网络信息安全是一个博大精深的技术体系，安天将自己的注意力专注于主要矛盾，即计算机网络病毒问题。
    根据有关机构统计，全球超过80%的安全事件均与病毒有关，网络病毒是信息社会面临的主要安全挑战之一，因此，安天人将“天下无毒”作为自己追求的安全境界。
    安天将网络安全工作者的宏观视野与反病毒工程师的成熟细腻有机结合。将反病毒技术与网络监控技术、计算机犯罪取证技术、安全评估技术等进行了有机的结合，形成了自身的产品内涵。
  当前位置：首页 - 安全响应中心

Email-Worm.Win32.Bagle.dg分析
出处：安天实验室 时间：2005年11月11日
 

  • 病毒标签
  病毒名称： Email-Worm.Win32.Bagle.dg
中文名称： 白鸽变种
病毒类型： 邮件蠕虫
危害等级： 中
文件长度： 8,342 字节
感染系统： windows 98及以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 未知壳

  • 病毒描述
  该病毒属邮件蠕虫类，是白鸽家族的一个变种。病毒运行后会修改注册表，复制自身到系统目录下，还会从一个URL列表中下载病毒相关文件到本地运行，运行后还会删除这些病毒相关文件。病毒运行后还会尝试终止某些反病毒及安全软件的进程。病毒还会尝试终止某些服务，降低系统的安全设置。搜索某些扩展名文件并尝试重命名。当病毒运行时还会运行notepad.exe文件。修改hosts文件。

  • 行为分析
 

1、修改注册表文件：

添加以下键值，达到随系统启动的目的：
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
键值: 字串: winshost.exe = "%System%\winshost.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
键值: 字串: winshost.exe = "%System%\winshost.exe"

删除以下键值，降低系统安全设置：

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\APVXDWIN
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAV50
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfee Guardian
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\avg7_emc
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ccApp
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
McAfee.InstantUpdate.Monitor

2、尝试终止以下反病毒及安全软件的进程：

AUPDATE.EXE
AUTODOWN.EXE
AUTOTRACE.EXE
AUTOUPDATE.EXE
AVPUPD.EXE
AVWUPD32.EXE
AVXQUAR.EXE
CFIAUDIT.EXE
DRWEBUPW.EXE
ESCANH95.EXE
ESCANHNT.EXE

FIREWALL.EXE

3、病毒还会从一个URL列表中下载病毒相关文件到本地运行，列表如下：

www.51.net
www.acsohio.com
www.agria.hu
www.andi.com.vn
www.angham.de
www.ascolfibras.com
www.automobilonline.de
www.bangyan.cn
www.beall-cpa.com
www.bolz.at
www.bs-security.de
www.centrovestecasa.it
www.checkonemedia.nl
www.contentproject.com
www.cz-wanjia.com
www.czwanqing.com

www.czzm.com

4、释放病毒相关文件，病毒运行时还会打开notepad.exe文件。
%System%\winshost.exe
%System%\wiwshost.exe

5、病毒主要通过发送含有病毒附件的邮件、利用ms05039漏洞来传播。

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

  • 清除方案
 

1、使用安天防线可彻底清除此病毒(推荐)，请点击下载(http://www.antiyfx.com)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。