)
2. 在“数值数据”栏中，将值改为以下
Windows\System\webcheck.dll
3. 单击“确定”。
9. 退出注册表编辑器。
描述者： Peter Ferrie
