簡介
發現： 2004 年 1 月 26 日
更新： 2007 年 2 月 13 日 12:20:30 PM
別名： W32.Novarg.A@mm, W32/Mydoom@MM 【McAfee】, WORM_MIMAIL.R 【Trend】, Win32.Mydoom.A 【Computer ASSOC, W32/Mydoom-A 【Sophos】, I-Worm.Novarg 【Kaspersky】
類型: Worm
感染長度： 22,528 bytes;variable file size for a .zip attachment
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
介紹
W32.Mydoom.A@mm是一個通過擴展名為 .bat、.cmd、.exe、.pif、.scr 或 .zip 的附屬檔案傳播的四級群發郵件蠕蟲。
當一台計算機感染時，蠕蟲會打開 TCP 的 3127 到 3198 連線埠作為進入系統的後門，從而使攻擊者能夠連線該計算機並以其為代理來獲取這台計算機所在的整個網路的資源。
此外，蠕蟲通過這個後門可以下載和執行任意檔案。
這個蠕蟲會在 2004 年 2 月 1 日 發動一個拒絕服務(DoS) 攻擊。它還有一個在 2004 年 2 月 12 日停止攻擊的觸發日期。蠕蟲的後門組件在這個日期之後還會繼續有效。
注意：
* 賽門鐵克擁有蠕蟲禁止功能的單機版產品可以在這個蠕蟲試圖傳播的時候自動將其探測出來。
* 賽門鐵克安全回響已提供了針對 W32.Mydoom.A@mm 的防毒工具。請單擊 這裡 獲取該工具。
當 W32.Mydoom.A@mm 傳送電子郵件時，它避免向含有以下字元串的域名傳送：
* avp
* syma
* icrosof
* msn.
* hotmail
* panda
* sopho
* borlan
* inpris
* example
* mydomai
* nodomai
* ruslis
* .gov
* gov.
* .mil
* foo.
* berkeley
* unix
* math
* bsd
* mit.e
* gnu
* fsf.
* ibm.com
* google
* kernel
* linux
* fido
* usenet
* iana
* ietf
* rfc-ed
* sendmail
* ARIN.
* ripe.
* isi.e
* isc.o
* secur
* acketst
* pgp
* tanford.e
* utgers.ed
* mozilla
或和以下字元串相符的帳戶：
* root
* info
* samples
* postmaster
* webmaster
* noone
* nobody
* nothing
* anyone
* someone
* your
* you
* me
* bugs
* rating
* site
* contact
* soft
* no
* somebody
* privacy
* service
* help
* not
* submit
* feste
* ca
* gold-certs
* the.bat
* page
或含有以下任意一個字元串的帳戶：
* admin
* icrosoft
* support
* ntivi
* unix
* bsd
* linux
* listserv
* certific
* google
* accoun
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 1 月 26 日
* 病毒定義（智慧型更新程式） 2004 年 1 月 26 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： More than 1000
* 站點數量： More than 10
* 地理位置分布： High
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Medium
* 大規模傳送電子郵件： Sends to email addresses found in a specified set of files.
* 降低性能： Performs DoS against www.sco.com. * 危及安全設定： Allows unauthorized remote access.
分發
* 分發級別： High
* 電子郵件的主題： Varies
* 附屬檔案名稱： Varies with an extension of .pif, .scr, .exe, .cmd, .bat, or .zip.
* 附屬檔案大小： 22,528 bytes (varies if it is
* 連線埠： TCP 3127-3198
執行 W32.Mydoom.A@mm 時，會執行下列操作：
1. 創建下列檔案：
* %System%\Shimgapi.dll. Shimgapi.dll 會打開從 TCP 從 3127 到 3198 的連線埠監聽，作為一個代理伺服器運行。這個後門還可以下載和執行任意檔案。
* %Temp%\Message. 這個檔案含有隨機字元，以 Notepad 顯示。
* %System%\taskmon.exe.
注意：
o Taskmon.exe 檔案是 Windows 95/98/Me 作業系統的合法檔案，但其位於 %Windir% 資料夾，而非 %System% 資料夾。(默認情況下是 C:\Windows 或 C:\Winnt) 請不要刪除 %Windir% 資料夾中的合法檔案。
o %System% 是一個變數。蠕蟲會找到 System 資料夾，並將自身複製到其中。默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
o %Temp% 是一個變數。蠕蟲會找到臨時資料夾，並將自身複製到其中。默認情況下，這個資料夾是 C:\Windows\TEMP (Windows 95/98/Me)、C:\WINNT\Temp (Windows NT/2000)、C:\Document and Settings\<用戶名>\Local Settings\Temp (Windows XP)。
2. 將值：
"(Default)" = "%System%\shimgapi.dll"
添加到註冊表鍵：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
Explorer.exe 會因此調用 Shimgapi.dll。
3. 將值：
"TaskMon" = "%System%\taskmon.exe"
添加到以下註冊表鍵中：
HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
這樣，TaskMon 便可在 Windows 啟動時運行。
4. 拒絕服務（Dos）攻擊活動在 2004 年 2 月 1 日和 2004 年 2 月 12 日之間有效。通過新創建 63 個會傳送 GET 請求、直接連線到 80 連線埠的執行緒，嘗試對 www.sco.com 發動拒絕服務（Dos）攻擊。
注意：
* 攻擊活動的發起時間是在格林威治時間 2004 年 2 月 1 日的 16:09:18，即台北時間的 2004 年 2 月 2 日的 00:09:18 。
* 由於蠕蟲驗證上述日期的邏輯的原因，拒絕服務（Dos）攻擊活動發生的機率為 25%.
