病毒标签

　　病毒名称： Email-Worm.Win32.Bagle.br

　　中文名称： 白鸽变种

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 9,216 字节

　　感染系统： windows 98 及以上版本

　　开发工具： Microsoft Visual C++ 6.0

　　加壳类型： PeX　

　　病毒描述

　　该病毒属邮件蠕虫类，是白鸽病毒家族中的变种。该病毒运行后会复制自身到系统目录下，修改注册表文件，将复制后的病毒添加到启动项。修改%System%driversetchosts文件，搜索一些安全软件及反病毒的可执行程序并尝试重命名。病毒还会尝试终止某些反病毒及安全软件的进程。病毒还会下载病毒相关文件到本地运行。病毒主要靠发送含有病毒附件的邮件来传播。对用户有一定的危害。

　　行为分析

　　1、释放病毒体：

　　%System%winshost.exe

　　%System%wiwshost.exe

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　2、修改注册表文件，添加到启动项：

　　HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRunwinshost.exe = "%System%winshost.exe"

　　HKEY_LOCAL_METHINESOFTWAREMicrosoftWindowsCurrentVersionRunwinshost.exe = "%System%winshost.exe"

　　3、连接某些网站，下载病毒相关文件到本地并运行：%windows%_re_file.exe 网站列表如下：

　　www.bolz.at

　　www.bs-security.de

　　www.contentproject.com

　　www.cz-wanjia.com

　　www.die-fliesen.de

　　www.engelhardtgmbh.de

　　www.fahrschule-lesser.de

　　www.gepeters.org

　　www.gimex-messzeuge.de

　　www.jeoushinn.com

　　www.jingjuok.com

　　www.jue-bo.com

　　……

　　4、病毒运行后会尝试终止以下反病毒及安全软件进程，列表如下：

　　AUTOTRACE.EXE

　　CFIAUDIT.EXE

　　ESCANH95.EXE

　　ESCANHNT.EXE

　　FIREWALL.EXE

　　ICSSUPPNT.EXE

　　ICSUPP95.EXE

　　MCUPDATE.EXE

　　……

　　5、修改%System%driversetchosts文件。

　　6、病毒运行后会搜索某些反病毒及安全软件的可执行程序并重命名这些文件。尽量阻止用户清楚该病毒。

　　Luup1date.exe

　　RuLa1unch.exe

　　CM1Grdian.exe

　　Mcsh1ield.exe

　　KAV.exe

　　avgcc.exe

　　avgemc.exe

　　……

　　7、病毒主要通过查找windows地址簿和某些扩展名的文件，获取其中的email地址，发送含有病毒附件的邮件。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。