病毒标签

　　病毒名称： Email-Worm.Win32.Bagle.dg

　　中文名称： 白鸽变种

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 8,342 字节

　　感染系统： windows 98及以上版本

　　开发工具： Microsoft Visual C++ 6.0

　　加壳类型： 未知壳

　　病毒描述

　　该病毒属邮件蠕虫类，是白鸽家族的一个变种。病毒运行后会修改注册表，复制自身到系统目录下，还会从一个URL列表中下载病毒相关文件到本地运行，运行后还会删除这些病毒相关文件。病毒运行后还会尝试终止某些反病毒及安全软件的进程。病毒还会尝试终止某些服务，降低系统的安全设置。搜索某些扩展名文件并尝试重命名。当病毒运行时还会运行notepad.exe文件。修改hosts文件。

　　行为分析

　　1、修改注册表文件：

　　添加以下键值，达到随系统启动的目的：

　　HKCUSOFTWAREMicrosoftWindowsCurrentVersionRun

　　键值: 字串: winshost.exe = "%System%winshost.exe"

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun

　　键值: 字串: winshost.exe = "%System%winshost.exe"

　　删除以下键值，降低系统安全设置：

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunAPVXDWIN

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunKAV50

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunMcAfee Guardian

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunavg7_emc

　　HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunccApp

　　HKCUSOFTWAREMicrosoftWindowsCurrentVersionRun

　　McAfee.InstantUpdate.Monitor

　　2、尝试终止以下反病毒及安全软件的进程：

　　AUPDATE.EXE

　　AUTODOWN.EXE

　　AUTOTRACE.EXE

　　AUTOUPDATE.EXE

　　AVPUPD.EXE

　　AVWUPD32.EXE

　　AVXQUAR.EXE

　　CFIAUDIT.EXE

　　DRWEBUPW.EXE

　　ESCANH95.EXE

　　ESCANHNT.EXE

　　FIREWALL.EXE

　　3、病毒还会从一个URL列表中下载病毒相关文件到本地运行，列表如下：

　　www.51.net

　　www.acsohio.com

　　www.agria.hu

　　www.andi.com.vn

　　www.angham.de

　　www.ascolfibras.com

　　www.automobilonline.de

　　www.bangyan.cn

　　www.beall-cpa.com

　　www.bolz.at

　　www.bs-security.de

　　www.centrovestecasa.it

　　www.checkonemedia.nl

　　www.contentproject.com

　　www.cz-wanjia.com

　　www.czwanqing.com

　　www.czzm.com

　　4、释放病毒相关文件，病毒运行时还会打开notepad.exe文件。

　　%System%winshost.exe

　　%System%wiwshost.exe

　　5、病毒主要通过发送含有病毒附件的邮件、利用ms05039漏洞来传播。

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。