* 蠕蟲會利用本地的 DNS 設定來解釋拒絕服務（Dos）攻擊遇到的域名。
5. 導出下列註冊表鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
6. 在具有下列擴展名的檔案中搜尋電子郵件地址。
* .htm
* .sht
* .php
* .asp
* .dbx
* .tbb
* .adb
* .pl
* .wab
* .txt
注意：它會忽略以 .edu 結尾的地址。
7. 蠕蟲會試圖使用自己的 SMTP 引擎傳送電子郵件。蠕蟲會在傳送出電子郵件之前查詢收件人的郵件伺服器。如果查不到，它就會使用本地的郵件伺服器。
8. 此類電子郵件有以下特徵：
發件人：可能是經過偽裝的發件人地址
主題：
下列之一：
test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
正文：
下列之一：
Mail transaction failed.Partial message is available.
The message contains Unicode characters and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
附屬檔案：
下列之一：
document
readme
doc
text
file
data
test
message
body
注意：
附屬檔案可能有兩個後綴。其中一個後綴可能下列之一：
.htm
.txt
.doc
蠕蟲總是會使用下面後綴中的一個：
.pif
.scr
.exe
.cmd
.bat
.zip（這是一個實際上含有蠕蟲程式的 .zip 檔案。該蠕蟲程式的名字和這個 .zip 的檔案名稱一致。）
如果蠕蟲使用.exe 或 .scr 作為擴展名，顯示的圖示如下：
9. 將自身作為下列檔案之一複製到 Kazaa 下載資料夾：
* winamp5
* icq2004-final
* activation_crack
* strip-girl-2.0bdcom_patches
* rootkitXP
* office_crack
* nuke2004
使用下列之一作為擴展名：
* .pif
* .scr
* .bat
* .exe
Intruder Alert
賽門鐵克已經發布了 Intruder Alert 3.6 W32_Novarg_Worm Policy。
Symantec Manhunt
已經發布了 Security Update 16，以提供針對於 W32.Mydoom.A@mm 後門活動的簽名。
此外，賽門鐵克 ManHunt 2.2/3.0/3.01 客戶可以使用下列簽名來探測對 www.sco.com 的拒絕服務攻擊。 這個簽名可以幫助確定請求發出的計算機。
*******************start file********************
alert tcp any any -> any 80 (msg:"W32_Novarg_SCO_DOS"; content:"GET / HTTP/1.1|0d0a|Host: www.sco.com|0d0a0d0a|"; offset:0; dsize:37;)
*************EOF*********************
更多關於如何創建時間用戶簽名的幫助，請參照 ManHunt Administrative Guide :Appendix A Custom Signatures for HYBRID Mode。 Appendix A Custom Signatures for HYBRID Mode."
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
使用 W32.Mydoom.A@mm 防毒工具
這是最簡單快速的方法。賽門鐵克安全回響已提供了針對 W32.Mydoom.A@mm 的防毒工具。請單擊 這裡 獲取該工具。
手動刪除
作為防毒工具的替代，您也可以依照下列說明手動刪除。
以下指導適用於所有當前和最新的 Symantec 防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。
1. 禁用系統還原 (Windows Me/XP)。
2. 更新病毒定義。
3. 將計算機重啟到安全模式或者 VGA 模式。
4. 運行完整的系統掃描，並刪除所有檢測為 W32.Mydoom.A@mm 的檔案。
5. 刪除添加到註冊表的值。
有關每個步驟的詳細信息，請閱讀以下指導。
1. 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
2. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從 Symantec 安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
3. 將計算機重啟到安全模式或者 VGA 模式
請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機 。
* Windows NT 4 用戶：將計算機重啟到 VGA 模式。
4. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果檢測到任何檔案被 W32.Mydoom.A@mm 感染，請單擊“刪除”。
5. 從註冊表中刪除值
警告：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
2. 鍵入 regedit
然後單擊“確定”。（將打開註冊表編輯器。）
3. 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除值：
"Taskmon"="%System%\taskmon.exe"
5. 刪除鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
6. 刪除鍵：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
7. 導航至以下鍵：
HKEY_CLASSES_ROOT\CLSID\\InProcServer32
8. 根據你的作業系統，執行系列操作之一：
* Windows NT/2000/XP
1. 在右窗格中，雙擊 (默認)
2. 在“數值數據”欄中，將值改為以下
%SystemRoot%\System32\webcheck.dll
3. 單擊“確定”。
* Windows 95/98/Me
1. 在右窗格中，雙擊 (默認)
2. 在“數值數據”欄中，將值改為以下
Windows\System\webcheck.dll
3. 單擊“確定”。
9. 退出註冊表編輯器。
描述者： Peter Ferrie
