病毒标签

　　病毒名称： Email-Worm.Win32.Bagle.cr

　　中文名称： 白鸽变种

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 11,689 字节

　　感染系统： windows 98及以上版本

　　开发工具： WIN32 ASM

　　加壳类型： 未知壳

　　病毒描述

　　该病毒属邮件蠕虫类，是白鸽病毒的一个变种。释放病毒相关文件，还会下在并执行某些病毒文件，病毒还会修改%System%driversetchosts文件，阻止用户对某些网站的访问，结束，病毒运行后会修改注册表文件，添加启动项目，删除安全软件及系统安全设置的相关键值，病毒还会终止某些反病毒软件及安全软件的相关键值。病毒还会注入到exploer.exe进程。

　　行为分析

　　1、释放病毒相关文件：

　　%system32%winshost.exe

　　%system32%wiwshost.exe

　　2、修改注册表文件：

　　添加到启动项目：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunwinshost.exe

　　键值: 字串: "C:WINNTSystem32winshost.exe"

　　HKEY_USERSSoftwareMicrosoftWindowsCurrentVersionRunwinshost.exe

　　键值: 字串: "C:WINNTSystem32winshost.exe"

　　删除安全软件及系统安全设置的相关键值：

　　HKEY_LOCAL_METHINESOFTWAREMicrosoftWindowsCurrentVersionRunZone Labs Client

　　HKEY_LOCAL_METHINE SOFTWAREMicrosoftWindowsCurrentVersionRunavg7_cc

　　HKEY_LOCAL_METHINE SOFTWAREMicrosoftWindowsCurrentVersionRunavg7_emc

　　HKEY_LOCAL_METHINE SOFTWAREMicrosoftWindowsCurrentVersionRunccApp

　　HKEY_LOCAL_METHINE SOFTWAREAgnitum

　　HKEY_LOCAL_METHINE SOFTWAREKasperskyLab

　　HKEY_LOCAL_METHINE SOFTWAREMcAfee

　　HKEY_LOCAL_METHINE SOFTWAREPanda Software

　　… …

　　3、病毒释放后，会把%system32%winshost.exe注入到exploer.exe中。

　　4、修改%System%driversetchosts文件，使得用户在访问某些网站时连接到127.0.0.1。

　　5、结束某些服务并使其失效：

　　alerter

　　AlertManger

　　AVExch32Service

　　avg7alrt

　　avg7updsvc

　　AvgCore

　　AvgFsh

　　AvgServ

　　avpcc

　　AVUPDService

　　AvxIni

　　……

　　6、结束反病毒及安全软件的相关进程：

　　AUPDATE.EXE

　　AUTODOWN.EXE

　　AUTOTRACE.EXE

　　AUTOUPDATE.EXE

　　AVPUPD.EXE

　　AVWUPD32.EXE

　　AVXQUAR.EXE

　　CFIAUDIT.EXE

　　DRWEBUPW.EXE

　　ESCANH95.EXE

　　ESCANHNT.EXE

　　FIREWALL.EXE

　　……

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。